Utilizzare i criteri dell'organizzazione personalizzati per i criteri consentiti

Questa pagina mostra come utilizzare i vincoli personalizzati del servizio di criteri dell'organizzazione per limitare operazioni specifiche sulle seguenti Google Cloud risorse:

  • iam.googleapis.com/AllowPolicy

Per scoprire di più sui criteri dell'organizzazione, consulta Criteri dell'organizzazione personalizzati.

Informazioni sui criteri e sui vincoli dell'organizzazione

Il Google Cloud servizio Policy dell'organizzazione offre un controllo centralizzato e programmatico sulle risorse della tua organizzazione. In qualità di amministratore dei criteri dell'organizzazione, puoi definire un criterio dell'organizzazione, ovvero un insieme di restrizioni chiamate vincoli che si applicano alle Google Cloud risorse e ai discendenti di queste risorse nella Google Cloud gerarchia delle risorse. Puoi applicare i criteri dell'organizzazione a livello di organizzazione, cartella o progetto.

I criteri dell'organizzazione forniscono vincoli predefiniti per diversi Google Cloud servizi. Tuttavia, se vuoi un controllo più granulare e personalizzabile sui campi specifici limitati nei criteri dell'organizzazione, puoi anche creare vincoli personalizzati e utilizzarli in un criterio dell'organizzazione.

Ereditarietà delle norme

Per impostazione predefinita, i criteri dell'organizzazione vengono ereditati dai discendenti delle risorse su cui applichi il criterio. Ad esempio, se applichi un criterio a una cartella, Google Cloud il criterio viene applicato a tutti i progetti contenuti nella cartella. Per scoprire di più su questo comportamento e su come modificarlo, consulta Regole di valutazione della gerarchia.

Vantaggi

Puoi utilizzare criteri dell'organizzazione personalizzati che fanno riferimento agli attributi IAM per controllare in che modo i criteri di autorizzazione possono essere modificati. In particolare, puoi controllare quanto segue:

  • A chi possono essere assegnati i ruoli
  • Chi può avere i propri ruoli revocati
  • Quali ruoli possono essere concessi
  • Quali ruoli possono essere revocati

Ad esempio, puoi impedire che i ruoli contenenti la parola admin vengano assegnati alle entità i cui indirizzi email terminano con @gmail.com.

Limitazioni

  • I criteri dell'organizzazione personalizzati in modalità di simulazione che fanno riferimento agli attributi IAM presentano alcune limitazioni. Nello specifico, nei log di controllo per le violazioni che coinvolgono il metodo setIamPolicy potrebbero mancare i seguenti campi:

    • resourceName
    • serviceName
    • methodName

  • I log di controllo non vengono generati per tutte le violazioni delle norme dell'organizzazione personalizzate relative a IAM. Nello specifico, se un criterio dell'organizzazione personalizzato causa un fallimento di un'operazione setIamPolicy sulla risorsa dell'organizzazione,Google Cloud non genera un log di controllo per quell'evento.

  • I criteri dell'organizzazione personalizzati che fanno riferimento agli attributi IAM non influiscono su quanto segue:

  • È possibile inviare agli utenti inviti a diventare proprietari, anche se hai un criterio dell'organizzazione personalizzato che impedisce la concessione del ruolo Proprietario (roles/owner). Tuttavia, sebbene il criterio dell'organizzazione personalizzata non impedisca l'invio di un invito, impedisce di assegnare agli utenti invitati il ruolo Proprietario. Se gli utenti invitati tentano di accettare l'invito, visualizzano un messaggio di errore e non viene loro concesso il ruolo Proprietario.

  • Alcune azioni in Google Cloud, come la creazione di risorse o l'attivazione di API, comportano la concessione automatica di un ruolo a un agente di servizio o a un account di servizio predefinito. Se un'azione prevede la concessione automatica di un ruolo e un criterio dell'organizzazione ne impedisce la concessione, l'intera operazione potrebbe non riuscire.

    Se riscontri questo problema, puoi utilizzare i tag per disattivare temporaneamente il vincolo che impedisce la concessione del ruolo. Quindi, esegui l'azione. Al termine dell'azione, riattiva il vincolo.

Prima di iniziare

  • Se vuoi testare i criteri dell'organizzazione personalizzati che fanno riferimento alle risorse IAM, crea un nuovo progetto. Il test di questi criteri dell'organizzazione in un progetto esistente potrebbe interrompere i flussi di lavoro di sicurezza.

    1. In the Google Cloud console, go to the project selector page.

      Go to project selector

    2. Select or create a Google Cloud project.

Ruoli obbligatori

Per ottenere le autorizzazioni necessarie per gestire i criteri dell'organizzazione, chiedi all'amministratore di concederti i seguenti ruoli IAM:

Per saperne di più sulla concessione dei ruoli, consulta Gestire l'accesso a progetti, cartelle e organizzazioni.

