Usa políticas de la organización personalizadas para las políticas de permiso

En esta página, se muestra cómo usar las restricciones personalizadas del servicio de políticas de la organización para restringir operaciones específicas en los siguientes recursos de Google Cloud:

  • iam.googleapis.com/AllowPolicy

Para obtener más información sobre la política de la organización, consulta Políticas de la organización personalizadas.

Acerca de las políticas y restricciones de la organización

El servicio de políticas de la organización de Google Cloud te brinda un control centralizado y programático sobre los recursos de tu organización. Como administrador de políticas de la organización, puedes definir una política de la organización, que es un conjunto de limitaciones llamadas restricciones que se aplican a los recursos de Google Cloud y a sus descendientes en la jerarquía de recursos de Google Cloud. Puedes aplicar políticas de la organización a nivel de la organización, carpeta o proyecto.

La política de la organización proporciona restricciones predefinidas para varios servicios de Google Cloud. Sin embargo, si deseas un control más detallado y personalizable sobre los campos específicos que están restringidos en las políticas de tu organización, también puedes crear restricciones personalizadas y usarlas en una política de la organización.

Herencia de políticas

De forma predeterminada, las políticas de la organización se heredan según los subordinados de los recursos en los que se aplica la política. Por ejemplo, si aplicas una política en una carpeta, Google Cloud aplica la política en todos los proyectos de la carpeta. Para obtener más información sobre este comportamiento y cómo cambiarlo, consulta Reglas de evaluación de la jerarquía.

Beneficios

Puedes usar políticas de la organización personalizadas que hagan referencia a atributos de IAM para controlar cómo se pueden modificar tus políticas de permisos. Específicamente, puedes controlar lo siguiente:

  • A quién se le pueden otorgar roles
  • Quiénes pueden tener sus roles revocados
  • Qué roles se pueden otorgar
  • Qué roles se pueden revocar

Por ejemplo, puedes evitar que se otorguen roles que contengan la palabra admin a los principales cuyas direcciones de correo electrónico terminen en @gmail.com.

Limitaciones

  • Las políticas de la organización personalizadas en el modo de prueba que hacen referencia a atributos de IAM tienen algunas limitaciones. Es decir, es posible que a los registros de auditoría de los incumplimientos que involucran el método setIamPolicy les falten los siguientes campos:

    • resourceName
    • serviceName
    • methodName

  • Los registros de auditoría no se generan para todos los incumplimientos de políticas de la organización personalizados relacionados con IAM. Específicamente, si una política de la organización personalizada hace que una operación setIamPolicy falle en el recurso de la organización, Google Cloud no genera un registro de auditoría para ese evento.

  • Las políticas de la organización personalizadas que hacen referencia a atributos de IAM no afectan lo siguiente:

  • Se pueden enviar invitaciones a los usuarios para que se conviertan en propietarios, incluso si tienes una política de organización personalizada que evita que se otorgue el rol de propietario (roles/owner). Sin embargo, si bien la política de organización personalizada no impide que se envíe una invitación, sí impide que se les otorgue el rol de propietario a los usuarios invitados. Si los usuarios invitados intentan aceptar la invitación, verán un error y no se les otorgará el rol de propietario.

  • Algunas acciones en Google Cloud, como crear recursos o habilitar APIs, implican otorgar automáticamente un rol a un agente de servicio o a una cuenta de servicio predeterminada. Si una acción implica otorgar un rol de forma automática y una política de la organización impide que se otorgue, es posible que falle toda la operación.

    Si encuentras este problema, puedes usar etiquetas para inhabilitar temporalmente la restricción que impide el otorgamiento de roles. Luego, realiza la acción. Una vez que finalice la acción, vuelve a habilitar la restricción.

Antes de comenzar

  • Si deseas probar políticas de la organización personalizadas que hagan referencia a recursos de IAM, crea un proyecto nuevo. Probar estas políticas de la organización en un proyecto existente podría interrumpir los flujos de trabajo de seguridad.

