Riferimento agli attributi per le condizioni IAM

Questo argomento descrive gli attributi supportati in un'espressione di condizione.

Nota: questa pagina illustra gli utilizzi comuni di ciascuna funzione e ciascun operatore. Per ulteriori dettagli sulla sintassi consentita per funzioni e operatori, consulta la definizione del linguaggio CEL.

Attributi della condizione supportati

Le seguenti sezioni riepilogano gli attributi supportati e indicano quali servizi Google Cloud riconoscono ciascun attributo.

Attributi delle risorse

I seguenti attributi si riferiscono alla risorsa oggetto della richiesta.

Attributo	Riepilogo dell'utilizzo	Servizi Google Cloud supportati
Attributo servizio risorse	Gestire l'accesso in base al servizio Google Cloud in uso.	Apigee Application Integration BigQuery Autorizzazione binaria Bigtable Cloud Key Management Service Cloud Logging Spanner Cloud SQL Cloud Storage Compute Engine Dataform Google Kubernetes Engine Identity-Aware Proxy Connettori di integrazione Pub/Sub Lite Resource Manager Secret Manager
Attributo tipo di risorsa	Gestire l'accesso in base al tipo di risorsa.
Attributo nome risorsa	Gestire l'accesso in base al nome della risorsa.	Apigee Application Integration BigQuery Autorizzazione binaria Bigtable Cloud Key Management Service Cloud Logging Spanner Cloud SQL Cloud Storage Compute Engine Dataform Google Kubernetes Engine Connettori di integrazione Pub/Sub Lite Secret Manager
Tag di risorse	Gestire l'accesso in base ai tag associati alla risorsa.	Tutti i servizi Google Cloud (vedi Supporto per condizioni ereditate)

Per ulteriori dettagli sugli attributi delle risorse, consulta Attributi delle risorse in questa pagina.

Attributi della richiesta

Gli attributi riportati di seguito si riferiscono ai dettagli della richiesta.

Attributo	Riepilogo dell'utilizzo	Servizi Google Cloud supportati
Attributo livelli di accesso	Gestisci l'accesso in base a livelli di accesso specifici. Un livello di accesso è un attributo calcolato in base ad attributi non elaborati della richiesta e del richiedente, come l'indirizzo IP di origine, gli attributi del dispositivo e l'ora del giorno. Ad esempio, un livello di accesso onNetwork potrebbe richiedere che il dispositivo che effettua la richiesta abbia origine da un determinato intervallo di indirizzi IP. I livelli di accesso sono definiti dagli amministratori di un'organizzazione.	Identity-Aware Proxy
Attributi API	Gestisci l'accesso in base ai dati forniti da un servizio o un'API Google Cloud specifici.	Identity and Access Management Gateway API AutoML Certificate Authority Service Cloud Functions API Cloud Healthcare Cloud IoT Cloud Key Management Service Cloud Run API Cloud Runtime Configuration Cloud Storage Compute Engine Artifact Analysis Dataproc Earth Engine Game Servers Identity and Access Management Identity-Aware Proxy Managed Service for Microsoft Active Directory Blocchi note gestiti dall'utente Resource Manager Secret Manager Gestione servizio
Attributi data/ora	Imposta l'accesso scadenzabile, pianificato o di durata limitata alle risorse Google Cloud.	Tutti i servizi Google Cloud (vedi Supporto per condizioni ereditate)
Attributi porta/IP di destinazione	Gestisci l'accesso in base all'indirizzo IP di destinazione e/o alla porta di una richiesta. Ad esempio, un'istanza di una macchina virtuale (VM) Compute Engine potrebbe esporre un IP esterno, come 10.0.0.2, ma la porta 22 potrebbe essere esposta solo per uso amministrativo. Utilizzato per l'inoltro TCP di Identity-Aware Proxy.	Identity-Aware Proxy
Attributi delle regole di forwarding	Specifica i tipi di regole di forwarding che un'entità può creare. Ad esempio, potresti consentire a un'entità di creare regole di forwarding per i bilanciatori del carico Google Cloud interni, che gestiscono il traffico proveniente da una rete Google Cloud, ma non per i bilanciatori del carico Google Cloud esterni, che gestiscono il traffico proveniente da internet.	Cloud Load Balancing Cloud VPN Inoltro del protocollo di Compute Engine Traffic Director
Attributi host/percorso URL	Gestisci l'accesso in base al percorso dell'URL e/o all'host di una richiesta. Ad esempio, una condizione potrebbe specificare che https://example.com è l'applicazione principale accessibile da un dominio generale di utenti, mentre https://hr.example.com/admin viene utilizzato per accedere a una pagina dell'applicazione a cui possono accedere solo gli amministratori delle risorse umane.	Identity-Aware Proxy Cloud Run

Per ulteriori dettagli sugli attributi della richiesta, consulta la sezione Attributi della richiesta in questa pagina.

Supporto per le condizioni ereditate

Alcuni tipi di risorse Google Cloud non consentono condizioni nei criteri di autorizzazione. Tuttavia, puoi aggiungere associazioni di ruoli condizionali a livello di organizzazione, cartella o progetto e le altre risorse erediteranno queste associazioni di ruoli tramite la gerarchia delle risorse. Per maggiori dettagli, consulta Tipi di risorse che accettano associazioni di ruoli condizionali.

Quando utilizzi attributi a livello di organizzazione, cartella o progetto, tieni presente che la maggior parte degli attributi è disponibile solo per tipi di risorse specifici. Se per una parte di una condizione viene utilizzato un attributo non disponibile, tale parte della condizione non viene mai interpretata come una concessione dell'accesso. Ad esempio, la condizione destination.port == 21 non concederà mai l'accesso ad alcuna risorsa BigQuery, perché le risorse BigQuery non forniscono gli attributi della porta/dell'IP di destinazione.

Per evitare questo problema, utilizza gli attributi resource type e resource service descritti in questa pagina per limitare l'ambito della condizione. Ad esempio, la condizione seguente restituisce true per tutti i tipi di risorse diverse dalle istanze del tunnel Identity-Aware Proxy; al contrario, per le istanze del tunnel Identity-Aware Proxy, la condizione controlla la porta di destinazione:

resource.type != 'iap.googleapis.com/TunnelInstance' ||
    destination.port == 21

Non è necessario limitare l'ambito delle condizioni che controllano i tag associati a una risorsa. Quando una condizione controlla le chiavi e i valori dei tag, non può controllare altri attributi, tra cui il tipo di risorsa e il servizio della risorsa.

Importante: se la condizione utilizza l'attributo resource.name, ti consigliamo vivamente di utilizzare l'attributo resource.type, non l'attributo resource.service, per limitare esplicitamente i tipi di risorse a cui si applica la condizione resource.name. Per maggiori dettagli, consulta la sezione relativa all'attributo resource.name in questa pagina.

