Tinjau insight kebijakan untuk project, folder, dan organisasi

Setelah 29 April 2024, beberapa fitur Policy Intelligence hanya akan tersedia untuk pelanggan dengan aktivasi tingkat organisasi dari paket Premium Security Command Center. Untuk informasi selengkapnya, lihat pertanyaan terkait Penagihan.

Halaman ini menunjukkan cara mengelola insight kebijakan, yang merupakan temuan berbasis machine learning tentang penggunaan izin. Insight kebijakan dapat membantu Anda mengidentifikasi akun utama mana yang memiliki izin yang tidak diperlukan.

Halaman ini berfokus pada insight kebijakan untuk project, folder, dan organisasi. Pemberi rekomendasi juga menawarkan insight kebijakan untuk jenis resource berikut:

• Bucket Cloud Storage
• Set data BigQuery

Insight kebijakan terkadang ditautkan dengan rekomendasi peran. Rekomendasi peran menyarankan tindakan yang dapat Anda lakukan untuk memperbaiki masalah yang diidentifikasi oleh insight kebijakan.

Catatan: Insight kebijakan mungkin tidak mencantumkan semua izin yang diperlukan akun utama. Misalnya, analisis kebijakan tidak mencantumkan izin yang digunakan oleh fitur akses awal non-publik. Untuk mengganti peran akun utama dengan aman, gunakan rekomendasi peran.

Sebelum memulai

• Aktifkan Recommender API.

  Mengaktifkan API

• Memahami rekomendasi peran IAM.
• Opsional: Baca tentang Insight pemberi rekomendasi.

Peran yang diperlukan

Untuk mendapatkan izin yang Anda perlukan untuk mengelola insight kebijakan, minta administrator untuk memberi Anda peran IAM berikut di project, folder, atau organisasi yang insight-nya ingin Anda kelola:

• Untuk melihat insight kebijakan: IAM Recommender Viewer (roles/recommender.iamViewer)
• Untuk mengubah insight kebijakan: IAM Recommender Admin (roles/recommender.iamAdmin)

Untuk mengetahui informasi selengkapnya tentang pemberian peran, lihat Mengelola akses.

Peran yang telah ditetapkan ini berisi izin yang diperlukan untuk mengelola insight kebijakan. Untuk melihat izin yang benar-benar diperlukan, perluas bagian Izin yang diperlukan:

Izin yang diperlukan

Izin berikut diperlukan untuk mengelola insight kebijakan:

• Untuk melihat insight kebijakan:
  • recommender.iamPolicyInsights.get
  • recommender.iamPolicyInsights.list
• Untuk mengubah insight kebijakan: recommender.iamPolicyInsights.update

Anda mung juga bisa mendapatkan izin ini dengan peran khusus atau peran bawaanlainnya.

Mencantumkan insight kebijakan

Untuk mencantumkan semua insight kebijakan untuk project, folder, atau organisasi Anda, gunakan salah satu metode berikut:

Konsol

1. Di konsol Google Cloud, buka halaman IAM.

   Buka IAM

2. Pilih project, folder, atau organisasi.

Kolom Insight keamanan menampilkan semua insight terkait keamanan untuk project Anda, termasuk insight kebijakan. Insight kebijakan memiliki bentuk EXCESS/TOTAL excess permissions, dengan EXCESS adalah jumlah izin dalam peran yang tidak diperlukan akun utama dan TOTAL adalah jumlah total izin dalam peran tersebut.

gcloud

Gunakan perintah gcloud recommender insights list untuk melihat semua insight kebijakan untuk project, folder, atau organisasi Anda.

Sebelum menjalankan perintah, ganti nilai berikut:

• RESOURCE_TYPE: Jenis resource yang ingin Anda buat daftar insightnya. Gunakan nilai project, folder, atau organization.
• RESOURCE_ID: ID project, folder, atau organisasi yang ingin Anda cantumkan insight-nya.

gcloud recommender insights list --insight-type=google.iam.policy.Insight \
    --RESOURCE_TYPE=RESOURCE_ID \
    --location=global

Outputnya mencantumkan semua insight kebijakan untuk project, folder, atau organisasi Anda. Contoh:

