Gestione dell'accesso ad altre risorse

Questa pagina descrive la procedura generale per concedere, modificare e revocare l'accesso alle risorse che accettano i criteri di autorizzazione.

In Identity and Access Management (IAM), l'accesso viene concesso tramite criteri di autorizzazione, inoltre noti come criteri IAM. Un criterio di autorizzazione è collegato risorsa Google Cloud. Ogni criterio di autorizzazione contiene una raccolta di ruoli associazioni che associano una o più entità, come utenti o servizio. con un ruolo IAM. Queste associazioni di ruolo concedono i ruoli specificati alle entità, sia alla risorsa a cui è associato il criterio di autorizzazione sia a tutti i suoi discendenti. Per maggiori informazioni sui criteri di autorizzazione, consulta Comprensione dei criteri di autorizzazione.

In questa pagina viene descritto come gestire l'accesso alle risorse utilizzando Console Google Cloud, Google Cloud CLI e l'API REST. Puoi anche gestire l'accesso utilizzando le librerie client di Google Cloud.

Prima di iniziare

Esamina l'elenco dei tipi di risorse che accettano i criteri di autorizzazione.

Autorizzazioni obbligatorie

Per gestire l'accesso a una risorsa, devi disporre delle autorizzazioni per recuperarla e per recuperare e impostare il criterio di autorizzazione per la risorsa. Queste autorizzazioni hanno il seguente formato, dove SERVICE è il nome del servizio proprietario della risorsa e RESOURCE_TYPE è il nome del tipo di risorsa a cui vuoi gestire l'accesso:

  • SERVICE.RESOURCE_TYPE.get
  • SERVICE.RESOURCE_TYPE.getIamPolicy
  • SERVICE.RESOURCE_TYPE.setIamPolicy

Ad esempio, per gestire l'accesso a un'istanza Compute Engine, devi disporre delle seguenti autorizzazioni:

  • compute.instances.get
  • compute.instances.getIamPolicy
  • compute.instances.setIamPolicy

Per ottenere le autorizzazioni necessarie, chiedi all'amministratore di concederti una predefinito o personalizzato che includa le autorizzazioni. Ad esempio, potrebbe concederti il ruolo Amministratore sicurezza (roles/iam.securityAdmin), che include le autorizzazioni per gestire l'accesso a per quasi tutte le risorse Google Cloud.

Visualizza l'accesso corrente

La sezione seguente mostra come utilizzare la console Google Cloud, la CLI gcloud e l'API REST per visualizzare chi ha accesso a una risorsa. Puoi visualizzare l'accesso anche utilizzando il client Google Cloud delle librerie per ottenere il criterio di autorizzazione della risorsa.

Console

  1. Nella console Google Cloud, vai alla pagina che elenca la risorsa a cui vuoi visualizzare l'accesso.

    Ad esempio, per gestire l'accesso a un'istanza Compute Engine, vai al Istanze VM.

    Vai a Istanze VM

  2. Seleziona la casella di controllo accanto alla risorsa per cui vuoi visualizzare l'accesso.

  3. Assicurati che il riquadro informazioni sia visibile. Se non è visibile, fai clic su Mostra riquadro informazioni. La scheda Autorizzazioni del riquadro delle informazioni elenca tutte le entità che hanno accesso alla risorsa.

    Se l'opzione Mostra autorizzazioni ereditate è attiva, l'elenco include gli account con ruoli ereditati, ovvero gli account il cui accesso proviene dai ruoli delle risorse principali anziché dai ruoli della risorsa stessa. Per ulteriori informazioni sull'eredità dei criteri, consulta Eredità dei criteri e gerarchia delle risorse.

gcloud

Per vedere chi ha accesso alla risorsa, ottieni il criterio di autorizzazione per la risorsa. Per scoprire come interpretare i criteri di autorizzazione, consulta Informazioni sui criteri di autorizzazione.

Per ottenere il criterio di autorizzazione per la risorsa, esegui il comando get-iam-policy la risorsa.