Attributi delle risorse

Gli attributi servizio delle risorse, tipo di risorsa e nome della risorsa vengono generalmente utilizzati per modificare l'ambito di una concessione dell'accesso fornita dall'associazione dei ruoli. Quando un ruolo contiene autorizzazioni che si applicano a diversi attributi specifici delle risorse, è possibile utilizzare condizioni basate sulle risorse per concedere un sottoinsieme delle autorizzazioni del ruolo per tipi specifici o servizi specifici.

Attributo resource.service

L'attributo resource.service consente di impostare una condizione in base al servizio Google Cloud in uso. Ad esempio, puoi impostare una condizione che limiti l'accesso di un utente alle risorse che utilizzano il servizio cloudresourcemanager.googleapis.com. Per un elenco dei valori supportati, vedi Valori dei servizi delle risorse.

Variabile attributo	resource.service
Tipo di attributo	string Per un elenco dei valori supportati, consulta Valori del servizio delle risorse.
Operatori supportati	==, !=
Dettagli	Quando utilizzi l'attributo resource.type in condizioni, verifica se è presente l'uguaglianza esatta (==) o la disuguaglianza esatta (!=) con l'attributo. Altri confronti, come la verifica di un prefisso o di un suffisso, potrebbero generare risultati imprevisti.
Esempio	Restituisce true per le risorse Compute Engine: resource.service == "compute.googleapis.com"
Servizi supportati	Apigee Application Integration BigQuery Autorizzazione binaria Bigtable Cloud Key Management Service Cloud Logging Spanner Cloud SQL Cloud Storage Compute Engine Dataform Google Kubernetes Engine Identity-Aware Proxy Connettori di integrazione Pub/Sub Lite Resource Manager Secret Manager

Attributo resource.type

L'attributo resource.type consente di impostare una condizione in base al tipo di risorsa. Ad esempio, puoi impostare una condizione che limiti l'accesso di un utente alle risorse di tipo storage.googleapis.com/Object. Per un elenco dei valori supportati, consulta Valori dei tipi di risorsa.

Se la condizione utilizza l'attributo resource.name, ti consigliamo vivamente di utilizzare l'attributo resource.type per controllare a quali tipi di risorse si applica la condizione. Per maggiori dettagli, vedi Attributo resource.name in questa pagina.

Variabile attributo	resource.type
Tipo di attributo	string Per un elenco dei valori supportati, consulta Valori dei tipi di risorsa.
Operatori supportati	==, !=
Dettagli	Quando utilizzi l'attributo resource.type in condizioni, verifica se è presente l'uguaglianza esatta (==) o la disuguaglianza esatta (!=) con l'attributo. Altri confronti, come la verifica di un prefisso o di un suffisso, potrebbero generare risultati imprevisti.
Esempi	Restituisce true, a meno che la risorsa non sia un'immagine Compute Engine: resource.type != "compute.googleapis.com/Image" Restituisce true solo se la risorsa è un'immagine o un disco permanente di Compute Engine: (resource.type == "compute.googleapis.com/Image" || resource.type == "compute.googleapis.com/Disk")
Tipi di risorse supportati	Apigee Attributi del prodotto API Prodotti basati su API Proxy API Voci della mappa chiave-valore del proxy API Mappe chiave-valore proxy API Revisioni dei proxy API Cache Attributi app sviluppatore App sviluppatore Attributi sviluppatore Sviluppatori Voci della mappa coppia chiave-valore dell'ambiente Mappe chiave-valore di ambiente Esportazioni Ganci di flusso Alias dell'archivio chiavi Archivi chiavi Query Piani tariffari Riferimenti Revisioni dei flussi condivisi Flussi condivisi Server di destinazione Sessioni di Trace (debug) BigQuery Set di dati ottimizzabili Routine Tabelle Application Integration Configurazioni di autenticazione Esecuzioni Versioni delle integrazioni Integrazioni Località Sospensioni Autorizzazione binaria Attestatori Configurazioni della convalida continua Criteri Bigtable Cluster Istanze Tabelle Cloud Key Management Service Versioni chiave di crittografia Chiavi di crittografia Keyring Cloud Logging Bucket di log Visualizzazioni log Spanner Backup Database Istanze Cloud SQL Esecuzioni backup Istanze Cloud Storage Bucket Cartelle gestite Oggetti Compute Engine Servizi di backend (globali e a livello di regione) Firewall Regole di forwarding (globali e a livello di regione) Immagini Modelli di istanza Istanze Dischi permanenti (a livello di regione e di zona) Snapshot Proxy HTTP(S) di destinazione (globali e a livello di regione) Proxy SSL di destinazione Proxy TCP di destinazione Dataform Risultati della compilazione Località Configurazioni delle release Repository Configurazioni dei flussi di lavoro Chiamate del flusso di lavoro Aree di lavoro Google Cloud Località^1 Google Kubernetes Engine Cluster Firestore Database Identity-Aware Proxy Tutti i servizi di backend e le app di App Engine Tutte le risorse tunnel Tutte le zone tunnel Tutti i servizi web Versioni del servizio app di App Engine Servizi per app di App Engine Servizi di backend di Compute Engine Istanze tunnel Connettori di integrazione Connessioni Metadati schema di connessione Collegamenti endpoint Iscrizioni a eventi Zone gestite Pub/Sub Lite Località Abbonamenti Argomenti Resource Manager Progetti Secret Manager Versioni secret Oggetti Secret ^1 Cloud Key Management Service utilizza questo tipo di risorsa come padre delle risorse del keyring.

Attributo resource.name

L'attributo resource.name consente di impostare una condizione basata su tutto o parte del nome di una risorsa. Per un elenco dei formati dei nomi delle risorse, consulta Formato del nome delle risorse.

L'attributo resource.name è disponibile solo per tipi di risorse specifici, elencati nella tabella seguente. Ti consigliamo vivamente di limitare l'applicabilità della condizione al tipo di risorsa previsto. Se un ruolo contiene le autorizzazioni per un tipo di risorsa che non fornisce l'attributo resource.name, devi assicurarti che queste autorizzazioni non siano limitate dalla parte della condizione che controlla resource.name.

Nell'esempio seguente viene illustrato come garantire questo comportamento. In questo esempio, la condizione consente l'accesso a tutti i tipi di risorse eccetto i bucket e gli oggetti Cloud Storage. Al contrario, per i bucket e gli oggetti, la condizione consente l'accesso solo al bucket example-bucket e agli oggetti che contiene:

(resource.type != 'storage.googleapis.com/Bucket' &&
 resource.type != 'storage.googleapis.com/Object') ||
resource.name.startsWith('projects/_/buckets/example-bucket')

Tieni presente che la prima parte della condizione verifica se la risorsa non è né un bucket né un oggetto. Se la risorsa ha un tipo diverso, l'intera condizione restituisce true, indipendentemente dal nome della risorsa.