    1. In the Google Cloud console, go to the project selector page.

      Go to project selector

    2. Select or create a Google Cloud project.

Roles obligatorios

Para obtener los permisos que necesitas para administrar las políticas de la organización, pídele a tu administrador que te otorgue los siguientes roles de IAM:

Para obtener más información sobre cómo otorgar roles, consulta Administra el acceso a proyectos, carpetas y organizaciones.

Estos roles predefinidos contienen los permisos necesarios para administrar las políticas de la organización. Para ver los permisos exactos que son necesarios, expande la sección Permisos requeridos:

Permisos necesarios

Se requieren los siguientes permisos para administrar las políticas de la organización:

  • orgpolicy.* en la organización
  • Prueba las políticas de la organización que se describen en esta página: resourcemanager.projects.setIamPolicy en el proyecto

También puedes obtener estos permisos con roles personalizados o con otros roles predefinidos.

Crea una restricción personalizada

Una restricción personalizada se define en un archivo YAML mediante los recursos, los métodos, las condiciones y las acciones que son compatibles con el servicio en el que aplicas la política de la organización. Las condiciones para tus restricciones personalizadas se definen con Common Expression Language (CEL). Si deseas obtener más información para compilar condiciones en restricciones personalizadas mediante CEL, consulta la sección CEL de Crea y administra restricciones personalizadas.

Para crear una restricción personalizada, crea un archivo YAML con el siguiente formato:

name: organizations/ORGANIZATION_ID/customConstraints/CONSTRAINT_NAME
resourceTypes:
- RESOURCE_NAME
methodTypes:
- CREATE
- UPDATE
condition: "CONDITION"
actionType: ACTION
displayName: DISPLAY_NAME
description: DESCRIPTION

Reemplaza lo siguiente:

  • ORGANIZATION_ID: el ID de la organización, como 123456789.

  • CONSTRAINT_NAME: el nombre que deseas para tu nueva restricción personalizada. Una restricción personalizada debe comenzar con custom. y solo puede incluir letras mayúsculas, minúsculas o números, por ejemplo, custom.denyProjectIAMAdmin. La longitud máxima de este campo es de 70 caracteres.

  • RESOURCE_NAME: el nombre completamente calificado del recurso de Google Cloud que contiene el objeto y el campo que deseas restringir. Por ejemplo, iam.googleapis.com/AllowPolicy

  • CONDITION: una condición de CEL que se escribe en una representación de un recurso de servicio compatible. La longitud máxima de este campo es 1000 caracteres. Consulta Recursos compatibles con el fin de obtener más información sobre los recursos disponibles para escribir condiciones. Por ejemplo, resource.bindings.exists(binding, RoleNameMatches(binding.role, ['roles/resourcemanager.projectIamAdmin'])).

  • ACTION: la acción que se realiza si se cumple condition. Los valores posibles son ALLOW y DENY.

  • DISPLAY_NAME: un nombre descriptivo para la restricción. La longitud máxima de este campo es 200 caracteres.

  • DESCRIPTION: una descripción fácil de usar de la restricción que se mostrará como un mensaje de error cuando se infringe la política. La longitud máxima de este campo es 2000 caracteres.

Para obtener más información sobre cómo crear una restricción personalizada, consulta Define restricciones personalizadas.

Configura una restricción personalizada

Después de crear el archivo YAML para una nueva restricción personalizada, debes configurarla para que esté disponible para las políticas de la organización de tu organización. Para configurar una restricción personalizada, usa el comando gcloud org-policies set-custom-constraint: 
gcloud org-policies set-custom-constraint CONSTRAINT_PATH
 Reemplaza CONSTRAINT_PATH por la ruta de acceso completa al archivo de restricción personalizado. Por ejemplo, /home/user/customconstraint.yaml. Una vez completadas, tus restricciones personalizadas estarán disponibles como políticas de la organización en tu lista de políticas de la organización de Google Cloud. Para verificar que la restricción personalizada exista, usa el comando gcloud org-policies list-custom-constraints: 
gcloud org-policies list-custom-constraints --organization=ORGANIZATION_ID
 Reemplaza ORGANIZATION_ID por el ID del recurso de tu organización. Para obtener más información, consulta Visualiza las políticas de la organización.