Il formato di questo comando varia a seconda del tipo di risorsa per la gestione degli accessi. Per trovare il formato della risorsa, cerca il riferimento al comando get-iam-policy della risorsa nella documentazione di riferimento della CLI Google Cloud. Questo riferimento è organizzato per servizio, quindi per risorsa. Ad esempio, per ottenere il criterio di autorizzazione di un'istanza VM di Compute Engine, seguire il formato descritto in gcloud compute instances get-iam-policy riferimento.

Se vuoi, aggiungi i seguenti argomenti al comando per specificare il formato ed esportare i risultati:

--format=FORMAT > PATH

Specifica i seguenti valori:

  • FORMAT: il formato desiderato per il criterio. Utilizza json o yaml.
  • PATH: il percorso di un nuovo file di output per il regolamento.

Quando esegui il comando, il criterio di autorizzazione della risorsa viene stampato nella console Cloud o esportati nel file specificato.

REST

Per vedere chi ha accesso alla tua risorsa, ottieni il criterio di autorizzazione della risorsa. A scopri come interpretare i criteri di autorizzazione, consulta Informazioni sui criteri di autorizzazione.

Per ottenere il criterio di autorizzazione della risorsa, usa il metodo getIamPolicy della risorsa.

Il metodo HTTP, l'URL e il corpo della richiesta dipendono dalla risorsa a cui vuoi visualizzare l'accesso. Per trovare questi dettagli, individua il riferimento all'API per il servizio proprietario della risorsa, quindi individua il riferimento per il metodo getIamPolicy della risorsa. Ad esempio, il metodo HTTP, l'URL e il corpo della richiesta per Le istanze di Compute Engine sono specificate nel documento relativo alle istanze getIamPolicy riferimento.

La risposta per il metodo getIamPolicy di qualsiasi risorsa contiene il criterio di autorizzazione della risorsa.

Concedere o revocare un singolo ruolo

Puoi utilizzare la console Google Cloud e gcloud CLI per concedi o revoca un singolo ruolo per una singola entità, senza modificare automaticamente il criterio di autorizzazione della risorsa. I tipi comuni di entità includono Google Account, account di servizio, gruppi Google e domini. Per un elenco di tutti i tipi principali, consulta Concetti correlati all'identità.

In genere, le modifiche ai criteri diventano effettive entro 2 minuti. Tuttavia, in alcuni casi, la propagazione delle modifiche nel sistema può richiedere 7 minuti o più.

Se hai bisogno di aiuto per identificare il ruolo predefinito più appropriato, consulta Scegli i ruoli predefiniti.

Concedi un singolo ruolo

Per concedere un singolo ruolo a un'entità:

Console

  1. Nella console Google Cloud, vai alla pagina che elenca la risorsa a cui vuoi visualizzare l'accesso.

    Ad esempio, per gestire l'accesso a un'istanza Compute Engine, vai alla pagina Istanze VM.

    Vai a Istanze VM

  2. Seleziona la casella di controllo accanto alla risorsa a cui vuoi gestire l'accesso.

  3. Assicurati che il riquadro informazioni sia visibile. Se non è visibile, fai clic su Mostra riquadro informazioni.

  4. Seleziona un'entità a cui concedere un ruolo:

    • Per concedere un ruolo a un'entità che dispone già di altri ruoli nella risorsa, trova una riga contenente l'entità, fai clic Modifica principal nella riga corrispondente e fai clic su Aggiungi un altro ruolo.

    • Per concedere un ruolo a un'entità che non ha già altri ruoli nella risorsa, fai clic su Aggiungi entità, quindi inserisci l'indirizzo email o un altro identificatore dell'entità.

  5. Seleziona un ruolo da concedere dall'elenco a discesa. Per le best practice di sicurezza, scegli un ruolo che includa solo le autorizzazioni necessarie all'entità.

  6. (Facoltativo) Aggiungi una condizione al ruolo.