INSIGHT_ID                            CATEGORY  INSIGHT_STATE  LAST_REFRESH_TIME     SEVERITY  INSIGHT_SUBTYPE    DESCRIPTION
00133c0b-5431-4b30-9172-7c903aa4af24  SECURITY  ACTIVE         2022-05-24T07:00:00Z  LOW       PERMISSIONS_USAGE  9 of the permissions in this role binding were used in the past 90 days.
0161f2eb-acb7-4a5e-ad52-50284beaa312  SECURITY  ACTIVE         2022-05-24T07:00:00Z  LOW       PERMISSIONS_USAGE  0 of the permissions in this role binding were used in the past 90 days.
01ea0d0d-e9a1-4073-9367-5a934a857fb4  SECURITY  ACTIVE         2022-05-24T07:00:00Z  LOW       PERMISSIONS_USAGE  1 of the permissions in this role binding were used in the past 90 days.
039407bc-a25b-4aeb-b573-5c851f2e9833  SECURITY  ACTIVE         2022-05-24T07:00:00Z  HIGH      PERMISSIONS_USAGE  52 of the permissions in this role binding were used in the past 90 days.
0541df88-8bc3-44b3-ad5d-9cb372630aeb  SECURITY  ACTIVE         2022-05-24T07:00:00Z  HIGH      PERMISSIONS_USAGE  31 of the permissions in this role binding were used in the past 90 days.
07841f74-02ce-4de8-bbe6-fc4eabb68568  SECURITY  ACTIVE         2022-05-24T07:00:00Z  HIGH      PERMISSIONS_USAGE  0 of the permissions in this role binding were used in the past 90 days.
07713094-fdee-4475-9c43-cd53d52c9de1  SECURITY  ACTIVE         2022-05-24T07:00:00Z  LOW       PERMISSIONS_USAGE  2 of the permissions in this role binding were used in the past 90 days.
0a438d19-9d63-4749-aadd-578aa4e77908  SECURITY  ACTIVE         2022-05-24T07:00:00Z  LOW       PERMISSIONS_USAGE  0 of the permissions in this role binding were used in the past 90 days.
f4292f55-105b-4744-9dc3-fcacf59685bb  SECURITY  ACTIVE         2022-05-24T07:00:00Z  HIGH      PERMISSIONS_USAGE  4 of the permissions in this role binding were used in the past 90 days.

REST

Metode insights.list Recommender API mencantumkan semua insight kebijakan untuk project, folder, atau organisasi Anda.

Sebelum menggunakan salah satu data permintaan, lakukan penggantian berikut:

• RESOURCE_TYPE: Jenis referensi yang ingin Anda cantumkan insight. Gunakan nilai projects, folders, atau organizations.
• RESOURCE_ID: ID project, folder, atau organisasi yang ingin Anda cantumkan insight-nya.
• PROJECT_ID: Project ID Google Cloud Anda Project ID adalah string alfanumerik, seperti my-project.

Metode HTTP dan URL:

GET https://recommender.googleapis.com/v1/RESOURCE_TYPE/RESOURCE_ID/locations/global/insightTypes/google.iam.policy.Insight/insights

Untuk mengirim permintaan, perluas salah satu opsi berikut:

curl (Linux, macOS, atau Cloud Shell)

Catatan: Perintah berikut mengasumsikan bahwa Anda telah login ke CLI gcloud dengan akun pengguna Anda dengan menjalankan gcloud init atau gcloud auth login, atau menggunakan Cloud Shell, yang secara otomatis membuat Anda login ke CLI gcloud. Anda dapat memeriksa akun yang aktif saat ini dengan menjalankan gcloud auth list.

Jalankan perintah berikut:

curl -X GET \
     -H "Authorization: Bearer $(gcloud auth print-access-token)" \
     -H "x-goog-user-project: PROJECT_ID" \
     "https://recommender.googleapis.com/v1/RESOURCE_TYPE/RESOURCE_ID/locations/global/insightTypes/google.iam.policy.Insight/insights"

PowerShell (Windows)

Catatan: Perintah berikut mengasumsikan bahwa Anda telah login ke CLI gcloud dengan akun pengguna Anda dengan menjalankan gcloud init atau gcloud auth login. Anda dapat memeriksa akun yang aktif saat ini dengan menjalankan gcloud auth list.