Questi ruoli predefiniti contengono le autorizzazioni necessarie per gestire le norme dell'organizzazione. Per visualizzare le autorizzazioni esatte richieste, espandi la sezione Autorizzazioni richieste:

Autorizzazioni obbligatorie

Per gestire le norme dell'organizzazione sono necessarie le seguenti autorizzazioni:

  • orgpolicy.* sull'organizzazione
  • Testa i criteri dell'organizzazione descritti in questa pagina: resourcemanager.projects.setIamPolicy nel progetto

Potresti anche ottenere queste autorizzazioni con ruoli personalizzati o altri ruoli predefiniti.

Creare un vincolo personalizzato

Un vincolo personalizzato viene definito in un file YAML dalle risorse, dai metodi, dalle condizioni e dalle azioni supportate dal servizio su cui stai applicando il criterio dell'organizzazione. Le condizioni per i vincoli personalizzati vengono definite utilizzando Common Expression Language (CEL). Per ulteriori informazioni su come creare condizioni nei vincoli personalizzati utilizzando CEL, consulta la sezione CEL di Creare e gestire vincoli personalizzati.

Per creare una limitazione personalizzata, crea un file YAML utilizzando il seguente formato:

name: organizations/ORGANIZATION_ID/customConstraints/CONSTRAINT_NAME
resourceTypes:
- RESOURCE_NAME
methodTypes:
- CREATE
- UPDATE
condition: "CONDITION"
actionType: ACTION
displayName: DISPLAY_NAME
description: DESCRIPTION

Sostituisci quanto segue:

  • ORGANIZATION_ID: l'ID della tua organizzazione, ad esempio 123456789.

  • CONSTRAINT_NAME: il nome che vuoi assegnare al nuovo vincolo personalizzato. Un vincolo personalizzato deve iniziare con custom. e può includere solo lettere maiuscole, lettere minuscole o numeri. Ad esempio, custom.denyProjectIAMAdmin. La lunghezza massima di questo campo è di 70 caratteri.

  • RESOURCE_NAME: il nome completo della Google Cloud risorsa contenente l'oggetto e il campo che vuoi limitare. Ad esempio: iam.googleapis.com/AllowPolicy.

  • CONDITION: una condizione CEL scritta in base a una rappresentazione di una risorsa di servizio supportata. Questo campo ha una lunghezza massima di 1000 caratteri. Per ulteriori informazioni sulle risorse disponibili per la scrittura delle condizioni, consulta la sezione Risorse supportate. Ad esempio, resource.bindings.exists(binding, RoleNameMatches(binding.role, ['roles/resourcemanager.projectIamAdmin'])).

  • ACTION: l'azione da intraprendere se viene soddisfatto il criterio condition. I valori possibili sono ALLOW e DENY.

  • DISPLAY_NAME: un nome facile da ricordare per la limitazione. Questo campo ha una lunghezza massima di 200 caratteri.

  • DESCRIPTION: una descrizione comprensibile del vincolo da visualizzare come messaggio di errore in caso di violazione del criterio. Questo campo ha una lunghezza massima di 2000 caratteri.

Per saperne di più su come creare un vincolo personalizzato, consulta Definire vincoli personalizzati.

Configurare un vincolo personalizzato

Dopo aver creato il file YAML per un nuovo vincolo personalizzato, devi configurarlo per renderlo disponibile per i criteri dell'organizzazione. Per impostare un vincolo personalizzato, utilizza il comando gcloud org-policies set-custom-constraint: 
gcloud org-policies set-custom-constraint CONSTRAINT_PATH
 Sostituisci CONSTRAINT_PATH con il percorso completo del file delle limitazioni personalizzate. Ad esempio: /home/user/customconstraint.yaml. Al termine, i vincoli personalizzati sono disponibili come criteri dell'organizzazione nel tuo elenco di Google Cloud criteri dell'organizzazione. Per verificare che la limitazione personalizzata esista, utilizza il comando gcloud org-policies list-custom-constraints: 
gcloud org-policies list-custom-constraints --organization=ORGANIZATION_ID
 Sostituisci ORGANIZATION_ID con l'ID della risorsa della tua organizzazione. Per ulteriori informazioni, consulta Visualizzare i criteri dell'organizzazione.

Applicare un criterio dell'organizzazione personalizzato

Puoi applicare un vincolo booleano creando un criterio dell'organizzazione che lo richiami e poi applicando questo criterio dell'organizzazione a una Google Cloud risorsa.

