Propagación de cambios de acceso

En IAM, los cambios de acceso, como otorgar un rol o denegar un permiso, tienen coherencia eventual. Esto significa que los cambios de acceso tardan en propagarse a través del sistema. Mientras tanto, es posible que los cambios de acceso recientes no sean efectivos en todas partes. Por ejemplo, es posible que las principales aún puedan usar un rol revocado recientemente o un permiso denegado recientemente. De forma alternativa, es posible que no puedan usar un rol otorgado recientemente o un permiso que, hasta hace poco tiempo, tenían denegado usar.

La cantidad de tiempo que tarda en propagarse un cambio de acceso depende de cómo realices el cambio:

Método Ejemplos Tiempo de propagación

Cómo cambiar una política

Para cambiar el acceso de una principal, edita una política de permiso o denegación.

Cuando realizas cambios en una política, no puedes exceder los límites en la cantidad de principales permitidas en una política.

  • Editas la política de permiso de tu organización para otorgar a una principal el rol de administrador de la organización (roles/resourcemanager.organizationAdmin).
  • Editas una política de denegación a nivel de la organización para denegar a un principal el permiso cloudresourcemanager.googleapis.com/projects.setIamPolicy.
Por lo general, 2 minutos, posiblemente 7 minutos o más

Cambia la membresía de un grupo

Para cambiar el acceso de una principal, agrégala o quítala de un Grupo de Google que se incluye en una política de permiso o denegación.

  • Tienes un grupo, org-admins@example.com, al que se le otorga el rol de administrador de la organización en tu organización. Agregas una principal al grupo para otorgarle el rol de administrador de la organización.
  • Tienes un grupo, eng@example.com, al que se le deniega el permiso cloudresourcemanager.googleapis.com/projects.setIamPolicy a nivel de la organización. Agregas una principal al grupo para denegarle el permiso cloudresourcemanager.googleapis.com/projects.setIamPolicy.
Por lo general, varios minutos, posiblemente horas o más

Cambia la membresía de un grupo anidado

Para cambiar el acceso de una principal, agrégala o quítala de un grupo anidado cuyo grupo superior se incluye en una política de permiso o denegación.

  • Tienes un grupo, admins@example.com, al que se le otorga el rol de visualizador de etiquetas (roles/resourcemanager.tagViewer) en tu organización. La membresía de este grupo está compuesta por varios otros grupos, incluido org-admins@example.com. Agregas una principal al grupo org-admins@example.com para otorgarle el rol de visualizador de etiquetas.
  • Tienes un grupo, eng@example.com, al que se le deniega el permiso cloudresourcemanager.googleapis.com/projects.setIamPolicy a nivel de la organización. La membresía de este grupo está compuesta por varios otros grupos, incluido eng-prod@example.com. Agregas una principal al grupo eng-prod@example.com para denegarle el permiso cloudresourcemanager.googleapis.com/projects.setIamPolicy.
Por lo general, varios minutos, posiblemente horas o más

También ten en cuenta los siguientes detalles sobre cómo se propagan los cambios de membresía de un grupo:

  • En general, agregar un principal a un grupo se propaga más rápido que quitar un principal de un grupo.
  • En general, los cambios de membresía de un grupo se propagan más rápido que los cambios de membresía de un grupo anidado.

Puedes usar estas estimaciones de tiempo de propagación para informar la forma en que modificas el acceso de tus principales.