Configura l'accesso basato sulle risorse

Questo argomento descrive come gestire l'accesso a risorse specifiche utilizzando associazioni di ruolo condizionali nei criteri di autorizzazione. Utilizzando attributi della risorsa in un espressione di condizione, puoi concedere un ambito secondario dell'associazione del ruolo in base al nome della risorsa, al tipo di risorsa e/o al servizio Google Cloud.

Prima di iniziare

  • Leggi la panoramica delle condizioni di Identity and Access Management (IAM) per comprendere le nozioni di base delle associazioni di ruoli condizionali IAM.
  • Esamina gli attributi delle risorse che può essere utilizzato in un'espressione di condizione.
  • L'attributo del nome della risorsa può controllare l'accesso seguenti servizi Google Cloud:
    • Apigee
    • Application Integration
    • Servizio di backup e RE
    • BigQuery
    • API BigQuery Reservation
    • Bigtable
    • Autorizzazione binaria
    • Cloud Deploy
    • Cloud Key Management Service
    • Cloud Logging
    • Cloud SQL
    • Cloud Storage
    • Compute Engine
    • Dataform
    • Google Kubernetes Engine
    • Integration Connectors
    • Google Cloud Managed Service per Apache Kafka
    • Pub/Sub Lite
    • Secret Manager
    • Spanner

Ruoli obbligatori

Per ottenere le autorizzazioni necessarie per gestire le associazioni di ruoli condizionali, chiedi all'amministratore di concederti i seguenti ruoli IAM:

  • Per gestire l'accesso ai progetti: Project IAM Admin (roles/resourcemanager.projectIamAdmin) nel progetto
  • Per gestire l'accesso alle cartelle: Amministratore cartella (roles/resourcemanager.folderAdmin) nella cartella
  • Per gestire l'accesso a progetti, cartelle e organizzazioni: Amministratore dell'organizzazione (roles/resourcemanager.organizationAdmin) nell'organizzazione
  • Per gestire l'accesso a quasi tutte le risorse Google Cloud: Amministratore della sicurezza (roles/iam.securityAdmin) nel progetto, nella cartella o nell'organizzazione di cui vuoi gestire l'accesso alle risorse

Per saperne di più sulla concessione dei ruoli, consulta Gestire l'accesso a progetti, cartelle e organizzazioni.

Questi ruoli predefiniti le autorizzazioni necessarie per gestire le associazioni di ruoli condizionali. Per visualizzare le autorizzazioni esatte richieste, espandi la sezione Autorizzazioni richieste:

Autorizzazioni obbligatorie

Per gestire le associazioni di ruoli condizionali sono necessarie le seguenti autorizzazioni:

  • Per gestire l'accesso ai progetti:
    • resourcemanager.projects.getIamPolicy sul progetto
    • resourcemanager.projects.setIamPolicy sul progetto
  • Per gestire l'accesso alle cartelle:
    • resourcemanager.folders.getIamPolicy sulla cartella
    • resourcemanager.folders.setIamPolicy sulla cartella
  • Per gestire l'accesso alle organizzazioni:
    • resourcemanager.organizations.getIamPolicy dell'organizzazione
    • resourcemanager.organizations.setIamPolicy dell'organizzazione

Potresti anche ottenere queste autorizzazioni con ruoli personalizzati o altri ruoli predefiniti.

Concedi l'accesso a un gruppo di risorse in base ai prefissi dei nomi delle risorse

Un'associazione di ruoli condizionale può essere utilizzata per concedere l'accesso alle entità per le risorse i cui nomi corrispondono a un prefisso, ad esempio le istanze di macchine virtuali (VM) Compute Engine i cui nomi iniziano con una determinata stringa. Il prefisso del nome della risorsa viene in genere utilizzato per raggruppare le risorse destinate a determinate funzionalità o che hanno determinate proprietà.