Jalankan perintah berikut:

$cred = gcloud auth print-access-token
$headers = @{ "Authorization" = "Bearer $cred"; "x-goog-user-project" = "PROJECT_ID" }

Invoke-WebRequest `
    -Method GET `
    -Headers $headers `
    -Uri "https://recommender.googleapis.com/v1/RESOURCE_TYPE/RESOURCE_ID/locations/global/insightTypes/google.iam.policy.Insight/insights" | Select-Object -Expand Content

Responsnya mencantumkan semua insight kebijakan untuk project, folder, atau organisasi Anda. Contoh:

{
  "insights": [
    {
      "name": "projects/123456789012/locations/global/insightTypes/google.iam.policy.Insight/insights/07841f74-02ce-4de8-bbe6-fc4eabb68568",
      "description": "0 of the permissions in this role binding were used in the past 90 days.",
      "content": {
        "role": "roles/viewer",
        "member": "serviceAccount:[e-mail]",
        "condition": {
          "expression": "",
          "title": "",
          "description": "",
          "location": ""
        },
        "exercisedPermissions": [],
        "inferredPermissions": []
      },
      "lastRefreshTime": "2022-05-24T07:00:00Z",
      "observationPeriod": "7776000s",
      "stateInfo": {
        "state": "ACTIVE"
      },
      "category": "SECURITY",
      "associatedRecommendations": [
        {
          "recommendation": "projects/123456789012/locations/global/recommenders/google.iam.policy.Recommender/recommendations/b1932220-867d-43d1-bd74-fb95876ab656"
        }
      ],
      "targetResources": [
        "//cloudresourcemanager.googleapis.com/projects/123456789012"
      ],
      "insightSubtype": "PERMISSIONS_USAGE",
      "etag": "\"b153ab487e4ae100\"",
      "severity": "HIGH"
    },
    {
      "name": "projects/123456789012/locations/global/insightTypes/google.iam.policy.Insight/insights/f4292f55-105b-4744-9dc3-fcacf59685bb",
      "description": "4 of the permissions in this role binding were used in the past 90 days.",
      "content": {
        "role": "roles/owner",
        "member": "serviceAccount:[e-mail]",
        "condition": {
          "expression": "",
          "title": "",
          "description": "",
          "location": ""
        },
        "exercisedPermissions": [
          {
            "permission": "iam.roles.create"
          },
          {
            "permission": "iam.roles.delete"
          },
          {
            "permission": "iam.roles.list"
          },
          {
            "permission": "iam.roles.update"
          }
        ],
        "inferredPermissions": []
      },
      "lastRefreshTime": "2022-05-24T07:00:00Z",
      "observationPeriod": "7776000s",
      "stateInfo": {
        "state": "ACTIVE"
      },
      "category": "SECURITY",
      "associatedRecommendations": [
        {
          "recommendation": "projects/123456789012/locations/global/recommenders/google.iam.policy.Recommender/recommendations/6ab16c1d-edce-45e5-8d82-570fdd49892a"
        }
      ],
      "targetResources": [
        "//cloudresourcemanager.googleapis.com/projects/123456789012"
      ],
      "insightSubtype": "PERMISSIONS_USAGE",
      "etag": "\"49bb705553338fc3\"",
      "severity": "HIGH"
    }
  ]
}

Untuk mempelajari komponen insight lebih lanjut, lihat artikel Meninjau insight kebijakan di halaman ini.

Dapatkan satu insight kebijakan

Untuk mendapatkan informasi selengkapnya tentang satu insight, termasuk deskripsi, status, dan rekomendasi apa pun yang terkait dengan insight, gunakan salah satu metode berikut:

Konsol

1. Di konsol Google Cloud, buka halaman IAM.

   Buka IAM

2. Pilih project, folder, atau organisasi.

3. Di kolom Insight keamanan, klik insight kebijakan. Insight kebijakan memiliki bentuk EXCESS/TOTAL excess permissions, dengan EXCESS adalah jumlah izin dalam peran yang tidak diperlukan akun utama dan TOTAL adalah jumlah total izin dalam peran tersebut.

Konsol Google Cloud akan membuka panel yang menampilkan detail insight.

gcloud

Gunakan perintah gcloud recommender insights describe dengan ID insight Anda untuk melihat informasi tentang satu insight.