  7. Fai clic su Salva. All'entità viene concesso il ruolo nella risorsa.

gcloud

Per concedere rapidamente un ruolo a un entità, esegui il comando add-iam-policy-binding.

Il formato di questo comando varia a seconda del tipo di risorsa per la gestione degli accessi. Per trovare il formato della risorsa, individua il riferimento per il comando add-iam-policy-binding della risorsa in Google Cloud CLI riferimento. Questo riferimento è organizzato per servizio e poi per risorsa. Ad esempio, per concedere a un'entità un ruolo su un'istanza Compute Engine, Attieniti al formato descritto nella documentazione di riferimento di gcloud compute instances add-iam-policy- binding.

Revocare un singolo ruolo

Per revocare un singolo ruolo da un'entità, procedi nel seguente modo:

Console

  1. Nella console Google Cloud, vai alla pagina che elenca la risorsa da cui vuoi revocare l'accesso.

    Ad esempio, per gestire l'accesso a un'istanza Compute Engine, vai alla pagina Istanze VM:

    Vai a Istanze VM

  2. Seleziona la casella di controllo accanto alla risorsa di cui vuoi gestire l'accesso.

  3. Assicurati che il riquadro informativo sia visibile. Se non è visibile, fai clic su Mostra riquadro informazioni.

  4. Individua la riga contenente l'entità e fai clic su Modifica entità nella riga.

  5. Fai clic sul pulsante Elimina per il ruolo che vuoi revocare e poi su Salva.

gcloud

Per revocare rapidamente un ruolo da un entità, esegui il comando remove-iam-policy-binding.

Il formato di questo comando varia a seconda del tipo di risorsa a cui gestisci l'accesso. Per trovare il formato della risorsa, cerca il riferimento al comando remove-iam-policy-binding della risorsa nella documentazione di riferimento della CLI Google Cloud. Questo riferimento è organizzato per servizio, quindi per risorsa. Ad esempio, per concedere a un'entità un ruolo su un'istanza Compute Engine, Attieniti al formato descritto nella documentazione di riferimento di gcloud compute instances remove-iam-policy-binding.

Concedi o revoca più ruoli utilizzando la console Google Cloud

Puoi utilizzare la console Google Cloud per concedere e revocare più ruoli per un singolo entità:

  1. Nella console Google Cloud, vai alla pagina che elenca la risorsa a cui vuoi visualizzare l'accesso.

    Ad esempio, per gestire l'accesso a un'istanza Compute Engine, vai al Istanze VM.

    Vai a Istanze VM

  2. Seleziona la casella di controllo accanto alla risorsa a cui vuoi gestire l'accesso.

  3. Se il riquadro informazioni non è visibile, fai clic su Mostra riquadro informazioni.

  4. Seleziona l'entità di cui vuoi modificare i ruoli:

    • Per modificare i ruoli di un'entità che ne ha già nella risorsa, trovare una riga contenente l'entità, fare clic su Modifica entità nella riga e fare clic su Aggiungi un altro ruolo.

    • Per concedere ruoli a un'entità che non ha ruoli esistenti nella risorsa, fai clic su Aggiungi entità, quindi inserisci l'indirizzo email o un altro identificatore dell'entità.

  5. Modifica i ruoli dell'entità:

    • Per concedere un ruolo a un'entità che non ha ruoli esistenti nel risorsa, fai clic su Seleziona un ruolo, quindi seleziona un ruolo da concedere dall'elenco a discesa.
    • Per concedere un ruolo aggiuntivo al principale, fai clic su Aggiungi un altro ruolo, quindi seleziona un ruolo da concedere dall'elenco a discesa.
    • Per sostituire uno dei ruoli dell'entità con un altro ruolo, fai clic sull'icona ruolo esistente, quindi scegli un ruolo diverso da concedere dall'elenco a discesa dall'elenco di lettura.
    • Per revocare uno dei ruoli dell'entità, fai clic sul pulsante Elimina per ogni ruolo da revocare.