Inoltre, tieni presente che la condizione controlla l'attributo resource.type, non l'attributo resource.service. Selezionare l'attributo resource.type offre alcuni vantaggi:

• Limita il controllo resource.name al set di risorse appropriato. Ad esempio, se vuoi concedere l'accesso alle istanze di Compute Engine con un nome specifico, ha senso escludere tutti i tipi di risorse diversi dalle istanze di Compute Engine.
• Impedisce che l'ambito della condizione cambi se un servizio aggiunge nuovi tipi di risorse in futuro.

Infine, tieni presente che la condizione utilizza la funzione startsWith() per valutare il nome della risorsa, anziché verificare l'uguaglianza con l'operatore ==. Poiché la condizione si riferisce all'inizio del nome della risorsa, corrisponde a un bucket e agli oggetti in quel bucket. Se viene verificata l'uguaglianza, corrisponderà solo al bucket.

Non puoi utilizzare caratteri jolly come * per trovare corrispondenze con più nomi di risorse. Prendi in considerazione queste alternative:

• Utilizza la funzione extract() per estrarre un valore dal nome di una risorsa. Ad esempio, puoi estrarre un ID progetto dal nome della risorsa di un'istanza VM di Compute Engine, quindi scrivere un'espressione della condizione che faccia riferimento all'ID progetto.

  Per maggiori dettagli, consulta Estrazione dei valori dagli attributi in questa pagina.

• Utilizza la funzione startsWith() o endsWith() per scrivere una condizione che valuti l'inizio o la fine del nome della risorsa.

Variabile attributo	resource.name
Tipo di attributo	string Ogni tipo di risorsa utilizza un formato specifico per il nome della risorsa. Per un elenco dei formati, consulta Formato del nome delle risorse.
Funzioni e operatori supportati	startsWith(), endsWith(), extract(), ==, !=
Dettagli	resource.name contiene il nome risorsa relativo per la risorsa di destinazione nella richiesta. Il nome della risorsa relativo è un percorso URI senza una barra (/). La funzione startsWith() utilizza il valore letterale della stringa del prefisso per essere valutato in base a resource.name. La funzione endsWith() utilizza il valore letterale della stringa del suffisso per essere valutato in base a resource.name. La funzione extract() utilizza un modello di estrazione per estrarre parte di resource.name. Per maggiori dettagli, consulta Estrazione dei valori dai nomi delle risorse in questa pagina. Gli operatori == e != servono per il confronto con l'intero resource.name o con una parte estratta di resource.name.
Esempi	Restituisce true a meno che il nome della risorsa non identifichi un bucket Cloud Storage denominato secret-bucket-123: resource.name != "projects/_/buckets/secret-bucket-123" Restituisce true se il nome della risorsa inizia con il prefisso specificato, nel formato utilizzato dalle istanze VM di Compute Engine: resource.name.startsWith("projects/project-123/zones/us-east1-b/instances/prod-") Restituisce true se il nome della risorsa inizia con il prefisso specificato, nel formato utilizzato dai bucket Cloud Storage: resource.name.startsWith("projects/_/buckets/my_bucket/objects/test-object-") Restituisce true se il nome della risorsa termina con il suffisso specificato, ad esempio l'estensione del file di un oggetto Cloud Storage: resource.name.endsWith(".jpg") Restituisce il nome o il numero del progetto, se presente: resource.name.extract("projects/{project}/")
Tipi di risorse supportati	Apigee Attributi del prodotto API Prodotti basati su API Proxy API Voci della mappa chiave-valore del proxy API Mappe chiave-valore proxy API Revisioni dei proxy API Cache Attributi app sviluppatore App sviluppatore Attributi sviluppatore Sviluppatori Voci della mappa coppia chiave-valore dell'ambiente Mappe chiave-valore di ambiente Esportazioni Ganci di flusso Alias dell'archivio chiavi Archivi chiavi Query Piani tariffari Riferimenti Revisioni dei flussi condivisi Flussi condivisi Server di destinazione Sessioni di Trace (debug) BigQuery Set di dati ottimizzabili Routine Tabelle Application Integration Configurazioni di autenticazione Esecuzioni Versioni delle integrazioni Integrazioni Località Sospensioni Autorizzazione binaria Attestatori Configurazioni della convalida continua Criteri Bigtable Cluster Istanze Tabelle Cloud Key Management Service Chiavi di crittografia Versioni chiave di crittografia Keyring Cloud Logging Bucket di log Visualizzazioni log Spanner Backup Database Istanze Cloud SQL Esecuzioni backup Istanze Cloud Storage Bucket Cartelle gestite Oggetti Compute Engine Servizi di backend (globali e a livello di regione) Firewall Regole di forwarding (globali e a livello di regione) Immagini Modelli di istanza Istanze Dischi permanenti (a livello di regione e di zona) Snapshot Proxy HTTP(S) di destinazione (globali e a livello di regione) Proxy SSL di destinazione Proxy TCP di destinazione Google Kubernetes Engine Cluster Firestore Database Dataform Risultati della compilazione Località Configurazioni delle release Repository Configurazioni dei flussi di lavoro Chiamate del flusso di lavoro Aree di lavoro Connettori di integrazione Connessioni Metadati schema di connessione Collegamenti endpoint Iscrizioni a eventi Zone gestite Pub/Sub Lite Località Abbonamenti Argomenti Secret Manager Versioni secret Oggetti Secret

Tag di risorse

Le funzioni per i tag delle risorse consentono di impostare una condizione in base ai tag associati o ereditati da una risorsa. Ad esempio, puoi impostare una condizione che conceda un ruolo solo per le risorse che hanno il tag env: prod associato. Per scoprire di più sul controllo dell'accesso con i tag, consulta Tag e controllo dell'accesso.

Nota: se una condizione controlla i tag per una risorsa, non può controllare altri attributi, come il nome della risorsa o il timestamp della richiesta.

Ogni tag è costituito da una chiave e da un valore. Esistono diversi tipi di identificatori per ogni chiave e valore:

• Un ID permanente, che è univoco a livello globale e non può mai essere riutilizzato. Ad esempio, una chiave tag potrebbe avere l'ID permanente tagKeys/123456789012 e un valore tag potrebbe avere l'ID permanente tagValues/567890123456.
• Un nome breve. Il nome breve di ogni chiave deve essere univoco all'interno della tua organizzazione e il nome breve di ogni valore deve essere univoco per la chiave associata. Ad esempio, una chiave tag potrebbe avere il nome breve env e un valore tag potrebbe avere il nome breve prod.
• Un nome con spazio dei nomi, che aggiunge l'ID numerico della tua organizzazione al nome breve di una chiave tag. Ad esempio, una chiave tag potrebbe avere il nome con spazio dei nomi 123456789012/env. Scopri come ottenere l'ID organizzazione.