Console

  1. Nella console Google Cloud, vai alla pagina Criteri dell'organizzazione.

    Vai a Criteri dell'organizzazione

  2. Nel selettore di progetti, seleziona il progetto per cui vuoi impostare il criterio dell'organizzazione.
  3. Nell'elenco della pagina Criteri organizzazione, seleziona il vincolo per visualizzare la pagina Dettagli criteri relativa al vincolo in questione.
  4. Per configurare il criterio dell'organizzazione per questa risorsa, fai clic su Gestisci criterio.
  5. Nella pagina Modifica criterio, seleziona Sostituisci criterio della risorsa padre.
  6. Fai clic su Aggiungi una regola.
  7. Nella sezione Applicazione, seleziona se l'applicazione di questo criterio dell'organizzazione è attivata o disattivata.
  8. (Facoltativo) Per rendere il criterio dell'organizzazione condizionale su un tag, fai clic su Aggiungi condizione. Tieni presente che se aggiungi una regola condizionale a un criterio dell'organizzazione, devi aggiungere almeno una regola non condizionale, altrimenti il criterio non può essere salvato. Per ulteriori informazioni, consulta Impostare un criterio dell'organizzazione con tag.
  9. Se si tratta di un vincolo personalizzato, puoi fare clic su Prova modifiche per simulare l'effetto di questo criterio dell'organizzazione. Per ulteriori informazioni, consulta Testare le modifiche ai criteri dell'organizzazione con Policy Simulator.
  10. Per completare e applicare il criterio dell'organizzazione, fai clic su Imposta criterio. L'applicazione del criterio può richiedere fino a 15 minuti.

gcloud

Per creare un criterio dell'organizzazione che applichi un vincolo booleano, crea un file YAML del criterio che faccia riferimento al vincolo: 

      name: projects/PROJECT_ID/policies/CONSTRAINT_NAME
      spec:
        rules:
        - enforce: true

Sostituisci quanto segue:

  • PROJECT_ID: il progetto su cui vuoi applicare il vincolo.
  • CONSTRAINT_NAME: il nome definito per il vincolo personalizzato. Ad esempio custom.denyProjectIAMAdmin.

Per applicare il criterio dell'organizzazione contenente la limitazione, esegui il seguente comando: 

    gcloud org-policies set-policy POLICY_PATH

Sostituisci POLICY_PATH con il percorso completo del file YAML del criterio dell'organizzazione. L'applicazione del criterio può richiedere fino a 15 minuti.

Testa il criterio dell'organizzazione personalizzato

Se vuoi, puoi testare il criterio dell'organizzazione impostandolo e poi tentando di eseguire un'azione che il criterio dovrebbe impedire.

Crea il vincolo

  1. Salva il seguente file come constraint-deny-project-iam-admin.

    name: organizations/ORG_ID/customConstraints/custom.denyProjectIAMAdmin
resourceTypes: iam.googleapis.com/AllowPolicy
methodTypes:
  - CREATE
  - UPDATE
condition:
  "resource.bindings.exists(
    binding,
    RoleNameMatches(binding.role, ['roles/resourcemanager.projectIamAdmin']) &&
    binding.members.exists(member,
      MemberSubjectMatches(member, ['user:EMAIL_ADDRESS'])
    )
  )"
actionType: DENY
displayName: Do not allow EMAIL_ADDRESS to be granted the Project IAM Admin role.

    Sostituisci i seguenti valori:

    • ORG_ID: l'ID numerico della tua Google Cloud organizzazione.
    • MEMBER_EMAIL_ADDRESS: l'indirizzo email del principale che vuoi utilizzare per testare il vincolo personalizzato. Mentre il vincolo è attivo, a questa entità non sarà possibile concedere il ruolo Amministratore IAM progetto (roles/resourcemanager.projectIamAdmin) nel progetto per cui viene applicato il vincolo.

  2. Applica il vincolo:

    gcloud org-policies set-custom-constraint ~/constraint-deny-project-iam-admin.yaml

  3. Verifica che il vincolo esista:

    gcloud org-policies list-custom-constraints --organization=ORGANIZATION_ID

Crea il criterio

  1. Salva il seguente file come policy-deny-project-iam-admin.yaml:

    name: projects/PROJECT_ID/policies/custom.denyProjectIamAdmin
spec:
  rules:
  - enforce: true

    Sostituisci PROJECT_ID con l'ID progetto.

  2. Applica il criterio:

    gcloud org-policies set-policy ~/policy-deny-project-iam-admin.yaml

  3. Verifica che il criterio esista:

    gcloud org-policies list --project=PROJECT_ID

Dopo aver applicato il criterio, attendi circa due minuti per Google Cloud iniziare a applicarlo.