    Puoi anche aggiungere una condizione a un ruolo, modificare il relativo di un ruolo o di rimuovere la dell'oggetto in questione.

  6. Fai clic su Salva.

Concedi o revoca più ruoli in modo programmatico

Per apportare modifiche di accesso su larga scala che comportano la concessione e la revoca di più ruoli per più entità, utilizza il pattern read-modify-write per aggiornare il criterio di autorizzazione della risorsa:

  1. Leggi il criterio di autorizzazione attuale chiamando getIamPolicy().
  2. Modifica il criterio di autorizzazione, utilizzando un editor di testo o in modo programmatico, per aggiungi o rimuovi eventuali entità o associazioni di ruoli.
  3. Scrivi il criterio di autorizzazione aggiornato chiamando setIamPolicy().

Questa sezione mostra come utilizzare gcloud CLI e l'API REST per aggiorna il criterio di autorizzazione. Puoi anche aggiornare il criterio di autorizzazione utilizzando le librerie client Google Cloud.

In genere, le modifiche ai criteri diventano effettive entro 2 minuti. Tuttavia, in alcuni casi, la propagazione delle modifiche nel sistema può richiedere almeno 7 minuti.

Ottieni il criterio di autorizzazione attuale

gcloud

Per ottenere il criterio di autorizzazione per la risorsa, esegui il comando get-iam-policy la risorsa.

Il formato di questo comando varia a seconda del tipo di risorsa a cui gestisci l'accesso. Per trovare il formato della risorsa, individua il riferimento per il comando get-iam-policy della risorsa in Google Cloud CLI riferimento. Questo riferimento è organizzato per servizio e poi per risorsa. Ad esempio, per ottenere il criterio di autorizzazione di un'istanza VM di Compute Engine, seguire il formato descritto in gcloud compute instances get-iam-policy riferimento.

Se vuoi, aggiungi i seguenti argomenti al comando per specificare il formato ed esportare i risultati:

--format=FORMAT > PATH

Fornisci i seguenti valori:

  • FORMAT: il formato desiderato per il criterio di autorizzazione. Utilizza le funzionalità di json o yaml.
  • PATH: il percorso di un nuovo file di output per l'elemento allow .

Quando esegui il comando, il criterio di autorizzazione della risorsa viene stampato nella console Cloud o esportati nel file specificato.

REST

Per ottenere il criterio di autorizzazione della risorsa, usa il metodo getIamPolicy della risorsa.

Il metodo HTTP, l'URL e il corpo della richiesta dipendono dalla risorsa accesso in visualizzazione. Per trovare questi dettagli, individua il riferimento all'API per il servizio proprietario della risorsa, quindi individua il riferimento per il metodo getIamPolicy della risorsa. Ad esempio, il metodo HTTP, l'URL e il corpo della richiesta per Le istanze VM di Compute Engine sono specificate riferimento getIamPolicy di istanze.

La risposta per il metodo getIamPolicy di qualsiasi risorsa contiene il parametro di autorizzazione. Salva la risposta in un file del tipo appropriato (json o yaml).

Modifica il criterio di autorizzazione

Modifica la copia locale dei tuoi contenuti in modo programmatico o utilizzando un editor di testo il criterio di autorizzazione della risorsa per riflettere i ruoli che vuoi concedere o revocare.

Per assicurarti di non sovrascrivere altre modifiche, non modificare o rimuovere il valore campo etag del criterio di autorizzazione. Il campo etag identifica lo stato corrente del criterio di autorizzazione. Quando imposti il criterio di autorizzazione aggiornato, IAM confronta il valore etag nella richiesta con il valore etag esistente e scrive il criterio di autorizzazione solo se i valori corrispondono.