Aplica de manera forzosa una política de la organización personalizada

Puedes aplicar una restricción booleana si creas una política de la organización que haga referencia a ella y si aplicas esa política a un recurso de Google Cloud.

Console

  1. En la consola de Google Cloud, ve a la página Políticas de la organización.

    Ir a Políticas de la organización

  2. En el selector de proyectos, selecciona el proyecto para el que deseas configurar la política de la organización.
  3. En la lista de la página Políticas de la organización, selecciona tu restricción para ver la página Detalles de la política de esa restricción.
  4. Si deseas configurar las políticas de la organización para este recurso, haz clic en Administrar política.
  5. En la página Editar política, selecciona Anular la política del elemento superior.
  6. Haz clic en Agregar una regla.
  7. En la sección Aplicación, selecciona si la aplicación de esta política de la organización está activada o desactivada.
  8. Opcional: haz clic en Agregar condición para que la política de la organización sea condicional en una etiqueta. Ten en cuenta que si agregas una regla condicional a una política de la organización, debes agregar al menos una regla sin condición o la política no se puede guardar. Para obtener más información, consulta Configura una política de la organización con etiquetas.
  9. Si se trata de una restricción personalizada, puedes hacer clic en Probar cambios para simular el efecto de esta política de la organización. Para obtener más información, consulta Prueba los cambios en las políticas de la organización con Policy Simulator.
  10. Para finalizar y aplicar la política de la organización, haz clic en Establecer política. La política tarda hasta 15 minutos en aplicarse.

gcloud

Para crear una política de la organización que aplique una restricción booleana, crea un archivo de política en formato YAML que haga referencia a la restricción: 

      name: projects/PROJECT_ID/policies/CONSTRAINT_NAME
      spec:
        rules:
        - enforce: true

Reemplaza lo siguiente:

  • PROJECT_ID: el proyecto en el que deseas aplicar tu restricción.
  • CONSTRAINT_NAME: el nombre que definiste para tu restricción personalizada. Por ejemplo: custom.denyProjectIAMAdmin

Para aplicar la política de la organización que contiene la restricción, ejecuta el siguiente comando: 

    gcloud org-policies set-policy POLICY_PATH

Reemplaza POLICY_PATH por la ruta de acceso completa al archivo YAML de la política de la organización. La política tarda hasta 15 minutos en aplicarse.

Prueba la política de la organización personalizada

De manera opcional, puedes probar la política de la organización configurándola y, luego, tratando de realizar una acción que la política debería impedir.

Crea la restricción

  1. Guarda el siguiente archivo como constraint-deny-project-iam-admin.

    name: organizations/ORG_ID/customConstraints/custom.denyProjectIAMAdmin
resourceTypes: iam.googleapis.com/AllowPolicy
methodTypes:
  - CREATE
  - UPDATE
condition:
  "resource.bindings.exists(
    binding,
    RoleNameMatches(binding.role, ['roles/resourcemanager.projectIamAdmin']) &&
    binding.members.exists(member,
      MemberSubjectMatches(member, ['user:EMAIL_ADDRESS'])
    )
  )"
actionType: DENY
displayName: Do not allow EMAIL_ADDRESS to be granted the Project IAM Admin role.

    Reemplaza los siguientes valores:

    • ORG_ID: es el ID numérico de la organización de Google Cloud.
    • MEMBER_EMAIL_ADDRESS: La dirección de correo electrónico del principal que deseas usar para probar la restricción personalizada. Mientras la restricción esté activa, no se le podrá otorgar a esta principal el rol Project IAM Admin (roles/resourcemanager.projectIamAdmin) en el proyecto para el que apliques la restricción.

