在 Privileged Access Manager 中撤消授权

在主账号成功请求授予权限并处于有效状态后，具有正确权限的主账号可以撤消授予权限。处于无效状态的授权无法撤消。

准备工作

确保您已启用 Privileged Access Manager 并为其设置权限。

使用 Google Cloud 控制台撤消授予的权限

如需撤消针对某项权利的特定授予，请完成以下说明：

  1. 前往 Privileged Access Manager 页面。

    前往 Privileged Access Manager

  2. 选择要撤消授权的组织、文件夹或项目。

  3. 依次点击授权标签页和所有用户的授权标签页。其中包含所有请求者的所有授权、授权状态以及相关的权利详情。

  4. 在表格中，点击要撤消的授权所在行中的更多选项。

  5. 如需撤消有效的授权，请点击撤消授权。

如需撤消针对某项权限所做的所有有效授予，请完成以下说明：

  1. 前往 Privileged Access Manager 页面。

    前往 Privileged Access Manager

  2. 点击权限标签页，然后点击所有用户的权限标签页。您可以在此处查找可用的权限、它们授予的角色以及有效的请求者和审批者。

  3. 在表格中，点击要撤消授权的权限所在行中的更多选项。

  4. 点击撤消所有授权。

以编程方式撤消授权

gcloud

gcloud beta pam grants revoke 命令会撤消有效授权。

在使用下面的命令数据之前，请先进行以下替换：

  • GRANT_ID：要撤消的授权的 ID。 您可以通过查看授权来检索该 ID。
  • ENTITLEMENT_ID：授予权限所属的权利的 ID。
  • REVOKE_REASON：撤消授权的原因。
  • RESOURCE_TYPE：可选。该权利所属的资源类型。使用值 organization、folder 或 project。
  • RESOURCE_ID：与 RESOURCE_TYPE 一起使用。您要为其管理使用权限的 Google Cloud 项目、文件夹或组织的 ID。项目 ID 是字母数字字符串，例如 my-project。文件夹和组织 ID 是数字，例如 123456789012。

执行以下命令：

Linux、macOS 或 Cloud Shell

gcloud beta pam grants revoke \
     GRANT_ID \
    --entitlement=ENTITLEMENT_ID \
    --reason="REVOKE_REASON" \
    --location=global \
    --RESOURCE_TYPE=RESOURCE_ID

Windows (PowerShell)

gcloud beta pam grants revoke `
     GRANT_ID `
    --entitlement=ENTITLEMENT_ID `
    --reason="REVOKE_REASON" `
    --location=global `
    --RESOURCE_TYPE=RESOURCE_ID

Windows (cmd.exe)

gcloud beta pam grants revoke ^
     GRANT_ID ^
    --entitlement=ENTITLEMENT_ID ^
    --reason="REVOKE_REASON" ^
    --location=global ^
    --RESOURCE_TYPE=RESOURCE_ID

您应该会收到类似如下所示的响应：

auditTrail:
  accessGrantTime: '2024-04-05T00:29:16.703069535Z'
  accessRemoveTime: '2024-04-05T00:29:55.815041079Z'
createTime: '2024-04-05T00:27:43.822053968Z'
justification:
  unstructuredJustification: Renaming a file to mitigate issue #312
name: projects/my-project/locations/global/entitlements/ENTITLEMENT_ID/grants/GRANT_ID
privilegedAccess:
  gcpIamAccess:
    resource: //cloudresourcemanager.googleapis.com/projects/my-project
    resourceType: cloudresourcemanager.googleapis.com/Project
    roleBindings:
    - role: roles/storage.admin
requestedDuration: 2700s
requester: cruz@example.com
state: REVOKED
timeline:
  events:
  - eventTime: '2024-04-05T00:27:44.014277946Z'
    requested:
      expireTime: '2024-04-06T00:27:44.014277946Z'
  - approved:
      actor: alex@example.com
      reason: Access allowed under existing policy
    eventTime: '2024-04-05T00:29:14.921828714Z'
  - eventTime: '2024-04-05T00:29:14.921763008Z'
    scheduled:
      scheduledActivationTime: '2024-04-05T00:29:14.921763008Z'
  - activated: {}
    eventTime: '2024-04-05T00:29:16.703069535Z'
  - eventTime: '2024-04-05T00:29:55.815041079Z'
    revoked:
      actor: alex@example.com
      reason: Revoking due to new access policy

REST

Privileged Access Manager API 的 revokeGrant 方法可撤消有效授权。

在使用任何请求数据之前，请先进行以下替换：

  • SCOPE：相应权利在其中的组织、文件夹或项目，格式为 organizations/ORGANIZATION_ID、folders/FOLDER_ID 或 projects/PROJECT_ID。项目 ID 是字母数字字符串，例如 my-project。文件夹和组织 ID 是数字，例如 123456789012。
  • ENTITLEMENT_ID：授予权限所属的权利的 ID。
  • GRANT_ID：要撤消的授权的 ID。 您可以通过查看授权来检索该 ID。
  • REVOKE_REASON：撤销授权的原因。

HTTP 方法和网址：

POST https://privilegedaccessmanager.googleapis.com/v1beta/SCOPE/locations/global/entitlements/ENTITLEMENT_ID/grants/GRANT_ID:revoke

请求 JSON 正文：

{
  "reason": "REVOKE_REASON"
}

如需发送您的请求，请展开以下选项之一：

您应该收到类似以下内容的 JSON 响应：

{
  "name": "projects/my-project/locations/global/operations/OPERATION_ID",
  "metadata": {
    "@type": "type.googleapis.com/google.cloud.privilegedaccessmanager.v1beta.OperationMetadata",
    "createTime": "2024-03-06T23:07:48.716396505Z",
    "target": "projects/my-project/locations/global/entitlements/ENTITLEMENT_ID/grants/GRANT_ID",
    "verb": "update",
    "requestedCancellation": false,
    "apiVersion": "v1beta"
  },
  "done": false
}

如需检查撤消操作的进度，您可以向以下端点发送 GET 请求： 

https://privilegedaccessmanager.googleapis.com/v1beta/SCOPE/locations/global/operations/OPERATION_ID

向以下端点发送 GET 请求以列出所有操作：

https://privilegedaccessmanager.googleapis.com/v1beta/SCOPE/locations/global/operations