Per indicazioni sulla scelta del tipo di identificatore da utilizzare nelle condizioni, consulta Definizioni e identificatori dei tag.

Le condizioni sui tag sono supportate per tutti i servizi e i tipi di risorse Google Cloud. Per scoprire come applicare condizioni di tag alle risorse che non le supportano direttamente, consulta Supporto per le condizioni ereditate in questa pagina.

Per impostare le condizioni in base ai tag, puoi utilizzare le seguenti funzioni:

Funzione	Descrizione
resource.hasTagKey(   keyName: string )   bool	Verifica se la risorsa per la richiesta ha un tag con la chiave specificata. La chiave tag viene cercata in base al nome. Per cercare una chiave tag utilizzando il suo ID permanente, usa la funzione resource.hasTagKeyId(). Parametro keyName: il nome con spazio dei nomi della chiave tag, completo di ID numerico dell'organizzazione e di una barra come prefisso. Ad esempio, 123456789012/env. Esempio Restituisce true se la risorsa per la richiesta ha un tag con la chiave env: resource.hasTagKey('123456789012/env')
resource.hasTagKeyId(   keyId: string )   bool	Verifica se la risorsa per la richiesta ha un tag con la chiave specificata. La chiave tag viene cercata in base al suo ID permanente. Per verificare la presenza di una chiave tag utilizzando il relativo nome con spaziatura dei nomi, utilizza la funzione resource.hasTagKey(). Parametro keyId: l'ID permanente della chiave tag. Ad esempio, tagKeys/123456789012. Esempio Restituisce true se la risorsa per la richiesta ha un tag con la chiave tagKeys/123456789012: resource.hasTagKeyId('tagKeys/123456789012')
resource.matchTag(   keyName: string,   valueShortName: string )   bool	Verifica se la risorsa per la richiesta ha un tag con la chiave e il valore specificati. La chiave viene cercata in base al nome con spazio dei nomi e il valore in base al nome breve. Per cercare una chiave e un valore tag utilizzando i relativi ID permanenti, utilizza la funzione resource.matchTagId(). Parametri keyName: il nome con spazio dei nomi per la chiave tag, che include l'ID numerico dell'organizzazione e una barra come prefisso. Ad esempio, 123456789012/env. valueShortName: il nome breve del valore tag. Ad esempio, prod. Esempio Restituisce true se la risorsa per la richiesta ha un tag con la chiave 123456789012/env e il valore prod: resource.matchTag('123456789012/env', 'prod')
resource.matchTagId(   keyId: string,   valueId: string )   bool	Verifica se la risorsa per la richiesta ha un tag con la chiave e il valore specificati. La chiave e il valore vengono cercati in base ai relativi ID permanenti. Per verificare una chiave tag utilizzando il nome con spazio dei nomi e un valore utilizzando il nome breve, utilizza la funzione resource.matchTag(). Parametri keyId: l'ID permanente della chiave tag. Ad esempio, tagKeys/123456789012. valueId: l'ID permanente del valore tag. Ad esempio, tagValues/567890123456. Esempio Restituisce true se la risorsa per la richiesta ha un tag con la chiave tagKeys/123456789012 e il valore tagValues/567890123456: resource.matchTagId('tagKeys/123456789012', 'tagValues/567890123456')

Attributi della richiesta

Gli attributi della richiesta consentono di creare condizioni che valutano i dettagli della richiesta, come il livello di accesso, la data e l'ora, l'indirizzo IP e la porta di destinazione (per il tunneling TCP IAP) o l'host/percorso dell'URL previsto (per IAP e Cloud Run).

Attributo livelli di accesso

L'attributo dei livelli di accesso consente agli utenti di impostare una condizione che richiede che una richiesta soddisfi uno o più livelli di accesso per essere autorizzata.

L'attributo dei livelli di accesso deriva dagli attributi della richiesta, come l'indirizzo IP di origine, gli attributi del dispositivo e l'ora del giorno. Ad esempio, un livello di accesso denominato fullyTrusted potrebbe richiedere che il dispositivo che effettua la richiesta sia di proprietà dell'azienda e abbia un blocco schermo. Un livello di accesso onNetwork potrebbe richiedere che il dispositivo che effettua la richiesta abbia origine da un determinato intervallo di indirizzi IP. Per ulteriori informazioni sui livelli di accesso, consulta la documentazione di Gestore contesto accesso.

L'attributo dei livelli di accesso è disponibile solo quando utilizzi Identity-Aware Proxy per accedere a un'istanza di tunnel o per accedere a un'applicazione web in esecuzione sui servizi di backend App Engine o Compute Engine. In particolare, l'attributo livelli di accesso è disponibile solo per le richieste che verificano una di queste autorizzazioni:

• iap.tunnelInstances.accessViaIAP
• iap.webServiceVersions.accessViaIAP

Avviso: se utilizzi l'attributo dei livelli di accesso in un'associazione di ruoli condizionale, l'associazione deve concedere un ruolo che contenga solo le autorizzazioni elencate in precedenza. Se l'associazione concede un ruolo che contiene altre autorizzazioni, queste autorizzazioni aggiuntive non supportate non funzioneranno correttamente.

Puoi utilizzare l'attributo dei livelli di accesso quando concedi in modo condizionale i seguenti ruoli predefiniti:

• Utente del tunnel con protezione IAP (roles/iap.tunnelResourceAccessor)

  Contiene una singola autorizzazione, iap.tunnelInstances.accessViaIAP.

• Utente applicazione web con protezione IAP (roles/iap.httpsResourceAccessor)

  Contiene una singola autorizzazione, iap.webServiceVersions.accessViaIAP.

Puoi utilizzare l'attributo livelli di accesso anche per concedere in modo condizionale un ruolo personalizzato contenente queste autorizzazioni. Il ruolo personalizzato non deve contenere altre autorizzazioni.

Attributo request.auth.access_levels

Variabile attributo	request.auth.access_levels
Tipo di attributo	list<string>
Operatori supportati	in
Dettagli	Per verificare se una richiesta soddisfa un livello di accesso specifico, utilizza l'operatore in: ACCESS_LEVEL_FULL_NAME in request.auth.access_levels Il nome completo di un livello di accesso utilizza il seguente formato: accessPolicies/POLICY_NUMBER/accessLevels/ACCESS_LEVEL Nota: il livello di accesso è sensibile alle maiuscole e deve corrispondere esattamente a quanto configurato in Gestore contesto accesso. Ad esempio, se la condizione utilizza accesslevels, tutto minuscolo, anziché accessLevels, con Levels in maiuscolo, il livello di accesso nella richiesta non corrisponderà mai al livello di accesso della condizione.
Esempio	Restituisce true se la richiesta soddisfa il livello di accesso CorpNet: "accessPolicies/199923665455/accessLevels/CorpNet" in request.auth.access_levels
Tipi di risorse supportati	Disponibile per le richieste che utilizzano Identity-Aware Proxy per accedere a un'istanza di tunnel, un gruppo di destinazione del tunnel, un'applicazione web in esecuzione sul bilanciamento del carico di Google Cloud o un'applicazione web in esecuzione su App Engine.