  2. Aplica la restricción:

    gcloud org-policies set-custom-constraint ~/constraint-deny-project-iam-admin.yaml

  3. Verifica que la restricción exista:

    gcloud org-policies list-custom-constraints --organization=ORGANIZATION_ID

Crea la política

  1. Guarda el siguiente archivo como policy-deny-project-iam-admin.yaml:

    name: projects/PROJECT_ID/policies/custom.denyProjectIamAdmin
spec:
  rules:
  - enforce: true

    Reemplaza PROJECT_ID con el ID del proyecto.

  2. Aplica la política:

    gcloud org-policies set-policy ~/policy-deny-project-iam-admin.yaml

  3. Verifica que la política exista:

    gcloud org-policies list --project=PROJECT_ID

Después de aplicar la política, espera unos dos minutos para que Google Cloud comience a aplicarla.

Prueba la política

Intenta otorgar el rol de administrador de IAM del proyecto (roles/resourcemanager.projectIamAdmin) al principal cuya dirección de correo electrónico incluiste en la restricción personalizada. Antes de ejecutar el comando, reemplaza lo siguiente:

  • PROJECT_ID: El ID del proyecto de Google Cloud en el que aplicaste la restricción
  • EMAIL_ADDRESS: Es la dirección de correo electrónico del principal que especificaste cuando creaste la restricción de la política de la organización.
gcloud projects add-iam-policy-binding PROJECT_ID \
    --member=user:EMAIL_ADDRESS --role=roles/resourcemanager.projectIamAdmin

Esta es la salida:

Operation denied by custom org policies: ["customConstraints/custom.denyProjectIAMAdmin": "EMAIL_ADDRESS can't be granted the Project IAM Admin role."]

Ejemplos de políticas de la organización personalizadas para casos de uso comunes

En la siguiente tabla, se proporciona la sintaxis de algunas restricciones personalizadas para casos de uso comunes.

En los siguientes ejemplos, se usan las macros de CEL all y exists. Para obtener más información sobre estas macros, consulta Macros.