Considera il seguente esempio: la società di software ExampleCo esegue carichi di lavoro su determinate istanze VM che potrebbero utilizzare dati sanitari sensibili. Altri carichi di lavoro non sensibili devono essere eseguiti nello stesso progetto e la società ExampleCo vuole assicurarsi che i suoi sviluppatori abbiano accesso limitato alle istanze VM che operano su dati sensibili. Per raggiungere questo obiettivo, le istanze VM sensibili ai dati vengono denominate con un prefisso sensitiveAccess, mentre le altre istanze VM hanno il nome Prefisso devAccess. Successivamente, vengono utilizzate le associazioni di ruoli condizionali per garantire che gli sviluppatori possano continuare a lavorare con le normali istanze VM devAccess, ma senza concedere loro l'accesso alle istanze VM sensitiveAccess.

Sebbene sia possibile utilizzare solo l'attributo condizione resource.name per gestire l'accesso, è comune utilizzare anche gli attributi resource.type e resource.service. Quando utilizzi questi attributi aggiuntivi, riduci la probabilità che una condizione influirà sull'accesso a diversi tipi di risorse con nomi simili. L'esempio in questa sezione controlla l'accesso utilizzando sia resource.name che Attributi resource.type.

Per concedere l'accesso in base a un prefisso del nome ai dischi e alle istanze Compute Engine in un progetto:

Console

  1. Nella console Google Cloud, vai alla pagina IAM.

    Vai alla pagina IAM

  2. Nell'elenco delle entità, individua l'entità che ti interessa e fai clic sul pulsante .

  3. Nel riquadro Modifica autorizzazioni, individua il ruolo per cui vuoi configurare una condizione. Poi, in Condizione IAM (facoltativa), fai clic su Aggiungi condizione IAM.

  4. Nel riquadro Modifica condizione, inserisci un titolo e una descrizione della condizione.

  5. Puoi aggiungere un'espressione di condizione utilizzando il Generatore di condizioni oppure nell'editor delle condizioni. Il generatore di condizioni fornisce un'interfaccia interattiva per selezionare il tipo di condizione, l'operatore e altri dettagli applicabili relativi all'espressione che preferisci. L'editor delle condizioni fornisce un'interfaccia basata su testo per inserire manualmente un'espressione utilizzando la sintassi CEL.

    Generatore di condizioni:

    1. Fai clic sul menu a discesa Aggiungi e poi su Condizioni raggruppate.
    2. Dal menu a discesa Tipo di condizione, seleziona Risorsa > Tipo.
    3. Dal menu a discesa Operatore, seleziona è.
    4. Nel menu a discesa Tipo di risorsa, seleziona compute.googleapis.com/Disk.
    5. Fai clic sul primo pulsante Aggiungi subito sotto la condizione che hai appena inserito per aggiungere un'altra clausola all'espressione.
    6. Dal menu a discesa Tipo di condizione, seleziona Risorsa > Nome.
    7. Dal menu a discesa Operatore, seleziona Inizia con.
    8. Nel campo Valore, inserisci il nome della risorsa nel formato appropriato, ad esempio projects/project-123/zones/us-central1-a/disks/devAccess per un disco il cui nome inizia con devAccess.
    9. A sinistra di ogni tipo di condizione, fai clic su E per assicurarti che entrambe le clausole deve essere vero.
    10. Fai clic sul pulsante Aggiungi direttamente sopra il pulsante Salva per aggiungere un altro insieme di condizioni raggruppate.
    11. Dal menu a discesa Tipo di condizione, seleziona Risorsa > Tipo.
    12. Dal menu a discesa Operatore, seleziona è.
    13. Dal menu a discesa Tipo di risorsa, seleziona compute.googleapis.com/Instance.
    14. Fai clic sul primo pulsante Aggiungi subito sotto la condizione che stai inserito e aggiungi un'altra clausola all'espressione.
    15. Dal menu a discesa Tipo di condizione, seleziona Risorsa > Nome.
    16. Dal menu a discesa Operatore, seleziona Inizia con.
    17. Nel campo Valore, inserisci nome risorsa nel formato appropriato, ad esempio projects/project-123/zones/us-central1-a/instances/devAccess per un'istanza il cui nome inizia con devAccess.
    18. A sinistra di ogni tipo di condizione, fai clic su E per assicurarti che entrambe le clausole deve essere vero.
    19. Fai clic sul pulsante Aggiungi direttamente sopra il pulsante Salva per aggiungere il terzo insieme di condizioni raggruppate.
    20. Per assicurarti che questa condizione non influisca su altre risorse, aggiungi il metodo anche le seguenti clausole: dal menu a discesa Tipo di condizione, seleziona Risorsa > Tipo.
    21. Dal menu a discesa Operatore, seleziona non è.
    22. Nel menu a discesa Tipo di risorsa, seleziona compute.googleapis.com/Disk.
    23. Fai clic sul primo pulsante Aggiungi subito sotto la condizione che stai inserito e aggiungi un'altra clausola all'espressione.
    24. Dal menu a discesa Tipo di condizione, seleziona Risorsa > Tipo.
    25. Dal menu a discesa Operatore, seleziona non è.
    26. Dal menu a discesa Tipo di risorsa, seleziona compute.googleapis.com/Instance.
    27. A sinistra di ogni tipo di condizione, fai clic su E per assicurarti che entrambe le clausole devano essere vere.