Per modificare i ruoli concessi da un criterio di autorizzazione, devi modificare le associazioni di ruoli nel criterio di autorizzazione. Le associazioni di ruoli hanno il formato seguente:

{
  "role": "ROLE_NAME",
  "members": [
    "PRINCIPAL_1",
    "PRINCIPAL_2",
    ...
    "PRINCIPAL_N"
  ],
  "conditions:" {
    CONDITIONS
  }
}

I segnaposto hanno i seguenti valori:

  • ROLE_NAME: il nome del ruolo che vuoi assegnare concessione. Utilizza uno dei seguenti formati:

    • Ruoli predefiniti: roles/SERVICE.IDENTIFIER
    • Ruoli personalizzati a livello di progetto: projects/PROJECT_ID/roles/IDENTIFIER
    • Ruoli personalizzati a livello di organizzazione: organizations/ORG_ID/roles/IDENTIFIER

    Per un elenco dei ruoli predefiniti, consulta Informazioni ruoli.

  • PRINCIPAL_1, PRINCIPAL_2, ...PRINCIPAL_N: identificatori per i principali a cui vuoi concedere il ruolo.

    Gli identificatori principali hanno in genere la seguente forma: PRINCIPAL-TYPE:ID. Ad esempio: user:my-user@example.com. Per un elenco completo dei valori che può assumere PRINCIPAL, consulta la documentazione di riferimento sull'associazione dei criteri.

    Per il tipo di entità user, il nome di dominio nell'identificatore deve essere un dominio Google Workspace o Cloud Identity. Per scoprire come configurare un dominio Cloud Identity, consulta la panoramica di Cloud Identity.

  • CONDITIONS: facoltativo. Qualsiasi condizione che specificano quando verrà concesso l'accesso.

Concedi un ruolo

Per concedere ruoli alle entità, modifica le associazioni di ruoli nel criterio di autorizzazione. Per scoprire quali ruoli puoi concedere, vedi Informazioni sui ruoli o visualizza i ruoli assegnabili per la risorsa. Se hai bisogno di aiuto per identificare i ruoli predefiniti più appropriati, consulta la sezione Scegliere i ruoli predefiniti.

Facoltativamente, puoi utilizzare le condizioni per concedere ruoli solo quando vengono soddisfatti determinati requisiti.

Per concedere un ruolo già incluso nel criterio di autorizzazione, aggiungi l'entità a un'associazione di ruolo esistente:

gcloud

Modifica il criterio di autorizzazione aggiungendo l'entità a un'associazione di ruolo esistente. Tieni presente che questa modifica non verrà applicata finché non imposti il criterio di autorizzazione aggiornato.

Ad esempio, immagina che il criterio di autorizzazione contenga la seguente associazione di ruoli, che concede il ruolo Amministratore istanze Compute (roles/compute.instanceAdmin) a kai@example.com:

{
  "role": "roles/compute.instanceAdmin",
  "members": [
    "user:kai@example.com"
  ]
}

Per concedere lo stesso ruolo a raha@example.com, aggiungi raha@example.com all'associazione di ruolo esistente:

{
  "role": "roles/compute.instanceAdmin",
  "members": [
    "user:kai@example.com",
    "user:raha@example.com"
  ]
}

REST

Modifica il criterio di autorizzazione aggiungendo l'entità a un'associazione di ruolo esistente. Tieni presente che questa modifica non verrà applicata finché non imposti il criterio di autorizzazione aggiornato.

Ad esempio, immagina che il criterio di autorizzazione contenga la seguente associazione di ruoli, che concede il ruolo Amministratore istanze Compute (roles/compute.instanceAdmin) a kai@example.com:

{
  "role": "roles/compute.instanceAdmin",
  "members": [
    "user:kai@example.com"
  ]
}

Per concedere lo stesso ruolo a raha@example.com, aggiungi raha@example.com all'associazione di ruolo esistente:

{
  "role": "roles/compute.instanceAdmin",
  "members": [
    "user:kai@example.com",
    "user:raha@example.com"
  ]
}

Per concedere un ruolo non ancora incluso nel criterio di autorizzazione, aggiungi una nuova associazione di ruolo:

gcloud

Modifica il criterio di autorizzazione aggiungendo una nuova associazione di ruoli che conceda il ruolo al componente principale. Questa modifica non verrà applicata finché non imposterai il criterio di autorizzazione aggiornato.