Descripción Sintaxis de la restricción
Bloquea la capacidad de otorgar un rol específico. 
name: organizations/ORG_ID/customConstraints/custom.denyRole
resourceTypes: iam.googleapis.com/AllowPolicy
methodTypes:
  - CREATE
  - UPDATE
condition:
"resource.bindings.exists(
    binding,
    RoleNameMatches(binding.role, ['ROLE'])
  )"
actionType: DENY
displayName: Do not allow the ROLE role to be granted
Solo permite que se otorguen roles específicos. 
name: organizations/ORG_ID/customConstraints/custom.specificRolesOnly
resourceTypes: iam.googleapis.com/AllowPolicy
methodTypes:
  - CREATE
  - UPDATE
condition:
  "resource.bindings.all(
    binding,
    RoleNameMatches(binding.role, ['ROLE_1', 'ROLE_2'])
  )"
actionType: ALLOW
displayName: Only allow the ROLE_1 role and ROLE_2 role to be granted
Evita que se otorguen roles que comiencen con roles/storage.. 
name: organizations/ORG_ID/customConstraints/custom.dontgrantStorageRoles
resourceTypes: iam.googleapis.com/AllowPolicy
methodTypes:
  - CREATE
  - UPDATE
condition:
  "resource.bindings.exists(
    binding,
    RoleNameStartsWith(binding.role, ['roles/storage.'])
  )"
actionType: DENY
displayName: Prevent roles that start with "roles/storage." from being granted
Evita que se revoquen los roles que tengan admin en el nombre. 
name: organizations/ORG_ID/customConstraints/custom.dontRevokeAdminRoles
resourceTypes: iam.googleapis.com/AllowPolicy
methodTypes:
  - REMOVE_GRANT
condition:
  "resource.bindings.exists(
    binding,
    RoleNameContains(binding.role, ['admin'])
  )"
actionType: DENY
displayName: Prevent roles with "admin" in their names from being revoked
Solo permite que se otorguen roles a principales específicos. 
name: organizations/ORG_ID/customConstraints/custom.allowSpecificPrincipals
resourceTypes: iam.googleapis.com/AllowPolicy
methodTypes:
  - CREATE
  - UPDATE
condition:
  "resource.bindings.all(
    binding,
    binding.members.all(member,
      MemberSubjectMatches(member, ['user:USER','serviceAccount:SERVICE_ACCOUNT'])
    )
  )"
actionType: ALLOW
displayName: Only allow roles to be granted to USER and SERVICE_ACCOUNT
Evita que se revoquen roles de principales específicos. 
name: organizations/ORG_ID/customConstraints/custom.denyRemovalOfSpecificPrincipals
resourceTypes: iam.googleapis.com/AllowPolicy
methodTypes:
  - REMOVE_GRANT
condition:
  "resource.bindings.exists(
    binding,
    binding.members.exists(member,
      MemberSubjectMatches(member, ['user:USER_1','user:USER_2'])
    )
  )"
actionType: DENY
displayName: Do not allow roles to be revoked from USER_1 or USER_2
Evita que se otorguen roles a las principales con direcciones de correo electrónico que terminan en @gmail.com. 
name: organizations/ORG_ID/customConstraints/custom.dontGrantToGmail
resourceTypes: iam.googleapis.com/AllowPolicy
methodTypes:
  - CREATE
  - UPDATE
condition:
  "resource.bindings.exists(
    binding,
    binding.members.exists(member,
      MemberSubjectEndsWith(member, ['@gmail.com'])
    )
  )"
actionType: DENY
displayName: Do not allow members whose email addresses end with "@gmail.com" to be granted roles
Solo permite que se otorguen roles específicos y solo a principales específicos. 
name: organizations/ORG_ID/customConstraints/custom.allowSpecificRolesAndPrincipals
resourceTypes: iam.googleapis.com/AllowPolicy
methodTypes:
  - CREATE
  - UPDATE
condition:
  "resource.bindings.all(
    binding,
    RoleNameMatches(binding.role, ['ROLE_1', 'ROLE_2'])  &&
    binding.members.all(member,
      MemberSubjectMatches(member, ['serviceAccount:SERVICE_ACCOUNT', 'group:GROUP'])
    )
  )"
actionType: ALLOW
displayName: Only allow ROLE_1 and ROLE_2 to be granted to SERVICE_ACCOUNT and GROUP
Evita que se otorguen roles de Cloud Storage a allUsers y allAuthenticatedUsers. 
name: organizations/ORG_ID/customConstraints/custom.denyStorageRolesForPrincipalAllUsers
resourceTypes: iam.googleapis.com/AllowPolicy
methodTypes:
  - CREATE
  - UPDATE
condition:
  "resource.bindings.exists(
    binding,
    RoleNameStartsWith(binding.role, ['roles/storage.']) &&
    binding.members.exists(member,
      MemberSubjectMatches(member, ['allUsers', 'allAuthenticatedUsers'])
    )
  )"
actionType: DENY
displayName: Do not allow storage roles to be granted to allUsers or allAuthenticatedUsers
Evita que se otorguen roles a identidades fuera de tu organización. 
name: organizations/ORG_ID/customConstraints/custom.allowInternaldentitiesOnly
resourceTypes: iam.googleapis.com/AllowPolicy
methodTypes:
  - CREATE
  - UPDATE
condition:
  "resource.bindings.all(
    binding,
    binding.members.all(member,
      MemberInPrincipalSet(member, ['//cloudresourcemanager.googleapis.com/organizations/ORG_ID'])
    )
  )"
actionType: ALLOW
displayName: Only allow organization members to be granted roles
Solo permite que se otorguen roles a las cuentas de servicio. 
name: organizations/ORG_ID/customConstraints/custom.allowServiceAccountsOnly
resourceTypes: iam.googleapis.com/AllowPolicy
methodTypes:
  - CREATE
  - UPDATE
condition:
  "resource.bindings.all(
    binding,
    binding.members.all(member,
      MemberTypeMatches(member, ['iam.googleapis.com/ServiceAccount'])
    )
  )"
actionType: ALLOW
displayName: Only allow service accounts to be granted roles

Recursos compatibles con Identity and Access Management

IAM admite el recurso AllowPolicy. Este recurso tiene el atributo resources.bindings, que se muestra para todos los métodos que modifican la política de permisos de un recurso. Todos los métodos que modifican la política de permisos de un recurso terminan con setIamPolicy.