Attributi API

Gli attributi API consentono di gestire l'accesso in base ai dati forniti da un servizio o un'API Google Cloud specifici.

Ad esempio, quando usi Cloud Storage per elencare gli oggetti in un bucket, puoi utilizzare il parametro prefix nella richiesta per includere solo gli oggetti i cui nomi iniziano con un prefisso specifico. Se utilizzi Confini di accesso alle credenziali per eseguire il downgrade delle credenziali di breve durata, puoi creare un confine di accesso alle credenziali che limiti le autorizzazioni per elencare gli oggetti controllando l'attributo API storage.googleapis.com/objectListPrefix. Questo attributo API contiene il valore del parametro prefix della richiesta.

Per esempi di quando potresti dover utilizzare gli attributi API in una condizione, consulta le seguenti pagine:

• Limitare le autorizzazioni quando si elencano gli oggetti
• Impostare limiti per la concessione dei ruoli

Non tutti i servizi riconoscono gli attributi delle API. Le seguenti sezioni indicano quali servizi riconoscono ciascun attributo API.

Funzioni per gli attributi API

Per gestire gli attributi dell'API puoi utilizzare la funzione seguente:

Funzione	Descrizione
api.getAttribute(   attributeName: string,   defaultValue: V<T> )   V<T>	Recupera l'attributo API richiesto. Parametri attributeName: l'attributo API da ottenere. Per i valori supportati, consulta Attributi dell'API Cloud Storage e Attributi dell'API IAM in questa pagina. defaultValue: il valore predefinito (V) da utilizzare se l'attributo API non è disponibile. Il valore V è di tipo T, dove T è dello stesso tipo del valore dell'attributo API. Ad esempio, se il valore dell'attributo API è una stringa, puoi utilizzare una stringa vuota o una stringa segnaposto come undefined. Nota: per l'attributo API iam.googleapis.com/modifiedGrantsByRole, il valore predefinito deve essere un elenco vuoto ([]). Esempio Restituisce uno dei seguenti valori: Per le richieste di elenco degli oggetti in un bucket Cloud Storage, se la richiesta include il parametro prefix, la funzione restituisce il relativo valore. Per le richieste di elencare gli oggetti che omettono il parametro prefix e per tutti gli altri tipi di richieste, la funzione restituisce una stringa vuota. api.getAttribute("storage.googleapis.com/objectListPrefix", "")
hasOnly(   items: list<T> )   bool	Verifica che un elenco contenga solo gli elementi consentiti o un sottoinsieme di questi elementi. Puoi chiamare la funzione in un elenco restituito da api.getAttribute(). Parametro items: un elenco di elementi di tipo T. Ogni elemento è un valore che l'attributo API può contenere. Esempio Verifica se la richiesta concederebbe o revocherebbe ruoli diversi da Editor Pub/Sub (roles/pubsub.editor) o Publisher Pub/Sub (roles/pubsub.publisher): api.getAttribute('iam.googleapis.com/modifiedGrantsByRole', []) .hasOnly(['roles/pubsub.editor', 'roles/pubsub.publisher']) Di seguito è riportato il risultato di diversi valori della richiesta: Ruoli concessi/revocati Risultato Nessuno true Se non viene modificato alcun ruolo, api.getAttribute() restituisce il valore predefinito. Per questo attributo, il valore predefinito è sempre un elenco vuoto. Per definizione, un elenco vuoto non contiene valori non inclusi nella lista consentita. roles/pubsub.editor true Il ruolo è incluso nella lista consentita. roles/pubsub.editor roles/pubsub.publisher true Entrambi i ruoli sono inclusi nella lista consentita. roles/billing.admin false Il ruolo non è nella lista consentita. roles/billing.admin roles/pubsub.editor false Un ruolo è presente nella lista consentita, l'altro no.

Attributi API Cloud Storage

Cloud Storage fornisce il seguente attributo API.

Avviso: gli attributi API per Cloud Storage sono supportati solo nei confini di accesso alle credenziali. Se utilizzi gli attributi dell'API Cloud Storage in un'associazione di ruoli condizionale, i metodi di Cloud Storage non funzioneranno correttamente e non andranno a buon fine. Inoltre, potrebbe essere necessario più tempo per controllare le autorizzazioni IAM quando accedi a Cloud Storage.

Variabile attributo	storage.googleapis.com/objectListPrefix
Tipo di attributo	string
Dettagli	Per una richiesta di elenco degli oggetti in un bucket, contiene il valore del parametro prefix della richiesta. Se la richiesta omette il parametro prefix, l'attributo non viene definito. Per altri tipi di richieste, l'attributo non è definito.
Servizi che riconoscono questo attributo	Cloud Storage

Attributi API IAM

IAM fornisce il seguente attributo API:

Variabile attributo	iam.googleapis.com/modifiedGrantsByRole
Tipo di attributo	list<string>
Dettagli	Per una richiesta di impostare il criterio di autorizzazione di una risorsa, questo attributo contiene i nomi dei ruoli delle associazioni di ruoli modificate dalla richiesta. Per altri tipi di richieste, l'attributo non è definito.
Tipi di risorse che accettano questo attributo	I seguenti tipi di risorse accettano condizioni con l'attributo modifiedGrantsByRole nei criteri di autorizzazione: Progetti Cartelle Organizzazioni
Servizi che riconoscono questo attributo	I seguenti servizi riconoscono l'attributo modifiedGrantsByRole: Attenzione:se un servizio non riconosce l'attributo modifiedGrantsByRole, non puoi limitare la capacità di un amministratore IAM di concedere ruoli per quel servizio. Se un amministratore IAM con limitazioni tenta di concedere un ruolo per una risorsa e il servizio della risorsa non riconosce l'attributo modifiedGrantsByRole, la richiesta non riesce. Fanno eccezione i set di dati BigQuery. I set di dati non riconoscono l'attributo modifiedGrantsByRole, ma gli amministratori IAM limitati possono comunque concedere o revocare ruoli sui set di dati. Nello specifico, se il ruolo di un amministratore IAM limitato include le autorizzazioni per concedere ruoli sui set di dati, può farlo, indipendentemente da eventuali limiti applicati alla concessione del ruolo. Gateway API AutoML Certificate Authority Service Cloud Functions API Cloud Healthcare Cloud IoT Cloud Key Management Service Cloud Run API Cloud Runtime Configuration Cloud Storage Compute Engine Artifact Analysis Dataproc Earth Engine Game Servers Identity and Access Management Identity-Aware Proxy Managed Service for Microsoft Active Directory Blocchi note gestiti dall'utente Resource Manager Secret Manager Gestione servizio

Attributo data/ora

L'attributo data/ora viene utilizzato per impostare l'accesso espandibile, pianificato o di durata limitata alle risorse Google Cloud.