Testa il criterio

Prova a concedere il ruolo Project IAM Admin (roles/resourcemanager.projectIamAdmin) all'entità il cui indirizzo email hai incluso nella limitazione personalizzata. Prima di eseguire il comando, sostituisci i seguenti valori:

  • PROJECT_ID: l'ID del Google Cloud progetto in cui hai applicato il vincolo
  • EMAIL_ADDRESS: l'indirizzo email del principale specificato quando hai creato il vincolo dei criteri dell'organizzazione.
gcloud projects add-iam-policy-binding PROJECT_ID \
    --member=user:EMAIL_ADDRESS --role=roles/resourcemanager.projectIamAdmin

L'output è il seguente:

Operation denied by custom org policies: ["customConstraints/custom.denyProjectIAMAdmin": "EMAIL_ADDRESS can't be granted the Project IAM Admin role."]

Esempi di criteri dell'organizzazione personalizzati per casi d'uso comuni

La tabella seguente fornisce la sintassi di alcuni vincoli personalizzati per i casi d'uso comuni.

Gli esempi riportati di seguito utilizzano le macro CEL all e exists. Per ulteriori informazioni su queste macro, consulta Macro per valutare gli elenchi.

Descrizione Sintassi dei vincoli
Bloccare la possibilità di concedere un ruolo specifico. 
name: organizations/ORG_ID/customConstraints/custom.denyRole
resourceTypes: iam.googleapis.com/AllowPolicy
methodTypes:
  - CREATE
  - UPDATE
condition:
"resource.bindings.exists(
    binding,
    RoleNameMatches(binding.role, ['ROLE'])
  )"
actionType: DENY
displayName: Do not allow the ROLE role to be granted
Consenti di concedere solo ruoli specifici. 
name: organizations/ORG_ID/customConstraints/custom.specificRolesOnly
resourceTypes: iam.googleapis.com/AllowPolicy
methodTypes:
  - CREATE
  - UPDATE
condition:
  "resource.bindings.all(
    binding,
    RoleNameMatches(binding.role, ['ROLE_1', 'ROLE_2'])
  )"
actionType: ALLOW
displayName: Only allow the ROLE_1 role and ROLE_2 role to be granted
Impedire l'assegnazione di ruoli che iniziano con roles/storage.. 
name: organizations/ORG_ID/customConstraints/custom.dontgrantStorageRoles
resourceTypes: iam.googleapis.com/AllowPolicy
methodTypes:
  - CREATE
  - UPDATE
condition:
  "resource.bindings.exists(
    binding,
    RoleNameStartsWith(binding.role, ['roles/storage.'])
  )"
actionType: DENY
displayName: Prevent roles that start with "roles/storage." from being granted
Impedire la revoca di eventuali ruoli con admin nel nome. 
name: organizations/ORG_ID/customConstraints/custom.dontRevokeAdminRoles
resourceTypes: iam.googleapis.com/AllowPolicy
methodTypes:
  - REMOVE_GRANT
condition:
  "resource.bindings.exists(
    binding,
    RoleNameContains(binding.role, ['admin'])
  )"
actionType: DENY
displayName: Prevent roles with "admin" in their names from being revoked
Consenti di assegnare ruoli solo a entità specifiche. 
name: organizations/ORG_ID/customConstraints/custom.allowSpecificPrincipals
resourceTypes: iam.googleapis.com/AllowPolicy
methodTypes:
  - CREATE
  - UPDATE
condition:
  "resource.bindings.all(
    binding,
    binding.members.all(member,
      MemberSubjectMatches(member, ['user:USER','serviceAccount:SERVICE_ACCOUNT'])
    )
  )"
actionType: ALLOW
displayName: Only allow roles to be granted to USER and SERVICE_ACCOUNT
Impedire la revoca di qualsiasi ruolo da entità specifiche. 
name: organizations/ORG_ID/customConstraints/custom.denyRemovalOfSpecificPrincipals
resourceTypes: iam.googleapis.com/AllowPolicy
methodTypes:
  - REMOVE_GRANT
condition:
  "resource.bindings.exists(
    binding,
    binding.members.exists(member,
      MemberSubjectMatches(member, ['user:USER_1','user:USER_2'])
    )
  )"
actionType: DENY
displayName: Do not allow roles to be revoked from USER_1 or USER_2
Impedire l'assegnazione di ruoli alle entità con indirizzi email che terminano con @gmail.com. 
name: organizations/ORG_ID/customConstraints/custom.dontGrantToGmail
resourceTypes: iam.googleapis.com/AllowPolicy
methodTypes:
  - CREATE
  - UPDATE
condition:
  "resource.bindings.exists(
    binding,
    binding.members.exists(member,
      MemberSubjectEndsWith(member, ['@gmail.com'])
    )
  )"
actionType: DENY
displayName: Do not allow members whose email addresses end with "@gmail.com" to be granted roles
Consenti di concedere solo ruoli specifici e solo a entità specifiche. 
name: organizations/ORG_ID/customConstraints/custom.allowSpecificRolesAndPrincipals
resourceTypes: iam.googleapis.com/AllowPolicy
methodTypes:
  - CREATE
  - UPDATE
condition:
  "resource.bindings.all(
    binding,
    RoleNameMatches(binding.role, ['ROLE_1', 'ROLE_2'])  &&
    binding.members.all(member,
      MemberSubjectMatches(member, ['serviceAccount:SERVICE_ACCOUNT', 'group:GROUP'])
    )
  )"
actionType: ALLOW
displayName: Only allow ROLE_1 and ROLE_2 to be granted to SERVICE_ACCOUNT and GROUP
Impedisci la concessione dei ruoli Cloud Storage a allUsers e allAuthenticatedUsers. 
name: organizations/ORG_ID/customConstraints/custom.denyStorageRolesForPrincipalAllUsers
resourceTypes: iam.googleapis.com/AllowPolicy
methodTypes:
  - CREATE
  - UPDATE
condition:
  "resource.bindings.exists(
    binding,
    RoleNameStartsWith(binding.role, ['roles/storage.']) &&
    binding.members.exists(member,
      MemberSubjectMatches(member, ['allUsers', 'allAuthenticatedUsers'])
    )
  )"
actionType: DENY
displayName: Do not allow storage roles to be granted to allUsers or allAuthenticatedUsers
Impedisci l'assegnazione di ruoli alle identità esterne alla tua organizzazione. 
name: organizations/ORG_ID/customConstraints/custom.allowInternaldentitiesOnly
resourceTypes: iam.googleapis.com/AllowPolicy
methodTypes:
  - CREATE
  - UPDATE
condition:
  "resource.bindings.all(
    binding,
    binding.members.all(member,
      MemberInPrincipalSet(member, ['//cloudresourcemanager.googleapis.com/organizations/ORG_ID'])
    )
  )"
actionType: ALLOW
displayName: Only allow organization members to be granted roles
Consenti solo la concessione di ruoli agli account di servizio. 
name: organizations/ORG_ID/customConstraints/custom.allowServiceAccountsOnly
resourceTypes: iam.googleapis.com/AllowPolicy
methodTypes:
  - CREATE
  - UPDATE
condition:
  "resource.bindings.all(
    binding,
    binding.members.all(member,
      MemberTypeMatches(member, ['iam.googleapis.com/ServiceAccount'])
    )
  )"
actionType: ALLOW
displayName: Only allow service accounts to be granted roles