El atributo resource.bindings tiene la siguiente estructura, en la que BINDINGS es un array de vinculaciones de roles que se modificaron durante un cambio en una política de permisos:

{
  "bindings": {
    BINDINGS
  }
}

Cada vinculación en resource.bindings tiene la siguiente estructura, en la que ROLE es el nombre del rol en la vinculación de roles y MEMBERS es una lista de identificadores para los principales que se agregaron o quitaron de la vinculación de roles:

{
  "role": "ROLE"
  "members": {
    MEMBERS
  }
}

Para ver los formatos que pueden tener los identificadores de principal, consulta Identificadores de principal.

Solo puedes evaluar el atributo resource.bindings y sus campos con las funciones admitidas. No se admiten otros operadores ni funciones, como ==, !=, in, contains, startsWith y endsWith.

Funciones compatibles

Puedes usar las siguientes funciones de CEL para evaluar los campos role y members de los recursos binding. Cuando uses estas funciones, también puedes usar los operadores lógicos && (and) y || (or) para escribir condiciones de varias partes.

Función Descripción
RoleNameMatches(
  role,
  roleNames: list
)   bool

Muestra true si el rol role coincide por completo con al menos uno de los roles que se indican en roleNames.

Parámetros
role: Es el rol que se evaluará.
roleNames: Es una lista de nombres de roles con los que se debe hacer coincidir.
Ejemplo

Muestra true si el role en la binding especificada es roles/storage.admin o roles/compute.admin: 

RoleNameMatches(binding.role, ['roles/storage.admin', 'roles/compute.admin'])
RoleNameStartsWith(
  role,
  rolePrefixes: list
)   bool

Muestra true si el rol role comienza con al menos una de las cadenas que se enumeran en rolePrefixes.

Parámetros
role: Es el rol que se evaluará.
rolePrefixes: Es una lista de cadenas que coinciden con el comienzo del rol.
Ejemplo

Muestra true si el role en la binding especificada comienza con roles/storage: 

RoleNameStartsWith(binding.role, ['roles/storage'])
RoleNameEndsWith(
  role,
  roleSuffixes: list
)   bool

Muestra true si el rol role termina con al menos una de las cadenas enumeradas en roleSuffixes.

Parámetros
role: Es el rol que se evaluará.
roleSuffixes: Es una lista de cadenas que coinciden con el final del rol.
Ejemplo

Muestra true si el role en la binding especificado termina con .admin: 

RoleNameEndsWith(binding.role, ['.admin'])
RoleNameContains(
  role,
  roleSubstrings: list
)   bool

Muestra true si el rol role contiene al menos una de las cadenas enumeradas en roleSubstrings.

Parámetros
role: Es el rol que se evaluará.
roleSubstrings: Es una lista de cadenas que coinciden con cualquier parte del rol.
Ejemplo

Muestra true si el role en el binding especificado contiene la cadena admin: 

RoleNameContains(binding.role, ['admin'])
MemberSubjectMatches(
  member,
  memberNames: list
)   bool

Muestra true si el miembro member coincide por completo con al menos uno de los miembros que se enumeran en memberNames.

Si el identificador de member es una dirección de correo electrónico, esta función solo evalúa esa dirección de correo electrónico, no evalúa ningún alias para esa dirección de correo electrónico.

Parámetros
member: Es el miembro que se evaluará.
memberNames: Es una lista de nombres de miembros con los que se debe hacer coincidir.
Ejemplo

Muestra true si el miembro member es rosario@example.com: 

MemberSubjectMatches(member, ['user:rosario@example.com'])
MemberSubjectStartsWith(
  member,
  memberPrefixes: list
)   bool

Muestra true si el miembro member comienza con al menos una de las cadenas enumeradas en memberPrefixes.