• INSIGHT_ID: ID insight yang ingin Anda lihat. Untuk menemukan ID, cantumkan insight untuk project, folder, atau organisasi Anda.
• RESOURCE_TYPE: Jenis resource yang insight-nya ingin Anda kelola. Gunakan nilai project, folder, atau organization.
• RESOURCE_ID: ID project, folder, atau organisasi yang ingin Anda kelola insightnya.

gcloud recommender insights describe INSIGHT_ID \
    --insight-type=google.iam.policy.Insight \
    --RESOURCE_TYPE=RESOURCE_ID \
    --location=global

Output menampilkan insight secara mendetail. Misalnya, insight berikut menunjukkan bahwa [e-mail] tidak menggunakan izin apa pun dari peran Pelihat (roles/viewer) dalam 90 hari terakhir:

associatedRecommendations:
- recommendation: projects/123456789012/locations/global/recommenders/google.iam.policy.Recommender/recommendations/0573b702-96a5-4622-a916-c762e7b0731f
category: SECURITY
content:
  condition:
    description: ''
    expression: ''
    location: ''
    title: ''
  exercisedPermissions: []
  inferredPermissions: []
  member: serviceAccount:[e-mail]
  role: roles/viewer
description: 0 of the permissions in this role binding were used in the past 90 days.
etag: '"d3cdec23cc712bd0"'
insightSubtype: PERMISSIONS_USAGE
lastRefreshTime: '2020-07-11T07:00:00Z'
name: projects/123456789012/locations/global/insightTypes/google.iam.policy.Insight/insights/0d3ce433-f067-4e78-b6ae-03d7d1f6f040
observationPeriod: 7776000s
severity: HIGH
stateInfo:
  state: ACTIVE
targetResources:
- //cloudresourcemanager.googleapis.com/projects/123456789012

Untuk mempelajari komponen insight lebih lanjut, lihat artikel Meninjau insight kebijakan di halaman ini.

REST

Metode insights.get Recommender API mendapatkan satu insight.

Sebelum menggunakan salah satu data permintaan, lakukan penggantian berikut:

• RESOURCE_TYPE: Jenis resource yang insight-nya ingin Anda kelola. Gunakan nilai projects, folders, atau organizations.
• RESOURCE_ID: ID project, folder, atau organisasi yang ingin Anda kelola insightnya.
• INSIGHT_ID: ID insight yang ingin Anda lihat. Jika tidak tahu ID insight tersebut, Anda dapat menemukannya dengan mencantumkan insight di project, folder, atau organisasi. ID insight adalah semuanya setelah insights/ di kolom name untuk insight.
• PROJECT_ID: Project ID Google Cloud Anda Project ID adalah string alfanumerik, seperti my-project.

Metode HTTP dan URL:

GET https://recommender.googleapis.com/v1/RESOURCE_TYPE/RESOURCE_ID/locations/global/insightTypes/google.iam.policy.Insight/insights/INSIGHT_ID

Untuk mengirim permintaan, perluas salah satu opsi berikut:

curl (Linux, macOS, atau Cloud Shell)

Catatan: Perintah berikut mengasumsikan bahwa Anda telah login ke CLI gcloud dengan akun pengguna Anda dengan menjalankan gcloud init atau gcloud auth login, atau menggunakan Cloud Shell, yang secara otomatis membuat Anda login ke CLI gcloud. Anda dapat memeriksa akun yang aktif saat ini dengan menjalankan gcloud auth list.

Jalankan perintah berikut:

curl -X GET \
     -H "Authorization: Bearer $(gcloud auth print-access-token)" \
     -H "x-goog-user-project: PROJECT_ID" \
     "https://recommender.googleapis.com/v1/RESOURCE_TYPE/RESOURCE_ID/locations/global/insightTypes/google.iam.policy.Insight/insights/INSIGHT_ID"

PowerShell (Windows)

Catatan: Perintah berikut mengasumsikan bahwa Anda telah login ke CLI gcloud dengan akun pengguna Anda dengan menjalankan gcloud init atau gcloud auth login. Anda dapat memeriksa akun yang aktif saat ini dengan menjalankan gcloud auth list.

Jalankan perintah berikut:

$cred = gcloud auth print-access-token
$headers = @{ "Authorization" = "Bearer $cred"; "x-goog-user-project" = "PROJECT_ID" }

Invoke-WebRequest `
    -Method GET `
    -Headers $headers `
    -Uri "https://recommender.googleapis.com/v1/RESOURCE_TYPE/RESOURCE_ID/locations/global/insightTypes/google.iam.policy.Insight/insights/INSIGHT_ID" | Select-Object -Expand Content

Respons berisi wawasan. Misalnya, insight berikut menunjukkan bahwa [e-mail] tidak menggunakan izin apa pun dari peran Pelihat (roles/viewer) dalam 90 hari terakhir:

{
  "name": "projects/123456789012/locations/global/insightTypes/google.iam.policy.Insight/insights/07841f74-02ce-4de8-bbe6-fc4eabb68568",
  "description": "0 of the permissions in this role binding were used in the past 90 days.",
  "content": {
    "role": "roles/viewer",
    "member": "serviceAccount:[e-mail]",
    "condition": {
      "expression": "",
      "title": "",
      "description": "",
      "location": ""
    },
    "exercisedPermissions": [],
    "inferredPermissions": []
  },
  "lastRefreshTime": "2022-05-24T07:00:00Z",
  "observationPeriod": "7776000s",
  "stateInfo": {
    "state": "ACTIVE"
  },
  "category": "SECURITY",
  "associatedRecommendations": [
    {
      "recommendation": "projects/123456789012/locations/global/recommenders/google.iam.policy.Recommender/recommendations/b1932220-867d-43d1-bd74-fb95876ab656"
    }
  ],
  "targetResources": [
    "//cloudresourcemanager.googleapis.com/projects/123456789012"
  ],
  "insightSubtype": "PERMISSIONS_USAGE",
  "etag": "\"d3cdec23cc712bd0\"",
  "severity": "HIGH"
}

Untuk mempelajari komponen insight lebih lanjut, lihat artikel Meninjau insight kebijakan di halaman ini.

Meninjau insight kebijakan

Setelah mendapatkan satu insight, Anda dapat meninjau kontennya untuk memahami pola penggunaan resource yang disorotnya.

Konsol

Saat Anda mengklik insight kebijakan di Konsol Google Cloud, konsol Google Cloud akan membuka panel yang menampilkan detail insight. Tampilan detail ini bergantung pada apakah insight tersebut dikaitkan dengan rekomendasi atau tidak.

Catatan: Anda dapat memeriksa apakah insight dikaitkan dengan rekomendasi dengan mencari ikon Rekomendasi tersedia di kolom Insight keamanan.

Jika insight dikaitkan dengan rekomendasi, panel akan menampilkan detail rekomendasi.

Jika insight tidak terkait dengan rekomendasi, panel akan menampilkan daftar semua izin dalam peran. Izin yang digunakan akun utama muncul di bagian atas daftar, diikuti dengan izin berlebih.

Catatan: Jika insight ditujukan untuk peran dasar, daftar izin di Konsol Google Cloud mungkin tidak mencakup semua izin yang diperlukan oleh akun utama. Hal ini karena beberapa layanan menggunakan peran dasar untuk memberikan peran tambahan secara tidak langsung. Daftar izin mungkin tidak menyertakan izin dari peran tambahan ini, meski akun utama menggunakannya. Rekomendasi peran secara otomatis memperhitungkan perbedaan ini.

Peran yang diberikan secara tidak langsung mencakup peran yang diberikan melalui nilai kemudahan Cloud Storage dan keanggotaan grup khusus BigQuery.

gcloud

Konten insight ditentukan oleh subjenisnya. Insight kebijakan (google.iam.policy.Insight) memiliki subjenis PERMISSIONS_USAGE.

Insight PERMISSIONS_USAGE memiliki komponen berikut, tidak harus dalam urutan berikut:

• associatedRecommendations: ID untuk semua rekomendasi yang terkait dengan insight. Jika tidak ada rekomendasi yang terkait dengan insight, kolom ini kosong.
• category: Kategori untuk insight IAM selalu SECURITY.

• content: Melaporkan penggunaan izin akun utama untuk peran tertentu. Kolom ini berisi komponen berikut:

  • condition: Kondisi apa pun yang melekat pada binding yang memberikan peran kepada akun utama. Jika tidak ada kondisi, kolom ini berisi kondisi kosong.
  • exercisedPermissions: Izin dalam peran yang digunakan akun utama selama periode pengamatan.
  • inferredPermissions: Izin dalam peran yang telah ditentukan oleh Pemberi Rekomendasi, melalui ML, yang kemungkinan diperlukan oleh akun utama berdasarkan izin yang dilakukannya.
  • member: Akun utama yang penggunaan izinnya dianalisis.
  • role: Peran yang penggunaan izinnya dianalisis.
• description: Ringkasan insight yang dapat dibaca manusia.

• etag: ID unik untuk status insight saat ini. Setiap kali insight berubah, nilai etag baru akan ditetapkan.

  Untuk mengubah status insight, Anda harus memberikan etag insight yang ada. Menggunakan etag akan membantu memastikan bahwa operasi apa pun hanya dilakukan jika insight tidak berubah sejak terakhir kali Anda mengambilnya.