Risorse supportate da Identity and Access Management

IAM supporta la risorsa AllowPolicy. Questa risorsa ha l'attributo resources.bindings, che viene restituito per tutti i metodi che modificano il criterio di autorizzazione di una risorsa. Tutti i metodi che modificano la policy di autorizzazione di una risorsa terminano con setIamPolicy.

L'attributo resource.bindings ha la seguente struttura, dove BINDINGS è un array di associazioni di ruoli modificate durante una modifica a un criterio di autorizzazione:

{
  "bindings": {
    BINDINGS
  }
}

Ogni associazione in resource.bindings ha la seguente struttura, dove ROLE è il nome del ruolo nell'associazione di ruoli e MEMBERS è un elenco di identificatori per tutti gli enti che sono stati aggiunti o rimossi dall'associazione di ruoli:

{
  "role": "ROLE"
  "members": {
    MEMBERS
  }
}

Per conoscere i formati che possono avere gli identificatori principali, consulta Identificatori principali.

Puoi valutare l'attributo resource.bindings e i relativi campi solo utilizzando le funzioni supportate. Altri operatori e funzioni, come ==, !=, in, contains, startsWith e endsWith, non sono supportati.

Funzioni supportate

Puoi utilizzare le seguenti funzioni CEL per valutare i singoli ruoli e membri in una definizione.

Per valutare tutte le associazioni nell'array bindings o tutti i membri nell'array members, utilizza le macro all e exists. Per ulteriori informazioni, vedi Macro per valutare gli elenchi in questa pagina.

Puoi anche utilizzare gli operatori logici && (and) e || (or) per scrivere condizioni con più parti.

Funzione Descrizione
RoleNameMatches(
  role,
  roleNames: list
)   bool

Restituisce true se il ruolo role corrisponde completamente ad almeno uno dei ruoli elencati in roleNames.

Parametri
role: il ruolo da valutare.
roleNames: un elenco di nomi di ruoli da confrontare.
Esempio

Restituisce true se role nel binding specificato è roles/storage.admin o roles/compute.admin: 

RoleNameMatches(binding.role, ['roles/storage.admin', 'roles/compute.admin'])
RoleNameStartsWith(
  role,
  rolePrefixes: list
)   bool

Restituisce true se il ruolo role inizia con almeno una delle stringhe elencate in rolePrefixes.