    28. Al termine, il generatore di condizioni dovrebbe avere il seguente aspetto:

    29. Fai clic su Salva per applicare la condizione.

    30. Una volta chiuso il riquadro Modifica condizione, fai di nuovo clic su Salva nel riquadro Modifica autorizzazioni per aggiornare la norma di autorizzazione.

    Editor condizioni:

    1. Fai clic sulla scheda Editor condizioni e inserisci la seguente espressione:

      (resource.type == "compute.googleapis.com/Disk" &&
resource.name.startsWith("projects/project-123/regions/us-central1/disks/devAccess")) ||
(resource.type == "compute.googleapis.com/Instance" &&
resource.name.startsWith("projects/project-123/zones/us-central1-a/instances/devAccess")) ||
(resource.type != "compute.googleapis.com/Disk" &&
resource.type != "compute.googleapis.com/Instance")

    2. Dopo aver inserito l'espressione, puoi scegliere se controllare la sintassi CEL facendo clic su Esegui lint sopra la casella di testo in alto a destra.

    3. Fai clic su Salva per applicare la condizione.

    4. Una volta chiuso il riquadro Modifica condizione, fai di nuovo clic su Salva da il riquadro Modifica autorizzazioni per aggiornare il criterio di autorizzazione.

gcloud

I criteri di autorizzazione vengono impostati utilizzando lettura, modifica e scrittura pattern.

Esegui gcloud projects get-iam-policy. per ottenere il criterio di autorizzazione attuale per il progetto. Nel seguente Ad esempio, la versione JSON del criterio di autorizzazione viene scaricata in un percorso su disco.

Comando:

gcloud projects get-iam-policy project-id --format=json > filepath

Viene scaricato il formato JSON del criterio di autorizzazione:

{
  "bindings": [
    {
      "members": [
        "user:project-owner@example.com"
      ],
      "role": "roles/owner"
    },
    {
      "members": [
        "group:devs@example.com"
      ],
      "role": "roles/compute.instanceAdmin"
    }
  ],
  "etag": "BwWKmjvelug=",
  "version": 1
}

Per configurare il criterio di autorizzazione con una condizione del prefisso del nome della risorsa, aggiungi la seguente espressione di condizione evidenziata. L'interfaccia a riga di comando gcloud aggiorna automaticamente la versione:

{
  "bindings": [
    {
      "members": [
        "user:project-owner@example.com"
      ],
      "role": "roles/owner"
    },
    {
      "members": [
        "group:devs@example.com"
      ],
      "role": "roles/compute.instanceAdmin",
      "condition": {
          "title": "Dev_access_only",
          "description": "Only access to devAccess* VMs",
          "expression":
            "(resource.type == 'compute.googleapis.com/Disk' &&
            resource.name.startsWith('projects/project-123/regions/us-central1/disks/devAccess')) ||
            (resource.type == 'compute.googleapis.com/Instance' &&
            resource.name.startsWith('projects/project-123/zones/us-central1-a/instances/devAccess')) ||
            (resource.type != 'compute.googleapis.com/Instance' &&
            resource.type != 'compute.googleapis.com/Disk')"
      }
    }
  ],
  "etag": "BwWKmjvelug=",
  "version": 3
}

Imposta il nuovo criterio di autorizzazione eseguendo il comando gcloud projects set-iam-policy:

gcloud projects set-iam-policy project-id filepath

La nuova associazione di ruoli condizionali concederà le autorizzazioni devs@example.com nel seguente modo:

  • Tutte le autorizzazioni per i dischi e le istanze vengono concesse solo se il nome della risorsa inizia con devAccess

  • Tutte le altre autorizzazioni nel ruolo Amministratore istanza vengono concesse per tutti gli altri tipi di risorse

REST

Utilizza la lettura, modifica e scrittura per consentire l'accesso a risorse specifiche.