Si el identificador de member es una dirección de correo electrónico, esta función solo evalúa esa dirección de correo electrónico, no evalúa ningún alias para esa dirección de correo electrónico.

Parámetros
member: Es el miembro que se evaluará.
memberPrefixes: Es una lista de cadenas que coinciden con el comienzo del nombre del miembro.
Ejemplo

Muestra true si el miembro member comienza con user:prod-: 

MemberSubjectStartsWith(member, ['user:prod-'])
MemberSubjectEndsWith(
  member,
  memberSuffixes: list
)   bool

Muestra true si el miembro member termina con al menos una de las cadenas enumeradas en memberSuffixes.

Si el identificador de member es una dirección de correo electrónico, esta función solo evalúa esa dirección de correo electrónico, no evalúa ningún alias para esa dirección de correo electrónico.

Parámetros
member: Es el miembro que se evaluará.
memberSuffixes: Es una lista de cadenas que coinciden con el final del nombre del miembro.
Ejemplo

Muestra true si el miembro member termina con @example.com: 

MemberSubjectEndsWith(member, ['@example.com'])
MemberInPrincipalSet(
  member,
  principalSets: list
)   bool

Muestra true si el miembro pertenece a al menos uno de los conjuntos de principales enumerados.

Parámetros
member: Es el miembro que se evaluará.

principalSets: Es una lista de conjuntos principales. Para que la función se evalúe como true, el miembro debe estar en al menos uno de estos conjuntos principales.

El único conjunto principal que se admite es el conjunto principal de la organización, que tiene el formato //cloudresourcemanager.googleapis.com/organizations/ORGANIZATION_ID. Cuando se usa en la función MemberInPrincipalSet, este conjunto de principales incluye los siguientes principales:

  • Todas las identidades de todos los dominios asociados con tu ID de cliente de Google Workspace
  • Todos los grupos de identidad del personal de tu organización
  • Todas las cuentas de servicio y los grupos de identidades para cargas de trabajo de cualquier proyecto de la organización
  • Todos los agentes de servicio asociados con los recursos de tu organización
Ejemplo

Muestra true si el miembro member pertenece a la organización @example.com, que tiene el ID 123456789012: 

MemberInPrincipalSet(member, ['//cloudresourcemanager.googleapis.com/organizations/123456789012'])
MemberTypeMatches(
  member,
  principalType: list
)   bool

Muestra true si el miembro es uno de los tipos principales enumerados.

Parámetros
member: Es el miembro que se evaluará.
principalType: Es una lista de tipos de principales. Para que la función se evalúe como true, el miembro debe ser uno de los tipos principales enumerados. Para saber qué tipos de principales son compatibles, consulta Tipos de principales admitidos para MemberTypeMatches.
Ejemplo

Muestra true si el miembro member tiene el tipo principal iam.googleapis.com/WorkspacePrincipal o iam.googleapis.com/WorkspaceGroup: 

MemberTypeMatches(member, ['iam.googleapis.com/WorkspacePrincipal', 'iam.googleapis.com/WorkspaceGroup'])

Tipos de principales admitidos para MemberTypeMatches

La función MemberTypeMatches requiere que especifiques con qué tipo principal debe coincidir el miembro especificado.

En la siguiente tabla, se enumeran los tipos de principales que puedes ingresar y una descripción de lo que representa el tipo de principal. También se enumeran los identificadores principales que corresponden a cada tipo de principal. Estos identificadores son los valores que se usan en las políticas de IAM.