Parametri
role: il ruolo da valutare.
rolePrefixes: un elenco di stringhe da associare all'inizio del ruolo.
Esempio

Restituisce true se role nel binding specificato inizia con roles/storage: 

RoleNameStartsWith(binding.role, ['roles/storage'])
RoleNameEndsWith(
  role,
  roleSuffixes: list
)   bool

Restituisce true se il ruolo role termina con almeno una delle stringhe elencate in roleSuffixes.

Parametri
role: il ruolo da valutare.
roleSuffixes: un elenco di stringhe da associare alla fine del ruolo.
Esempio

Restituisce true se role nel binding specificato termina con .admin: 

RoleNameEndsWith(binding.role, ['.admin'])
RoleNameContains(
  role,
  roleSubstrings: list
)   bool

Restituisce true se il ruolo role contiene almeno una delle stringhe elencate in roleSubstrings.

Parametri
role: il ruolo da valutare.
roleSubstrings: un elenco di stringhe a cui abbinare qualsiasi parte del ruolo.
Esempio

Restituisce true se role nel binding specificato contiene la stringa admin: 

RoleNameContains(binding.role, ['admin'])
MemberSubjectMatches(
  member,
  memberNames: list
)   bool

Restituisce true se il membro member corrisponde completamente almeno a uno dei membri elencati in memberNames.

Se l'identificatore di member è un indirizzo email, questa funzione valuta solo quell'indirizzo email e non valuta gli alias per quell'indirizzo email.

Parametri
member: il membro da valutare.
memberNames: un elenco di nomi di membri da confrontare.
Esempio

Restituisce true se il membro member è rosario@example.com: 

MemberSubjectMatches(member, ['user:rosario@example.com'])
MemberSubjectStartsWith(
  member,
  memberPrefixes: list
)   bool

Restituisce true se il membro member inizia con almeno una delle stringhe elencate in memberPrefixes.

Se l'identificatore di member è un indirizzo email, questa funzione valuta solo quell'indirizzo email e non valuta gli alias per quell'indirizzo email.

Parametri
member: il membro da valutare.
memberPrefixes: un elenco di stringhe con cui confrontare l'inizio del nome del membro.
Esempio

Restituisce true se l'elemento member inizia con user:prod-: 

MemberSubjectStartsWith(member, ['user:prod-'])
MemberSubjectEndsWith(
  member,
  memberSuffixes: list
)   bool

Restituisce true se l'elemento member termina con almeno una delle stringhe elencate in memberSuffixes.

Se l'identificatore di member è un indirizzo email, questa funzione valuta solo quell'indirizzo email e non valuta gli alias per quell'indirizzo email.

Parametri
member: il membro da valutare.
memberSuffixes: un elenco di stringhe con cui confrontare la fine del nome del membro.
Esempio

Restituisce true se il membro member termina con @example.com: 

MemberSubjectEndsWith(member, ['@example.com'])
MemberInPrincipalSet(
  member,
  principalSets: list
)   bool

Restituisce true se il membro appartiene ad almeno uno dei set di principali elencati.

Parametri
member: il membro da valutare.

principalSets: un elenco di set di entità. Affinché la funzione evaluti true, il membro deve appartenere almeno a uno di questi insiemi principali.

L'unico set di entità supportato è il set di entità organizzazione, che ha il formato //cloudresourcemanager.googleapis.com/organizations/ORGANIZATION_ID. Se utilizzato nella funzione MemberInPrincipalSet, questo insieme di entità include i seguenti elementi:

  • Tutte le identità in tutti i domini associati al tuo ID cliente Google Workspace
  • Tutti i pool di identità per la forza lavoro della tua organizzazione
  • Tutti gli account di servizio e i pool di identità per i workload in qualsiasi progetto dell'organizzazione
  • Tutti gli agenti di servizio associati alle risorse della tua organizzazione.
Esempio

Restituisce true se il membro member appartiene all'organizzazione @example.com, che ha l'ID 123456789012: 

MemberInPrincipalSet(member, ['//cloudresourcemanager.googleapis.com/organizations/123456789012'])
MemberTypeMatches(
  member,
  principalType: list
)   bool

Restituisce true se il membro è uno dei tipi principali elencati.

Parametri
member: il membro da valutare.
principalType: un elenco dei tipi principali. Affinché la funzione evaluti true, il membro deve essere uno dei tipi principali elencati. Per scoprire quali tipi di entità sono supportati, consulta la sezione Tipi di entità supportati per MemberTypeMatches.
Esempio

Restituisce true se il membro member ha il tipo di entità iam.googleapis.com/WorkspacePrincipal o iam.googleapis.com/WorkspaceGroup: 

MemberTypeMatches(member, ['iam.googleapis.com/WorkspacePrincipal', 'iam.googleapis.com/WorkspaceGroup'])

Macro per valutare gli elenchi

Utilizza le macro all e exists per valutare un'espressione di condizione per un elenco di elementi.