Innanzitutto, leggi le norme di autorizzazione per il progetto:

L'API Resource Manager projects.getIamPolicy ottiene il criterio di autorizzazione di un progetto.

Prima di utilizzare i dati della richiesta, effettua le seguenti sostituzioni:

  • PROJECT_ID: l'ID del tuo progetto Google Cloud. Gli ID progetto sono stringhe alfanumeriche, ad esempio my-project.
  • POLICY_VERSION: la versione del criterio da utilizzare restituito. Le richieste devono specificare la versione più recente dei criteri, ovvero la versione 3. Per maggiori dettagli, consulta la sezione Specificare una versione delle norme al momento dell'ottenimento delle norme.

Metodo HTTP e URL: 

POST https://cloudresourcemanager.googleapis.com/v1/projects/PROJECT_ID:getIamPolicy

Corpo JSON della richiesta: 

{
  "options": {
    "requestedPolicyVersion": POLICY_VERSION
  }
}

Per inviare la richiesta, espandi una di queste opzioni:

Dovresti ricevere una risposta JSON simile alla seguente:

{
  "version": 1,
  "etag": "BwWKmjvelug=",
  "bindings": [
    {
      "role": "roles/owner",
      "members": [
        "user:project-owner@example.com"
      ]
    },
    {
      "members": [
        "group:devs@example.com"
      ],
      "role": "roles/compute.instanceAdmin"
    }
  ]
}

Successivamente, modifica il criterio di autorizzazione in modo che consenta l'accesso a Google Cloud. Assicurati di modificare il campo version in modo che abbia il valore 3:

{
  "version": 3,
  "etag": "BwWKmjvelug=",
  "bindings": [
    {
      "role": "roles/owner",
      "members": [
        "user:project-owner@example.com"
      ]
    },
    {
      "role": "roles/compute.instanceAdmin",
      "members": [
        "group:devs@example.com"
      ],
      "condition": {
          "title": "Dev_access_only",
          "description": "Only access to devAccess* VMs",
          "expression":
            "(resource.type == 'compute.googleapis.com/Disk' &&
            resource.name.startsWith('projects/project-123/regions/us-central1/disks/devAccess')) ||
            (resource.type == 'compute.googleapis.com/Instance' &&
            resource.name.startsWith('projects/project-123/zones/us-central1-a/instances/devAccess')) ||
            (resource.type != 'compute.googleapis.com/Instance' &&
            resource.type != 'compute.googleapis.com/Disk')"
      }
    }
  ]
}

Infine, scrivi il criterio di autorizzazione aggiornato:

L'API Resource Manager projects.setIamPolicy imposta il criterio di autorizzazione nella richiesta come nuovo criterio di autorizzazione del progetto.

Prima di utilizzare i dati della richiesta, effettua le seguenti sostituzioni:

  • PROJECT_ID: il tuo progetto Google Cloud ID. Gli ID progetto sono stringhe alfanumeriche, ad esempio my-project.

Metodo HTTP e URL: 

POST https://cloudresourcemanager.googleapis.com/v1/projects/PROJECT_ID:setIamPolicy

Corpo JSON della richiesta: 

{
  "policy": {
    "version": 3,
    "etag": "BwWKmjvelug=",
    "bindings": [
      {
        "role": "roles/owner",
        "members": [
          "user:project-owner@example.com"
        ]
      },
      {
        "role": "roles/compute.instanceAdmin",
        "members": [
          "group:devs@example.com"
        ],
        "condition": {
          "title": "Dev_access_only",
          "description": "Only access to devAccess* VMs",
          "expression":
            "(resource.type == 'compute.googleapis.com/Disk' &&
            resource.name.startsWith('projects/project-123/regions/us-central1/disks/devAccess')) ||
            (resource.type == 'compute.googleapis.com/Instance' &&
            resource.name.startsWith('projects/project-123/zones/us-central1-a/instances/devAccess')) ||
            (resource.type != 'compute.googleapis.com/Instance' &&
            resource.type != 'compute.googleapis.com/Disk')"
        }
      }
    ]
  }
}

Per inviare la richiesta, espandi una di queste opzioni:

La risposta contiene il criterio di autorizzazione aggiornato.