Ad esempio, per concedere il ruolo Amministratore bilanciatore del carico Compute (roles/compute.loadBalancerAdmin) a raha@example.com, aggiungi quanto segue associazione di ruolo all'array bindings per il criterio di autorizzazione:

{
  "role": "roles/compute.loadBalancerAdmin",
  "members": [
    "user:raha@example.com"
  ]
}

REST

Modifica il criterio di autorizzazione aggiungendo una nuova associazione di ruolo che conceda il ruolo all'entità. Questa modifica non avrà effetto finché non impostare il criterio di autorizzazione aggiornato.

Ad esempio, per concedere il ruolo Amministratore bilanciatore del carico Compute (roles/compute.loadBalancerAdmin) a raha@example.com, aggiungi quanto segue associazione di ruolo all'array bindings per il criterio di autorizzazione:

{
  "role": "roles/compute.loadBalancerAdmin",
  "members": [
    "user:raha@example.com"
  ]
}

Revocare un ruolo

Per revocare un ruolo, rimuovi l'entità dall'associazione dei ruoli. Se non sono presenti ad altre entità nell'associazione dei ruoli, rimuovi l'intera associazione dei ruoli.

gcloud

Revoca un ruolo modificando il criterio di autorizzazione JSON o YAML restituito dal comando get-iam-policy. Questa modifica non avrà effetto finché non impostare il criterio di autorizzazione aggiornato.

Per revocare un ruolo da un'entità, elimina le entità o le associazioni desiderate dall'array bindings per il criterio di autorizzazione.

REST

Revoca un ruolo modificando il criterio di autorizzazione JSON o YAML restituito dal comando get-iam-policy. Questa modifica non verrà applicata finché non imposterai il criterio di autorizzazione aggiornato.

Per revocare un ruolo da un'entità, elimina le entità o le associazioni desiderate dall'array bindings per il criterio di autorizzazione.

Imposta il criterio di autorizzazione

Dopo aver modificato il criterio di autorizzazione per concedere e revocare i ruoli desiderati, chiama setIamPolicy() per apportare gli aggiornamenti.

gcloud

Per impostare il criterio di autorizzazione per la risorsa, esegui il comando set-iam-policy per la risorsa.

Il formato di questo comando varia a seconda del tipo di risorsa a cui gestisci l'accesso. Per trovare il formato della risorsa, cerca il riferimento al comando set-iam-policy della risorsa nella documentazione di riferimento della CLI Google Cloud. Questo riferimento è organizzato per servizio e poi per risorsa. Ad esempio, per ottenere il criterio di autorizzazione di un'istanza VM di Compute Engine, seguire il formato descritto in gcloud compute instances set-iam-policy riferimento.

La risposta al comando set-iam-policy di qualsiasi risorsa contiene il criterio di autorizzazione aggiornato della risorsa.

REST

Per impostare il criterio di autorizzazione della risorsa, usa il metodo setIamPolicy della risorsa.

Il metodo HTTP, l'URL e il corpo della richiesta dipendono dalla risorsa a cui vuoi visualizzare l'accesso. Per trovare questi dettagli, trova il riferimento API per il servizio proprietario della risorsa, trova il relativo riferimento setIamPolicy. Ad esempio, il metodo HTTP, l'URL e il corpo della richiesta per un'istanza VM di Compute Engine sono specificati nel riferimento setIamPolicy delle istanze.

La risposta al metodo setIamPolicy di qualsiasi risorsa contiene il criterio di autorizzazione aggiornato della risorsa.

Passaggi successivi

Provalo

Se non conosci Google Cloud, crea un account per valutare le prestazioni dei nostri prodotti in scenari reali. I nuovi clienti ricevono anche 300 $ di crediti gratuiti per l'esecuzione, il test e il deployment dei carichi di lavoro.

Inizia gratuitamente