Macro Descrizione
list.all(
  item,
  conditionExpression
)   bool

Restituisce true se conditionExpression restituisce true per ogni item in list.

Questa macro viene in genere utilizzata per i criteri dell'organizzazione personalizzati con il actionType ALLOW. Ad esempio, puoi utilizzare questa macro per assicurarti che un'azione sia consentita solo se tutti gli entità modificate soddisfano la condizione.

Parametri
list: l'elenco di elementi da valutare.
item: la voce dell'elenco da valutare. Ad esempio, se chiami questo metodo nell'elenco resource.bindings, utilizza il valore binding.
conditionExpression: l'espressione della condizione in base alla quale valutare ogni item.
Esempio

Restituisce true se tutte le associazioni in resource.bindings hanno ruoli che iniziano con roles/storage.. Restituisce false se una delle associazioni ha ruoli che non iniziano con roles/storage.: 

resource.bindings.all(binding, RoleNameStartsWith(binding.role, ['roles/storage.']))
list.exists(
  item,
  conditionExpression
)   bool

Restituisce true se conditionExpression restituisce true per qualsiasi item in list.

Questa macro viene in genere utilizzata per i criteri dell'organizzazione personalizzati con actionType DENY. Ad esempio, puoi utilizzare questa macro per assicurarti che un'azione venga rifiutata se uno dei principali modificati soddisfa la condizione.

Parametri
list: l'elenco di elementi da valutare.
item: la voce dell'elenco da valutare. Ad esempio, se chiami questo metodo nell'elenco resource.bindings, utilizza il valore binding.
conditionExpression: l'espressione della condizione in base alla quale valutare ogni item.
Esempio

Restituisce true se una delle associazioni in resource.bindings ha ruoli che iniziano con roles/storage.. Restituisce false se nessuna delle associazioni ha ruoli che iniziano con roles/storage.: 

resource.bindings.exists(binding, RoleNameStartsWith(binding.role, ['roles/storage.']))

Condizioni con elenchi nidificati

In generale, se la condizione include elenchi nidificati, devi utilizzare la stessa macro per tutti gli elenchi nella condizione.

Considera gli esempi seguenti:

  • Se il criterio contiene actionType ALLOW, utilizza la macro all sia per l'elenco members sia per l'elenco bindings per assicurarti che le modifiche ai criteri siano consentite solo se tutti i membri di tutte le associazioni modificate soddisfano la condizione.
  • Se il criterio contiene actionType DENY, utilizza la macro exists sia per l'elenco members sia per l'elenco bindings per assicurarti che le modifiche ai criteri non siano consentite se qualsiasi membro di qualsiasi associazione modificata soddisfa la condizione.

L'unione di macro in una singola condizione potrebbe comportare una condizione che non si comporta come previsto.

Ad esempio, immagina di voler impedire la concessione di ruoli ai membri esterni all'organizzazione example.com. L'organizzazione example.com ha l'ID 123456789012.

Per raggiungere questo obiettivo, scrivi la seguente condizione:

Non consigliato: condizione configurata in modo errato

"resource.bindings.all(
  binding,
  binding.members.exists(member,
    MemberInPrincipalSet(member, ['//cloudresourcemanager.googleapis.com/organizations/123456789012'])
  )
)"

Sembra che questa condizione impedisca la concessione di ruoli ai membri esterni all'organizzazione example.com. Tuttavia, la condizione restituisce true se qualsiasi membro di ciascuna delle associazioni di ruoli modificate fa parte dell'organizzazione example.com. Di conseguenza, puoi comunque assegnare ruoli ai membri esterni all'organizzazioneexample.com se assegni lo stesso ruolo anche a un membro dell'organizzazioneexample.com.

Ad esempio, la condizione ha il valore true per il seguente insieme di associazioni, anche se uno dei membri non fa parte dell'organizzazione example.com:

 "bindings": [
    {
      "members": [
        "user:raha@altostrat.com",
        "user:jie@example.com"
      ],
      "role": "roles/resourcemanager.projectCreator"
    }
  ],

Dovresti invece scrivere una condizione come la seguente:

Consigliato: condizione configurata correttamente

"resource.bindings.all(
  binding,
  binding.members.all(member,
    MemberInPrincipalSet(member, ['//cloudresourcemanager.googleapis.com/organizations/123456789012'])
  )
)"

L'utilizzo della macro all sia per l'array members.bindings sia per l'array resource.bindings garantisce che la condizione restituisca true solo se tutti i membri di all nelle associazioni all sono nel set principale example.com.

Tipi di entità principali supportati per MemberTypeMatches

La funzione MemberTypeMatches richiede di specificare il tipo di entità a cui deve corrispondere il membro specificato.