Tipo principal Descripción Identificadores de principales
iam.googleapis.com/ConsumerPrincipal Una Cuenta de Google para consumidores Por lo general, las direcciones de correo electrónico de estas cuentas terminan en gmail.com. user:USER_EMAIL_ADDRESS
iam.googleapis.com/WorkspacePrincipal Una Cuenta de Google que forma parte de una cuenta de Cloud Identity o Google Workspace Estas cuentas también se denominan cuentas de usuario administradas. user:USER_EMAIL_ADDRESS
iam.googleapis.com/ConsumerGroup Un grupo de Google creado por una Cuenta de Google para consumidores. Estos grupos no pertenecen a una cuenta de Cloud Identity ni de Google Workspace. Por lo general, las direcciones de correo electrónico de estos grupos terminan en googlegroups.com. group:GROUP_EMAIL_ADDRESS
iam.googleapis.com/WorkspaceGroup Un grupo de Google que pertenece a una cuenta de Cloud Identity o Google Workspace group:GROUP_EMAIL_ADDRESS
iam.googleapis.com/Domain Una cuenta de Cloud Identity o Google Workspace domain:DOMAIN
iam.googleapis.com/WorkforcePoolPrincipal Un único principal en un grupo de identidad de personal principal://iam.googleapis.com/locations/global/workforcePools/POOL_ID/subject/SUBJECT_ATTRIBUTE_VALUE
iam.googleapis.com/WorkforcePoolPrincipalSet Un conjunto principal que contiene un conjunto de identidades en un grupo de identidad de personal. Por ejemplo, un conjunto de principales que contiene todos los principales en un grupo de identidad de personal.
  • principalSet://iam.googleapis.com/locations/global/workforcePools/POOL_ID/group/GROUP_ID
  • principalSet://iam.googleapis.com/locations/global/workforcePools/POOL_ID/attribute.ATTRIBUTE_NAME/ATTRIBUTE_VALUE
  • principalSet://iam.googleapis.com/locations/global/workforcePools/POOL_ID/*
iam.googleapis.com/WorkloadPoolPrincipal Una sola identidad en un grupo de identidades para cargas de trabajo principal://iam.googleapis.com/projects/PROJECT_NUMBER/locations/global/workloadIdentityPools/POOL_ID/subject/SUBJECT_ATTRIBUTE_VALUE
iam.googleapis.com/WorkloadPoolPrincipalSet Un conjunto principal que contiene un conjunto de identidades en un grupo de identidades para cargas de trabajo. Por ejemplo, un conjunto principal que contiene todos los principales en un grupo de identidades para cargas de trabajo.
  • principalSet://iam.googleapis.com/projects/PROJECT_NUMBER/locations/global/workloadIdentityPools/POOL_ID/group/GROUP_ID
  • principalSet://iam.googleapis.com/projects/PROJECT_NUMBER/locations/global/workloadIdentityPools/POOL_ID/attribute.ATTRIBUTE_NAME/ATTRIBUTE_VALUE
  • principalSet://iam.googleapis.com/projects/PROJECT_NUMBER/locations/global/workloadIdentityPools/POOL_ID/*
iam.googleapis.com/ServiceAccount

Cualquier cuenta de servicio Una cuenta de servicio es un tipo especial de cuenta que representa una carga de trabajo en lugar de un usuario humano.

En el contexto de la función MemberTypeMatches, este tipo de principal no incluye agentes de servicio.

serviceAccount:SERVICE_ACCOUNT_EMAIL_ADDRESS
iam.googleapis.com/ServiceAgent Cualquier agente de servicio Un agente de servicio es un tipo especial de cuenta de servicio que Google Cloud crea y administra. Cuando se les otorgan roles en tus proyectos, los agentes de servicio permiten que los servicios de Google Cloud realicen acciones en tu nombre. serviceAccount:SERVICE_AGENT_EMAIL_ADDRESS
iam.googleapis.com/PublicPrincipals Los principales allUsers y allAuthenticatedUsers
  • allUsers
  • allAuthenticatedUsers
iam.googleapis.com/ProjectRoleReference Son las principales que se definen según el rol que se les otorga. Estos principios también se denominan valores de conveniencia.
  • projectOwner:PROJECT_ID
  • projectEditor:PROJECT_ID
  • projectViewer:PROJECT_ID

¿Qué sigue?