Questo attributo è supportato per tutti i servizi e i tipi di risorse Google Cloud. Per scoprire come applicare le condizioni di data/ora alle risorse che non le supportano direttamente, consulta Supporto per le condizioni ereditate in questa pagina.

L'attributo request.time contiene il timestamp della richiesta. Puoi confrontare questo timestamp con un altro timestamp o un periodo di tempo.

Le seguenti sezioni elencano le funzioni che puoi utilizzare per impostare le condizioni in base a timestamp e durate.

Creare, confrontare e modificare timestamp e durate

Funzione o operatore	Descrizione
date(   value: string )   Timestamp	Converte una data da string a Timestamp. Parametro value: una data nel formato YYYY-MM-DD, dove YYYY è l'anno, MM è il mese a due cifre e DD è il giorno a due cifre. L'elemento Timestamp risultante contiene la data e l'ora specificate 00:00:00.000 UTC. Esempio Crea un elemento Timestamp che rappresenta la data 2023-02-01 e l'ora 00:00:00.000 UTC: date("2023-02-01")
duration(   value: string )   Duration	Converte un periodo di tempo da string a Duration. Parametro value: Duration in secondi, seguito da s. Esempi Crea una durata che rappresenta 1,5 minuti: duration("90s") Crea una durata che rappresenta 30 giorni: duration("2592000s")
timestamp(   value: string )   Timestamp	Converte string in Timestamp. Parametro value: un timestamp UTC conforme a RFC 3339. Importante: se il parametro di input non è valido, la condizione non consentirà mai l'accesso a nessuna risorsa. Esempio Crea un timestamp che rappresenta il 12 aprile 2023 alle 23:20:50.52 nel fuso orario UTC: timestamp("2023-04-12T23:20:50.52Z")
<, <=, >, >=	Confronta due valori Timestamp. Nota: evita di utilizzare gli operatori di uguaglianza (==) e disuguaglianza (!=) per confrontare i timestamp. I timestamp hanno una precisione di millisecondi, quindi in genere non è utile verificare le corrispondenze esatte o non corrispondenti. Esempi Restituisce true se l'orario della richiesta è prima del 12 aprile 2022 alle 00:00:00 UTC: request.time < timestamp("2022-04-12T00:00:00.00Z") Restituisce true se l'ora della richiesta è prima o uguale al 12 aprile 2022 alle 00:00:00 UTC: request.time <= timestamp("2022-04-12T00:00:00.00Z") Restituisce true se l'orario della richiesta è dopo il 12 aprile 2022 alle 00:00:00 UTC: request.time > timestamp("2022-04-12T00:00:00.00Z") Restituisce true se l'ora della richiesta è dopo o uguale al 12 aprile 2022 alle 00:00:00 UTC: request.time >= timestamp("2022-04-12T00:00:00.00Z")
timestamp + duration   Timestamp timestamp - duration   Timestamp	Aggiungi o sottrai un valore Duration da un valore di Timestamp. Esempi Restituisce il valore Timestamp che cade 30 minuti dopo le 14:30:00 UTC il 12/04/2024: timestamp("2024-04-12T14:30:00.00Z") + duration("1800s") Restituisce il Timestamp che cade 60 giorni prima delle 14:30:00 UTC del 12-04-2024: timestamp("2024-04-12T14:30:00.00Z") - duration("5184000s")

Estrae informazioni da un timestamp

Le funzioni in questa sezione consentono di estrarre informazioni da un timestamp, ad esempio il giorno della settimana in cui ricade il timestamp.

Nelle condizioni IAM, tutti i timestamp sono in UTC. Tuttavia, potresti voler estrarre informazioni in base a un fuso orario diverso. Ad esempio, potresti voler sapere se un timestamp UTC cade di lunedì nel fuso orario di Berlino, Germania.

Per specificare un fuso orario diverso, inserisci il fuso orario nella funzione. Utilizza un nome o un offset UTC dal database dei fusi orari IETF. Ad esempio, puoi utilizzare Europe/Berlin o +01:00 per il fuso orario dell'Europa centrale (CET).