La tabella seguente elenca i tipi di entità che puoi inserire e una descrizione di cosa rappresentano. Elenca inoltre gli identificatori dell'entità che corrispondono a ciascun tipo di entità. Questi identificatori sono i valori utilizzati nei criteri IAM.

Tipo di entità Descrizione Identificatori principali
iam.googleapis.com/ConsumerPrincipal Un Account Google di tipo consumer. Gli indirizzi email di questi account in genere terminano con gmail.com. user:USER_EMAIL_ADDRESS
iam.googleapis.com/WorkspacePrincipal Un Account Google che fa parte di un account Cloud Identity o Google Workspace. Questi account sono chiamati anche account utente gestiti. user:USER_EMAIL_ADDRESS
iam.googleapis.com/ConsumerGroup Un gruppo Google creato da un Account Google consumer. Questi gruppi non sono di proprietà di un account Cloud Identity o Google Workspace. Gli indirizzi email di questi gruppi in genere terminano con googlegroups.com. group:GROUP_EMAIL_ADDRESS
iam.googleapis.com/WorkspaceGroup Un gruppo Google di proprietà di un account Cloud Identity o Google Workspace. group:GROUP_EMAIL_ADDRESS
iam.googleapis.com/Domain Un account Cloud Identity o Google Workspace. domain:DOMAIN
iam.googleapis.com/WorkforcePoolPrincipal Un'unica entità in un pool di identità per la forza lavoro. principal://iam.googleapis.com/locations/global/workforcePools/POOL_ID/subject/SUBJECT_ATTRIBUTE_VALUE
iam.googleapis.com/WorkforcePoolPrincipalSet Un set di entità che contiene un insieme di identità in un pool di identità della forza lavoro. Ad esempio, un set di entità contenente tutte le entità in un pool di identità della forza lavoro.
  • principalSet://iam.googleapis.com/locations/global/workforcePools/POOL_ID/group/GROUP_ID
  • principalSet://iam.googleapis.com/locations/global/workforcePools/POOL_ID/attribute.ATTRIBUTE_NAME/ATTRIBUTE_VALUE
  • principalSet://iam.googleapis.com/locations/global/workforcePools/POOL_ID/*
iam.googleapis.com/WorkloadPoolPrincipal Una singola identità in un pool di identità del workload principal://iam.googleapis.com/projects/PROJECT_NUMBER/locations/global/workloadIdentityPools/POOL_ID/subject/SUBJECT_ATTRIBUTE_VALUE
iam.googleapis.com/WorkloadPoolPrincipalSet Un set di entità che contiene un insieme di identità in un pool di identità del workload. Ad esempio, un set di entità contenente tutte le entità in un pool di identità di carico di lavoro.
  • principalSet://iam.googleapis.com/projects/PROJECT_NUMBER/locations/global/workloadIdentityPools/POOL_ID/group/GROUP_ID
  • principalSet://iam.googleapis.com/projects/PROJECT_NUMBER/locations/global/workloadIdentityPools/POOL_ID/attribute.ATTRIBUTE_NAME/ATTRIBUTE_VALUE
  • principalSet://iam.googleapis.com/projects/PROJECT_NUMBER/locations/global/workloadIdentityPools/POOL_ID/*
iam.googleapis.com/ServiceAccount

Qualsiasi account di servizio. Un account di servizio è un tipo speciale di account che rappresenta un carico di lavoro anziché un utente.

Nel contesto della funzione MemberTypeMatches, questo tipo di entità non include gli agenti di servizio.

serviceAccount:SERVICE_ACCOUNT_EMAIL_ADDRESS
iam.googleapis.com/ServiceAgent Qualsiasi agente di servizio. Un agente di servizio è un tipo speciale di account di servizio che Google Cloud crea e gestisce. Quando vengono concessi i ruoli nei tuoi progetti, gli agenti di servizio consentono ai Google Cloud servizi di eseguire azioni per tuo conto. serviceAccount:SERVICE_AGENT_EMAIL_ADDRESS
iam.googleapis.com/PublicPrincipals Le entità allUsers e allAuthenticatedUsers.
  • allUsers
  • allAuthenticatedUsers
iam.googleapis.com/ProjectRoleReference Entità definite in base al ruolo concesso. Questi principi sono chiamati anche valori di comodità.
  • projectOwner:PROJECT_ID
  • projectEditor:PROJECT_ID
  • projectViewer:PROJECT_ID
iam.googleapis.com/ResourcePrincipal Una risorsa con un'identità integrata. Uno degli identificatori dell'entità elencati in Identificatori dell'entità per singole risorse.
iam.googleapis.com/ResourcePrincipalSet Risorse con identità predefinite che condividono determinate caratteristiche, ad esempio il tipo o l'antenato. Uno degli identificatori elencati in Identificatori delle entità per insiemi di risorse.

Passaggi successivi