• insightSubtype: Subjenis insight.
• lastRefreshTime: Tanggal saat insight terakhir diperbarui, yang menunjukkan keaktualan data yang digunakan untuk membuat insight.

• name: Nama insight, dalam format berikut:

  RESOURCE_TYPE/RESOURCE_ID/locations/global/insightTypes/google.iam.policy.Insight/insights/INSIGHT_ID

  Placeholder memiliki nilai berikut:

  • RESOURCE_TYPE: Jenis resource yang menghasilkan insight.
  • RESOURCE_ID: ID project, folder, atau organisasi tempat insight dihasilkan.
  • INSIGHT_ID: ID unik untuk insight.
• observationPeriod: Jangka waktu menuju insight. Data sumber yang digunakan untuk membuat insight berakhir pada lastRefreshTime dan dimulai pada lastRefreshTime dikurangi observationPeriod.

• stateInfo: Insight melalui beberapa transisi status setelah diusulkan:

  • ACTIVE: Insight telah dibuat, tetapi belum ada tindakan yang diambil atau tindakan yang diambil tanpa memperbarui status insight. Insight aktif diperbarui saat data pokok berubah.
  • ACCEPTED: Beberapa tindakan telah dilakukan berdasarkan insight. Insight diterima jika rekomendasi terkait ditandai sebagai CLAIMED, SUCCEEDED, atau FAILED, atau insight diterima secara langsung. Saat insight berada dalam status ACCEPTED, isi insight tidak dapat berubah. Insight yang diterima akan dipertahankan selama 90 hari setelah diterima.
• targetResources: Nama resource lengkap project, folder, atau organisasi yang menjadi tujuan insight. Misalnya, //cloudresourcemanager.googleapis.com/projects/123456789012.

REST

Konten insight ditentukan oleh subjenisnya. Insight kebijakan (google.iam.policy.Insight) memiliki subjenis PERMISSIONS_USAGE.

Insight PERMISSIONS_USAGE memiliki komponen berikut, tidak harus dalam urutan berikut:

• associatedRecommendations: ID untuk semua rekomendasi yang terkait dengan insight. Jika tidak ada rekomendasi yang terkait dengan insight, kolom ini kosong.
• category: Kategori untuk insight IAM selalu SECURITY.

• content: Melaporkan penggunaan izin akun utama untuk peran tertentu. Kolom ini berisi komponen berikut:

  • condition: Kondisi apa pun yang melekat pada binding yang memberikan peran kepada akun utama. Jika tidak ada kondisi, kolom ini berisi kondisi kosong.
  • exercisedPermissions: Izin dalam peran yang digunakan akun utama selama periode pengamatan.
  • inferredPermissions: Izin dalam peran yang telah ditentukan oleh Pemberi Rekomendasi, melalui ML, yang kemungkinan diperlukan oleh akun utama berdasarkan izin yang dilakukannya.
  • member: Akun utama yang penggunaan izinnya dianalisis.
  • role: Peran yang penggunaan izinnya dianalisis.
• description: Ringkasan insight yang dapat dibaca manusia.

• etag: ID unik untuk status insight saat ini. Setiap kali insight berubah, nilai etag baru akan ditetapkan.

  Untuk mengubah status insight, Anda harus memberikan etag insight yang ada. Menggunakan etag akan membantu memastikan bahwa operasi apa pun hanya dilakukan jika insight tidak berubah sejak terakhir kali Anda mengambilnya.

• insightSubtype: Subjenis insight.
• lastRefreshTime: Tanggal saat insight terakhir diperbarui, yang menunjukkan keaktualan data yang digunakan untuk membuat insight.

• name: Nama insight, dalam format berikut:

  RESOURCE_TYPE/RESOURCE_ID/locations/global/insightTypes/google.iam.policy.Insight/insights/INSIGHT_ID

  Placeholder memiliki nilai berikut:

  • RESOURCE_TYPE: Jenis resource yang menghasilkan insight.
  • RESOURCE_ID: ID project, folder, atau organisasi tempat insight dihasilkan.
  • INSIGHT_ID: ID unik untuk insight.
• observationPeriod: Jangka waktu menuju insight. Data sumber yang digunakan untuk membuat insight berakhir pada lastRefreshTime dan dimulai pada lastRefreshTime dikurangi observationPeriod.