Estrarre valori dai nomi delle risorse

Gli esempi precedenti mostrano confronti booleani tra il nome della risorsa o l'inizio del nome della risorsa e un altro valore. In alcuni casi, però, potrebbe dover confrontare un valore con una parte specifica del nome della risorsa non all'inizio del nome.

Puoi utilizzare la funzione extract() e specificare una modello di estrazione per estrarre la parte pertinente del nome della risorsa come stringa. Se necessario, puoi convertire la stringa estratta in un altro tipo, ad esempio un timestamp. Dopo aver estratto un valore dal nome della risorsa, puoi confrontare quel valore con altri.

I seguenti esempi mostrano espressioni di condizione che utilizzano Funzione extract(). Per maggiori dettagli sulla funzione extract(), consulta le Riferimento agli attributi per le condizioni IAM.

Esempio: corrispondenza degli ordini degli ultimi 30 giorni

Supponiamo che tu archivi i dati degli ordini in più bucket Cloud Storage e che gli oggetti in ogni bucket siano organizzati per data. Un nome oggetto tipico potrebbe essere simile a questo esempio:

projects/_/buckets/acme-orders-aaa/objects/data_lake/orders/order_date=2019-11-03/aef87g87ae0876

Vuoi consentire a un principale di accedere a qualsiasi ordine degli ultimi 30 giorni. La la seguente condizione corrisponda agli oggetti Cloud Storage per questi ordini. Utilizza le funzioni duration() e date() per sottrarre 30 giorni (2.592.000 secondi) dall'ora della richiesta, quindi confronta il timestamp con la data dell'ordine:

resource.type == 'storage.googleapis.com/Object' &&
  request.time - duration('2592000s') < date(resource.name.extract('/order_date={date_str}/'))

Per maggiori dettagli sulle funzioni date() e duration(), consulta le riferimento attributo data/ora.

Esempio: corrispondenza delle VM Compute Engine in qualsiasi località

Supponi di voler concedere un ruolo a livello di progetto a un'entità per VM di Compute Engine il cui nome inizia con dev-, indipendentemente dall'impostazione in ogni località. Inoltre, vuoi che l'entità possa utilizzare questo ruolo per tutti gli altri tipi di risorse.

Il nome della risorsa di una VM utilizza un formato simile a projects/project-id/zones/zone-id/instances/instance-name. La seguente condizione restituisce true per le VM con un nome istanza che inizia con la stringa dev- e per tutti i tipi di risorse diversi dalle VM:

resource.type != 'compute.googleapis.com/Instance' ||
  resource.name.extract('/instances/{name}').startsWith('dev-')

Il testo tra parentesi graffe identifica la parte del nome della risorsa che viene estratta per il confronto. In questo esempio, il modello di estrazione estrae tutti i caratteri dopo la prima occorrenza della stringa /instances/.

Considerazioni importanti sull'utilizzo per le condizioni basate sulle risorse

Quando aggiungi una condizione basata sulle risorse, è importante considerare in che modo la condizione influirà sulle autorizzazioni dell'entità.

Ruoli personalizzati

Considera l'esempio seguente, che prevede ruoli personalizzati. Un amministratore vuole creare un ruolo personalizzato che conceda l'accesso per creare istanze VM, ma consenta all'utente di creare istanze VM solo in un progetto con un nome della risorsa che inizia con il prefisso di nome staging, utilizzando i dischi con lo stesso prefisso di nome.

Per raggiungere questo obiettivo, assicurati che il ruolo concesso contenga le autorizzazioni richieste per creare un'istanza VM, ovvero le autorizzazioni per i tipi di risorse di disco e istanza. Quindi, assicurati che L'espressione di condizione controlla il nome della risorsa per entrambi i dischi e le istanze. Oltre a questi due tipi, non vengono concesse altre autorizzazioni nel ruolo.

