查看 Privileged Access Manager 设置

This feature is subject to the "Pre-GA Offerings Terms" in the General Service Terms section of the Service Specific Terms. Pre-GA features are available "as is" and might have limited support. For more information, see the launch stage descriptions.

作为 Privileged Access Manager 设置查看者，您可以查看组织、文件夹或项目的 Privileged Access Manager 设置。

准备工作

如需获得查看 Privileged Access Manager 设置所需的权限，请让管理员向您授予组织、文件夹或项目的以下 IAM 角色：

• 查看设置： PAM Settings Viewer (roles/privilegedaccessmanager.settingsViewer)

如需详细了解如何授予角色，请参阅管理对项目、文件夹和组织的访问权限。

这些预定义角色包含查看 Privileged Access Manager 设置所需的权限。如需查看所需的确切权限，请展开所需权限部分：

所需权限

您需要具备以下权限才能查看 Privileged Access Manager 设置：

• 如需查看设置，请执行以下操作：
  • privilegedaccessmanager.settings.get
  • privilegedaccessmanager.settings.fetchEffective

您也可以使用自定义角色或其他预定义角色来获取这些权限。

查看设置

控制台

1. 前往 Privileged Access Manager 页面。

   前往 Privileged Access Manager

2. 选择您要查看 Privileged Access Manager 设置的组织、文件夹或项目。

3. 点击设置标签。

设置页面会显示所选资源的 Privileged Access Manager 设置详细信息。

REST

您可以查看资源的以下设置：

• 直接在资源上设置的单个设置。

• 资源上设置或从其父资源继承的有效设置。

  查看资源的各个设置

  Privileged Access Manager API 的 getSettings 方法可查看 Privileged Access Manager 设置。

  在使用任何请求数据之前，请先进行以下替换：

  • SCOPE：要检索其设置的组织、文件夹或项目，格式为 organizations/ORGANIZATION_ID、folders/FOLDER_ID 或 projects/PROJECT_ID。项目 ID 是字母数字字符串，例如 my-project。文件夹和组织 ID 是数字，例如 123456789012。

  HTTP 方法和网址：

  GET https://privilegedaccessmanager.googleapis.com/v1beta/SCOPE/locations/global/settings

  如需发送您的请求，请展开以下选项之一：

  curl（Linux、macOS 或 Cloud Shell）

  注意：以下命令假定您已使用您的用户账号通过运行 gcloud init 或 gcloud auth login 登录 gcloud CLI，或者使用了 Cloud Shell，这会使您自动登录 gcloud CLI。您可以运行 gcloud auth list 来检查当前活跃的账号。

  执行以下命令：

  curl -X GET \
       -H "Authorization: Bearer $(gcloud auth print-access-token)" \
       "https://privilegedaccessmanager.googleapis.com/v1beta/SCOPE/locations/global/settings"

  PowerShell (Windows)

  注意：以下命令假定您已使用您的用户账号通过运行 gcloud init 或 gcloud auth login 登录 gcloud CLI。您可以运行 gcloud auth list 来检查当前活跃的账号。

  执行以下命令：

  $cred = gcloud auth print-access-token
  $headers = @{ "Authorization" = "Bearer $cred" }
  
  Invoke-WebRequest `
      -Method GET `
      -Headers $headers `
      -Uri "https://privilegedaccessmanager.googleapis.com/v1beta/SCOPE/locations/global/settings" | Select-Object -Expand Content

  您应该收到类似以下内容的 JSON 响应：

  
  {
    "createTime": "2025-05-18T10:10:10.101010101Z",
    "emailNotificationSettings": {
      "customNotificationBehavior": {
        "adminNotifications": {
          "grantActivated": "ENABLED",
          "grantActivationFailed": "DISABLED",
          "grantEnded": "ENABLED",
          "grantExternallyModified": "ENABLED"
        },
        "approverNotifications": {
          "pendingApproval": "ENABLED"
        },
        "requesterNotifications": {
          "entitlementAssigned": "ENABLED",
          "grantActivated": "ENABLED",
          "grantExpired": "ENABLED",
          "grantRevoked": "ENABLED"
        }
      }
    },
    "etag": "\"ZjlkNWZlMWUtNDlhYS00YjJjAYlzNWYtZWFkNGVjOWU3NWMkBwYRsottW5Md\"",
    "name": "SCOPE/locations/global/settings",
    "serviceAccountApproverSettings": {
      "enabled": true
    },
    "updateTime": "2025-05-18T10:10:10.101010101Z"
  }
  
  

  查看资源的有效设置

  Privileged Access Manager API 的 fetchEffectiveSettings 方法可查看 Privileged Access Manager 设置。

  在使用任何请求数据之前，请先进行以下替换：

  • SCOPE：要检索其设置的组织、文件夹或项目，格式为 organizations/ORGANIZATION_ID、folders/FOLDER_ID 或 projects/PROJECT_ID。项目 ID 是字母数字字符串，例如 my-project。文件夹和组织 ID 是数字，例如 123456789012。

  HTTP 方法和网址：

  GET https://privilegedaccessmanager.googleapis.com/v1beta/SCOPE/locations/global:effectiveSettings

  如需发送您的请求，请展开以下选项之一：

  curl（Linux、macOS 或 Cloud Shell）

  注意：以下命令假定您已使用您的用户账号通过运行 gcloud init 或 gcloud auth login 登录 gcloud CLI，或者使用了 Cloud Shell，这会使您自动登录 gcloud CLI。您可以运行 gcloud auth list 来检查当前活跃的账号。

  执行以下命令：

  curl -X GET \
       -H "Authorization: Bearer $(gcloud auth print-access-token)" \
       "https://privilegedaccessmanager.googleapis.com/v1beta/SCOPE/locations/global:effectiveSettings"

  PowerShell (Windows)

  注意：以下命令假定您已使用您的用户账号通过运行 gcloud init 或 gcloud auth login 登录 gcloud CLI。您可以运行 gcloud auth list 来检查当前活跃的账号。

  执行以下命令：

  $cred = gcloud auth print-access-token
  $headers = @{ "Authorization" = "Bearer $cred" }
  
  Invoke-WebRequest `
      -Method GET `
      -Headers $headers `
      -Uri "https://privilegedaccessmanager.googleapis.com/v1beta/SCOPE/locations/global:effectiveSettings" | Select-Object -Expand Content

  您应该收到类似以下内容的 JSON 响应：

  {
    "emailNotificationSettings": {
      "customNotificationBehavior": {
        "adminNotifications": {
          "notifyGrantActivated": "true",
          "notifyGrantActivationFailed": "true",
          "notifyGrantEnded": "true",
          "notifyGrantExternallyModified": "true"
        },
        "approverNotifications": {
          "notifyPendingApproval": "true"
        },
        "requesterNotifications": {
          "notifyEntitlementAssigned": "true",
          "notifyEntitlementUpdated": "true",
          "notifyGrantActivated": "true",
          "notifyGrantActivationFailed": "true",
          "notifyGrantEnded": "true",
          "notifyGrantExpired": "true",
          "notifyGrantExternallyModified": "true",
          "notifyGrantRevoked": "true"
        }
      }
    },
    "parent": "SCOPE/locations/global",
    "serviceAccountApproverSettings": {}
  }
  
  

后续步骤

• 创建使用权