• stateInfo: Insight melalui beberapa transisi status setelah diusulkan:

  • ACTIVE: Insight telah dibuat, tetapi belum ada tindakan yang diambil atau tindakan yang diambil tanpa memperbarui status insight. Insight aktif diperbarui saat data pokok berubah.
  • ACCEPTED: Beberapa tindakan telah dilakukan berdasarkan insight. Insight diterima jika rekomendasi terkait ditandai sebagai CLAIMED, SUCCEEDED, atau FAILED, atau insight diterima secara langsung. Saat insight berada dalam status ACCEPTED, isi insight tidak dapat berubah. Insight yang diterima akan dipertahankan selama 90 hari setelah diterima.
• targetResources: Nama resource lengkap project, folder, atau organisasi yang menjadi tujuan insight. Misalnya, //cloudresourcemanager.googleapis.com/projects/123456789012.

Tandai insight kebijakan sebagai ACCEPTED

Jika mengambil tindakan berdasarkan insight aktif, Anda dapat menandai insight tersebut sebagai ACCEPTED. Status ACCEPTED memberi tahu Recommender API bahwa Anda telah mengambil tindakan berdasarkan insight ini, yang membantu meningkatkan kualitas rekomendasi.

Insight yang diterima akan dipertahankan selama 90 hari setelah ditandai sebagai ACCEPTED.

Konsol

Jika insight dikaitkan dengan rekomendasi, menerapkan rekomendasi akan mengubah status insight menjadi ACCEPTED.

Untuk menandai insight sebagai ACCEPTED tanpa menerapkan rekomendasi, gunakan gcloud CLI atau REST API.

gcloud

Gunakan perintah gcloud recommender insights mark-accepted dengan ID insight Anda untuk menandai insight sebagai ACCEPTED.

• INSIGHT_ID: ID insight yang ingin Anda lihat. Untuk menemukan ID, cantumkan insight untuk project, folder, atau organisasi Anda.
• RESOURCE_TYPE: Jenis resource yang insight-nya ingin Anda kelola. Gunakan nilai project, folder, atau organization.
• RESOURCE_ID: ID project, folder, atau organisasi yang ingin Anda kelola insightnya.

• ETAG: ID untuk versi insight. Untuk mendapatkan etag, lakukan hal berikut:

  1. Dapatkan insight menggunakan perintah gcloud recommender insights describe.
  2. Temukan dan salin nilai etag dari output, termasuk tanda petik yang disertakan. Contoh, "d3cdec23cc712bd0".

gcloud recommender insights mark-accepted INSIGHT_ID \
    --insight-type=google.iam.policy.Insight \
    --RESOURCE_TYPE=RESOURCE_ID \
    --location=global \
    --etag=ETAG

Output menampilkan insight, sekarang dengan status ACCEPTED:

associatedRecommendations:
- recommendation: projects/123456789012/locations/global/recommenders/google.iam.policy.Recommender/recommendations/0573b702-96a5-4622-a916-c762e7b0731f
category: SECURITY
content:
  condition:
    description: ''
    expression: ''
    location: ''
    title: ''
  exercisedPermissions: []
  inferredPermissions: []
  member: serviceAccount:[e-mail]
  role: roles/viewer
description: 0 of the permissions in this role binding were used in the past 90 days.
etag: '"b153ab487e4ae100"'
insightSubtype: PERMISSIONS_USAGE
lastRefreshTime: '2020-07-11T07:00:00Z'
name: projects/123456789012/locations/global/insightTypes/google.iam.policy.Insight/insights/0d3ce433-f067-4e78-b6ae-03d7d1f6f040
observationPeriod: 7776000s
severity: HIGH
stateInfo:
  state: ACCEPTED
targetResources:
- //cloudresourcemanager.googleapis.com/projects/123456789012

Untuk mempelajari info status insight lebih lanjut, baca artikel Meninjau insight kebijakan di halaman ini.

REST

Metode insights.markAccepted Recommender API menandai insight sebagai ACCEPTED.

Sebelum menggunakan salah satu data permintaan, lakukan penggantian berikut:

• RESOURCE_TYPE: Jenis resource yang insight-nya ingin Anda kelola. Gunakan nilai projects, folders, atau organizations.
• RESOURCE_ID: ID project, folder, atau organisasi yang ingin Anda kelola insightnya.
• INSIGHT_ID: ID insight yang ingin Anda lihat. Jika tidak tahu ID insight tersebut, Anda dapat menemukannya dengan mencantumkan insight di project, folder, atau organisasi. ID insight adalah semuanya setelah insights/ di kolom name untuk insight.
• ETAG: ID untuk versi insight. Untuk mendapatkan etag, lakukan hal berikut:
  1. Dapatkan insight menggunakan metode insights.get.
  2. Temukan dan salin nilai etag dari respons.
• PROJECT_ID: Project ID Google Cloud Anda Project ID adalah string alfanumerik, seperti my-project.