La seguente espressione della condizione comporterà un comportamento imprevisto. Le autorizzazioni per operare sulle VM di Compute Engine sono bloccate:

resource.type == 'compute.googleapis.com/Disk' &&
 resource.name.startsWith('projects/project-123/regions/us-central1/disks/staging')

La seguente espressione di condizione include sia i dischi che le istanze e gestirà l'accesso in base al nome della risorsa per questi due tipi:

(resource.type == 'compute.googleapis.com/Disk' &&
  resource.name.startsWith('projects/project-123/regions/us-central1/disks/staging')) ||
 (resource.type == 'compute.googleapis.com/Instance' &&
  resource.name.startsWith('projects/project-123/zones/us-central1-a/instances/staging'))

La seguente espressione di condizione include sia dischi sia istanze e gestire l'accesso in base al nome della risorsa per questi due tipi. Per qualsiasi altro tipo di risorsa, l'espressione della condizione concede il ruolo indipendentemente dal nome della risorsa:

(resource.type == 'compute.googleapis.com/Disk' &&
  resource.name.startsWith('projects/project-123/regions/us-central1/disks/staging')) ||
 (resource.type == 'compute.googleapis.com/Instance' &&
  resource.name.startsWith('projects/project-123/zones/us-central1-a/instances/staging')) ||
 (resource.type != 'compute.googleapis.com/Disk' &&
  resource.type != 'compute.googleapis.com/Instance')

Autorizzazioni solo per i genitori

Nella gerarchia delle risorse di Google Cloud, alcune delle autorizzazioni di un ruolo che interessano una risorsa secondaria devono essere applicate solo a livello di risorsa principale. Ad esempio, per elencare le chiavi di crittografia per Cloud KMS, l'utente devi concedere l'autorizzazione cloudkms.cryptokeys.list sul keyring che contiene le chiavi di crittografia, non le chiavi stesse. Questi tipi di autorizzazioni sono chiamate autorizzazioni solo per i genitori e si applicano solo alle operazioni list.

Per concedere correttamente l'accesso alle autorizzazioni *.*.list quando si utilizzano le condizioni, l'espressione della condizione deve impostare gli attributi resource.service e resource.type in base al tipo di risorsa principale delle risorse di destinazione da elencare.

Considera i seguenti esempi. Utilizzando l'esempio di Compute Engine riportato sopra, la seguente espressione impedisce l'accesso alle autorizzazioni compute.disks.list e compute.instances.list, poiché la risorsa su cui vengono controllate queste autorizzazioni ha un valore dell'attributo resource.type di cloudresourcemanager.googleapis.com/Project.

(resource.type == 'compute.googleapis.com/Disk' &&
  resource.name.startsWith('projects/project-123/regions/us-central1/disks/devAccess')) ||
 (resource.type == 'compute.googleapis.com/Instance' &&
  resource.name.startsWith('projects/project-123/zones/us-central1-a/instances/devAccess'))

È comune che queste autorizzazioni list vengano concesse insieme ad altre autorizzazioni per le operazioni regolari sulla risorsa. Per aumentare l'ambito della concessione in questo caso, puoi estendere l'ambito solo per il tipo cloudresourcemanager.googleapis.com/Project o per tutte le altre autorizzazioni non di tipo istanza o disco.

(resource.type == 'compute.googleapis.com/Disk' &&
  resource.name.startsWith('projects/project-123/regions/us-central1/disks/devAccess')) ||
 (resource.type == 'compute.googleapis.com/Instance' &&
  resource.name.startsWith('projects/project-123/zones/us-central1-a/instances/devAccess')) ||
 resource.type == 'cloudresourcemanager.googleapis.com/Project'

o

(resource.type == 'compute.googleapis.com/Disk' &&
  resource.name.startsWith('projects/project-123/regions/us-central1/disks/devAccess')) ||
 (resource.type == 'compute.googleapis.com/Instance' &&
  resource.name.startsWith('projects/project-123/zones/us-central1-a/instances/devAccess')) ||
 (resource.type != 'compute.googleapis.com/Disk' &&
  resource.type != 'compute.googleapis.com/Instance')