Funzioni e operatori supportati	Descrizione
Timestamp.getDate(   timeZone: string )   int	Recupera il giorno del mese da Timestamp. Il valore utilizza l'indicizzazione in base una; il primo giorno del mese è 1. Parametro timeZone: il fuso orario per il quale calcolare il risultato. Il valore predefinito è UTC. Esempio Restituisce true se la richiesta viene inviata dopo il 15 giorno del mese in UTC: request.time.getDate() > 15
Timestamp.getDayOfMonth(   timeZone: string )   int	Recupera il giorno del mese da Timestamp. Il valore utilizza l'indicizzazione in base zero; il primo giorno del mese è 0. Parametro timeZone: il fuso orario per il quale calcolare il risultato. Il valore predefinito è UTC. Esempio Restituisce true se la richiesta viene inviata dopo il 15 giorno del mese in UTC: request.time.getDayOfMonth() > 14
Timestamp.getDayOfWeek(   timeZone: string )   int	Recupera il giorno della settimana da Timestamp. Il valore utilizza l'indicizzazione in base zero; ad esempio, Sunday è 0. Parametro timeZone: il fuso orario per il quale calcolare il risultato. Il valore predefinito è UTC. Esempio Restituisce true se la richiesta viene inviata tra lunedì e venerdì a Berlino, Germania: request.time.getDayOfWeek("Europe/Berlin") > 0 && request.time.getDayOfWeek("Europe/Berlin") < 6
Timestamp.getDayOfYear(   timeZone: string )   int	Restituisce il giorno dell'anno da Timestamp. Il valore utilizza l'indicizzazione in base zero; il primo giorno dell'anno è 0. Parametro timeZone: il fuso orario per il quale calcolare il risultato. Il valore predefinito è UTC. Esempio Restituisce true se la richiesta viene inviata durante i primi 5 giorni dell'anno a Mountain View, California: request.time.getDayOfYear("America/Los_Angeles") >= 0 && request.time.getDayOfYear("America/Los_Angeles") < 5
Timestamp.getFullYear(   timeZone: string )   int	Recupera l'anno da Timestamp. Parametro timeZone: il fuso orario per il quale calcolare il risultato. Il valore predefinito è UTC. Esempio Restituisce true se la richiesta viene inviata durante l'anno 2023 a Mountain View, California: request.time.getFullYear("America/Los_Angeles") == 2023 Restituisce true se la richiesta viene inviata durante l'anno 2022 in UTC: request.time.getFullYear() == 2022
Timestamp.getHours(   timeZone: string )   int	Recupera l'ora del giorno da Timestamp. Il valore utilizza l'indicizzazione in base zero; i valori sono compresi tra 0 e 23. Puoi combinare questa funzione con getDayofWeek() per concedere l'accesso solo durante l'orario di lavoro consentito nella tua giurisdizione. Parametro timeZone: il fuso orario per il quale calcolare il risultato. Il valore predefinito è UTC. Esempio Restituisce true se la richiesta viene inviata tra le 09:00 (9:00) e le 17:00 (17:00) di un giorno feriale a Berlino, Germania: request.time.getDayOfWeek("Europe/Berlin") >= 1 && request.time.getDayOfWeek("Europe/Berlin") <= 5 && request.time.getHours("Europe/Berlin") >= 9 && request.time.getHours("Europe/Berlin") <= 17
Timestamp.getMilliseconds(   timeZone: string )   int	Recupera il numero di millisecondi da Timestamp. Il valore utilizza l'indicizzazione in base zero; i valori sono compresi tra 0 e 999. Nota: in generale, quando utilizzi le condizioni IAM, non è necessario valutare i timestamp con questo livello di precisione. Parametro timeZone: il fuso orario per il quale calcolare il risultato. Il valore predefinito è UTC.
Timestamp.getMinutes(   timeZone: string )   int	Recupera il numero di minuti dopo l'ora da Timestamp. Il valore utilizza l'indicizzazione in base zero; i valori sono compresi tra 0 e 59. Parametro timeZone: il fuso orario per il quale calcolare il risultato. Il valore predefinito è UTC. Esempio Restituisce true se la richiesta viene inviata entro le 09:30 (9:30) a Berlino, Germania: request.time.getHours("Europe/Berlin") >= 9 && request.time.getMinutes("Europe/Berlin") >= 30
Timestamp.getMonth(   timeZone: string )   int	Ottieni il mese dell'anno da Timestamp. Il valore utilizza l'indicizzazione in base zero; i valori sono compresi tra 0 e 11. Parametro timeZone: il fuso orario per il quale calcolare il risultato. Il valore predefinito è UTC. Esempio Restituisce true se la richiesta viene inviata durante il mese di aprile a Mountain View, California: request.time.getMonth("America/Los_Angeles") == 3
Timestamp.getSeconds(   timeZone: string )   int	Recupera il numero di secondi da Timestamp. Il valore utilizza l'indicizzazione in base zero; i valori sono compresi tra 0 e 59. Nota: in generale, quando utilizzi le condizioni IAM, non è necessario valutare i timestamp con questo livello di precisione. Parametro timeZone: il fuso orario per il quale calcolare il risultato. Il valore predefinito è UTC.
<, <=, >, >=, ==, !=	Confronta l'output di due funzioni in questa tabella.

Attributi porta/IP di destinazione

L'attributo porta/IP di destinazione consente agli utenti di gestire l'accesso in base all'indirizzo IP di destinazione interno e/o alla porta per una richiesta.

Ad esempio, un'istanza VM di Compute Engine potrebbe mappare l'indirizzo IP esterno e la porta 132.168.42.21:3001 all'indirizzo IP interno e alla porta 10.0.0.1:2300 per l'utilizzo generale. Al contrario, l'indirizzo IP interno e la porta 10.0.0.1:22 potrebbero essere disponibili solo internamente per uso amministrativo. Puoi utilizzare gli attributi porta/IP di destinazione per concedere livelli di accesso diversi in base all'indirizzo IP interno e alla porta.

Per ulteriori informazioni sull'inoltro TCP, consulta la documentazione di Identity-Aware Proxy.

Attributo destination.ip

Variabile attributo	destination.ip
Tipo di attributo	string
Operatori supportati	==, !=
Dettagli	La variabile destination.ip identifica un indirizzo IP interno in formato IPv4. Nota: non è consigliabile utilizzare le funzioni startsWith() e endsWith() con l'attributo destination.ip. Queste funzioni potrebbero restituire risultati imprevisti. In particolare, sconsigliamo di associare un prefisso in destination.ip per controllare un intervallo di indirizzi CIDR.
Esempi	Restituisce true se l'indirizzo IP di destinazione è 10.0.0.1: destination.ip == "10.0.0.1" Restituisce true a meno che l'indirizzo IP di destinazione non sia 10.0.0.1: destination.ip != "10.0.0.1"
Tipi di risorse supportati	Disponibile per le richieste che utilizzano Identity-Aware Proxy per accedere a un'istanza di tunnel

Attributo destination.port

Variabile attributo	destination.port
Tipo di attributo	int
Operatori supportati	==, !=, <, <=, >, >=
Dettagli	La variabile destination.port identifica un numero di porta TCP interno.
Esempi	Resi true if the destination port is 21: destination.port == 21 Returns true if the destination port is less than 3001: destination.port < 3001
Tipi di risorse supportati	Disponibile per le richieste che utilizzano Identity-Aware Proxy per accedere a un'istanza di tunnel

Attributi delle regole di forwarding

Gli attributi delle regola di forwarding consentono di specificare i tipi di regole di forwarding che un'entità può creare. Ad esempio, potresti consentire a un'entità di creare regole di forwarding per i bilanciatori del carico Google Cloud interni, che gestiscono il traffico proveniente da una rete Google Cloud, ma non per i bilanciatori del carico Google Cloud esterni, che gestiscono il traffico proveniente da internet.

Per Cloud Load Balancing, gli attributi delle regola di forwarding non influiscono sulla possibilità di creare altri componenti di un bilanciatore del carico Google Cloud, ad esempio servizi di backend, proxy di destinazione, controlli di integrità e mappe URL.

Nota: nella console Google Cloud, per includere gli attributi delle regola di forwarding in un'espressione di condizione, devi utilizzare l'editor delle condizioni. Gli attributi delle regola di forwarding non sono disponibili in Condition Builder.