Metode HTTP dan URL:

POST https://recommender.googleapis.com/v1/RESOURCE_TYPE/RESOURCE_ID/locations/global/insightTypes/google.iam.policy.Insight/insights/INSIGHT_ID:markAccepted

Meminta isi JSON:

{
  "etag": "ETAG"
}

Untuk mengirim permintaan Anda, perluas salah satu opsi berikut:

curl (Linux, macOS, atau Cloud Shell)

Catatan: Perintah berikut mengasumsikan bahwa Anda telah login ke CLI gcloud dengan akun pengguna Anda dengan menjalankan gcloud init atau gcloud auth login, atau menggunakan Cloud Shell, yang secara otomatis membuat Anda login ke CLI gcloud. Anda dapat memeriksa akun yang aktif saat ini dengan menjalankan gcloud auth list.

Simpan isi permintaan dalam file bernama request.json, dan jalankan perintah berikut:

curl -X POST \
     -H "Authorization: Bearer $(gcloud auth print-access-token)" \
     -H "x-goog-user-project: PROJECT_ID" \
     -H "Content-Type: application/json; charset=utf-8" \
     -d @request.json \
     "https://recommender.googleapis.com/v1/RESOURCE_TYPE/RESOURCE_ID/locations/global/insightTypes/google.iam.policy.Insight/insights/INSIGHT_ID:markAccepted"

PowerShell (Windows)

Catatan: Perintah berikut mengasumsikan bahwa Anda telah login ke CLI gcloud dengan akun pengguna Anda dengan menjalankan gcloud init atau gcloud auth login. Anda dapat memeriksa akun yang aktif saat ini dengan menjalankan gcloud auth list.

Simpan isi permintaan dalam file bernama request.json, dan jalankan perintah berikut:

$cred = gcloud auth print-access-token
$headers = @{ "Authorization" = "Bearer $cred"; "x-goog-user-project" = "PROJECT_ID" }

Invoke-WebRequest `
    -Method POST `
    -Headers $headers `
    -ContentType: "application/json; charset=utf-8" `
    -InFile request.json `
    -Uri "https://recommender.googleapis.com/v1/RESOURCE_TYPE/RESOURCE_ID/locations/global/insightTypes/google.iam.policy.Insight/insights/INSIGHT_ID:markAccepted" | Select-Object -Expand Content

Responsnya berisi insight, sekarang dengan status ACCEPTED:

{
  "name": "projects/1234567890/locations/global/insightTypes/google.iam.policy.Insight/insights/07841f74-02ce-4de8-bbe6-fc4eabb68568",
  "description": "0 of the permissions in this role binding were used in the past 90 days.",
  "content": {
    "role": "roles/viewer",
    "member": "serviceAccount:[e-mail]",
    "condition": {
      "expression": "",
      "title": "",
      "description": "",
      "location": ""
    },
    "exercisedPermissions": [],
    "inferredPermissions": []
  },
  "lastRefreshTime": "2022-05-24T07:00:00Z",
  "observationPeriod": "7776000s",
  "stateInfo": {
    "state": "ACCEPTED"
    },
  "category": "SECURITY",
  "associatedRecommendations": [
    {
      "recommendation": "projects/1234567890/locations/global/recommenders/google.iam.policy.Recommender/recommendations/b1932220-867d-43d1-bd74-fb95876ab656"
    }
  ],
  "targetResources": [
    "//cloudresourcemanager.googleapis.com/projects/123456789012"
  ],
  "insightSubtype": "PERMISSIONS_USAGE",
  "etag": "\"b153ab487e4ae100\"",
  "severity": "HIGH"
}

Untuk mempelajari info status insight lebih lanjut, baca artikel Meninjau insight kebijakan di halaman ini.

Langkah selanjutnya

• Pelajari cara melihat dan menerapkan rekomendasi kebijakan.
• Gunakan Hub Rekomendasi untuk melihat dan mengelola semua rekomendasi untuk project Anda, termasuk rekomendasi IAM.