Funzioni supportate

Funzione	Descrizione
compute.isForwardingRuleCreationOperation()   bool	Verifica se la richiesta sta creando una regola di forwarding. Esempio Vedi l'esempio relativo a compute.matchLoadBalancingSchemes().
compute.matchLoadBalancingSchemes(   schemes: list<string> )   bool	Controlla se la richiesta influisce su uno dei tipi di schema di bilanciamento del carico specificati. Per trovare l'identificatore per ogni schema di bilanciamento del carico, nonché ulteriori dettagli, consulta Utilizzare le condizioni IAM sui bilanciatori del carico Google Cloud. Nota: in generale, se utilizzi questa funzione in un'espressione della condizione, devi utilizzare anche compute.isForwardingRuleCreationOperation(). Guarda gli esempi riportati di seguito. Parametro schemes: gli schemi di bilanciamento del carico su cui la richiesta è autorizzata a influire. Esempio Restituisce uno dei seguenti valori: Se la richiesta non crea una regola di forwarding, restituisce true. Se la richiesta sta creando una regola di forwarding, restituisce true solo se la regola influisce su uno schema di bilanciamento del carico INTERNAL, INTERNAL_MANAGED o INTERNAL_SELF_MANAGED. !compute.isForwardingRuleCreationOperation() || ( compute.isForwardingRuleCreationOperation() && compute.matchLoadBalancingSchemes([ 'INTERNAL', 'INTERNAL_MANAGED', 'INTERNAL_SELF_MANAGED' ]) )

Tipi di risorse supportati

Questo attributo è disponibile per le richieste di creazione dei seguenti tipi di risorse:

Servizio	Tipi di risorse
Cloud Load Balancing	Regole di forwarding
Cloud VPN	Regole di forwarding (globali e a livello di regione)
Compute Engine	Regole di forwarding (per l'inoltro del protocollo)
Traffic Director^1	Regole di forwarding

¹ Utilizza gli attributi delle risorse per Compute Engine.

Attributo percorso/host dell'URL

L'attributo percorso/host dell'URL consente agli utenti di gestire l'accesso in base al percorso dell'URL e/o all'host di una richiesta. Ad esempio, una condizione potrebbe specificare che https://example.com è l'applicazione principale accessibile da un dominio generale di utenti, mentre https://hr.example.com/admin viene utilizzato per accedere a una pagina dell'applicazione in cui solo gli amministratori delle risorse umane possono accedere a questa parte.

Attributo request.path

Variabile attributo	request.path
Tipo di attributo	string
Funzioni e operatori supportati	==, startsWith(), endsWith()
Dettagli	Non è consigliabile utilizzare l'operatore != con questo attributo. Anziché verificare la disuguaglianza, come in request.path != "/admin", controlla il prefisso dell'attributo, ad esempio in !request.path.startsWith("/admin"). Controllando il prefisso, proteggi anche i percorsi degli URL all'interno della gerarchia /admin, ad esempio /admin/payroll/.
Esempi	Restituisce true se il percorso della richiesta è uguale al percorso dell'URL specificato: request.path == "/admin" request.path == "/admin/payroll" Restituisce true se il percorso della richiesta inizia con il percorso dell'URL specificato: request.path.startsWith("/admin") Restituisce true se il percorso della richiesta termina con il percorso dell'URL specificato: request.path.endsWith("/payroll.js")
Tipi di risorse supportati	Versioni del servizio app Identity-Aware Proxy (App Engine): disponibili per le richieste che utilizzano Identity-Aware Proxy per accedere a un'applicazione web in esecuzione su App Engine o Compute Engine. Servizi Cloud Run

Attributo request.host

Variabile attributo	request.host
Tipo di attributo	string
Funzioni e operatori supportati	==, endsWith()
Dettagli	Non è consigliabile utilizzare la funzione .startsWith() o l'operatore != con questo attributo. Queste funzioni e questi operatori potrebbero generare risultati imprevisti.
Esempi	Restituisce true se il nome host è uguale al valore specificato: request.host == "www.example.com" request.host == "hr.example.com" Restituisce true se il nome host termina con il valore specificato: request.host.endsWith("example.com")
Tipi di risorse supportati	Versioni del servizio app Identity-Aware Proxy (App Engine): disponibili per le richieste che utilizzano Identity-Aware Proxy per accedere a una versione del servizio dell'app. Servizi Cloud Run

Estrai i valori dagli attributi

Puoi utilizzare la funzione extract() per estrarre un valore da un attributo. Ad esempio, puoi estrarre una parte arbitraria del nome di una risorsa e poi scrivere un'espressione di condizione che faccia riferimento al testo estratto.

Per utilizzare la funzione extract(), devi fornire un modello di estrazione, che specifica la parte dell'attributo da estrarre. Ad esempio, se vuoi estrarre un ID progetto dal nome della risorsa di un'istanza VM di Compute Engine, puoi utilizzare il modello projects/{project}/.

Un modello di estrazione contiene le seguenti parti:

• Un identificatore, racchiuso tra parentesi graffe, che identifica la sottostringa da estrarre.

  Scegli un identificatore breve e significativo che chiarisca il valore che vuoi estrarre. Puoi utilizzare lettere maiuscole e minuscole dal A al Z, cifre numeriche e trattini bassi (_).

  Nel modello projects/{project}/, l'identificatore è project.

• Facoltativo: un prefisso, che deve apparire prima della sottostringa da estrarre.

  Nel modello projects/{project}/, il prefisso è projects/.

• Facoltativo: un suffisso, che deve apparire dopo la sottostringa da estrarre.

  Nel modello projects/{project}/, il suffisso è /.

La funzione extract() estrae parti diverse dell'attributo a seconda che il modello di estrazione abbia un prefisso, un suffisso o entrambi:

Ha un prefisso	Con suffisso	Valore estratto
—	—	L'intero attributo
	—	I caratteri dopo la prima occorrenza del prefisso o una stringa vuota se non ci sono caratteri dopo il prefisso
—		I caratteri che precedono la prima occorrenza del suffisso o una stringa vuota se non ci sono caratteri prima del suffisso
		I caratteri tra la prima occorrenza del prefisso e la prima occorrenza successiva del suffisso o una stringa vuota se non ci sono caratteri tra il prefisso e il suffisso

Se specifichi un prefisso o un suffisso che non è presente nell'attributo o se il suffisso viene visualizzato solo prima del prefisso, la funzione extract() restituisce una stringa vuota.

I seguenti esempi mostrano l'output da diversi modelli di estrazione diversi. Questi esempi fanno riferimento al nome di una risorsa per un oggetto Cloud Storage, projects/_/buckets/acme-orders-aaa/objects/data_lake/orders/order_date=2019-11-03/aef87g87ae0876:

Modello di estrazione	Output
/order_date={date}/	2019-11-03
buckets/{name}/	acme-orders-aaa
/orders/{empty}order_date	string vuoto
{start}/objects/data_lake	projects/_/buckets/acme-orders-aaa
orders/{end}	order_date=2019-11-03/aef87g87ae0876
{all}	projects/_/buckets/acme-orders-aaa/objects/data_lake/orders/order_date=2019-11-03/aef87g87ae0876
/orders/{none}/order_date=	string vuoto
/orders/order_date=2019-11-03/{id}/data_lake	string vuoto

Se estrai una stringa che rappresenta una data, puoi utilizzare le funzioni e gli operatori di data/ora in questa pagina per convertire il valore estratto in Timestamp. Ad esempio, consulta la pagina Configurazione dell'accesso basato sulle risorse.