Cette page a été traduite par l'API Cloud Translation.

Modifier les stratégies de limite d'accès des comptes principaux

Les stratégies de limite d'accès des comptes principaux (PAB, Principal Access Boundary) vous permettent de limiter les ressources auxquelles un ensemble de comptes principaux est autorisé à accéder. Cette page explique comment modifier les stratégies de limite d'accès des comptes principaux existantes et les liaisons de stratégie pour ces stratégies afin de modifier les personnes auxquelles elles s'appliquent.

Avant de commencer

Configurez l'authentification.

Select the tab for how you plan to use the samples on this page:
gcloud

In the Google Cloud console, activate Cloud Shell.

Activate Cloud Shell

At the bottom of the Google Cloud console, a Cloud Shell session starts and displays a command-line prompt. Cloud Shell is a shell environment with the Google Cloud CLI already installed and with values already set for your current project. It can take a few seconds for the session to initialize.
REST

Pour utiliser les exemples d'API REST de cette page dans un environnement de développement local, vous devez utiliser les identifiants que vous fournissez à gcloud CLI.
Pour en savoir plus, consultez la section S'authentifier pour utiliser REST dans la documentation sur l'authentification Google Cloud.
Consultez la présentation des stratégies de limite d'accès des comptes principaux.

Rôles requis pour modifier les stratégies de limite d'accès des comptes principaux

Pour obtenir l'autorisation nécessaire pour modifier des stratégies de limite d'accès des principaux, demandez à votre administrateur de vous accorder le rôle IAM Administrateur des limites d'accès des principaux (roles/iam.principalAccessBoundaryAdmin) dans votre organisation. Pour en savoir plus sur l'attribution de rôles, consultez la page Gérer l'accès aux projets, aux dossiers et aux organisations.

Ce rôle prédéfini contient l'autorisation iam.principalaccessboundarypolicies.update, qui est nécessaire pour modifier les stratégies de limite d'accès des comptes principaux.

Vous pouvez également obtenir cette autorisation avec des rôles personnalisés ou d'autres rôles prédéfinis.

Rôles requis pour modifier les liaisons de stratégie de limite d'accès des comptes principaux

Les autorisations dont vous avez besoin pour modifier les liaisons de stratégie pour les stratégies de limite d'accès des comptes principaux dépendent de l'ensemble de comptes principaux associé à la stratégie.

Pour obtenir les autorisations nécessaires pour modifier les associations de stratégies pour les stratégies de limite d'accès des principaux, demandez à votre administrateur de vous accorder les rôles IAM suivants:

Utilisateur de la limite d'accès des comptes principaux (roles/iam.principalAccessBoundaryUser) de votre organisation
Modifiez les liaisons de stratégie pour les stratégies de limite d'accès des comptes principaux associées aux pools de fédération des identités des employés : Administrateur de pools d'employés IAM (roles/iam.workforcePoolAdmin) sur le pool de fédération des identités des employés cible
Modifiez les liaisons de stratégie pour les stratégies de limite d'accès des comptes principaux associées aux pools de fédération d'identité de charge de travail : Administrateur de pools d'identités de charge de travail IAM (roles/iam.workloadIdentityPoolAdmin) sur le projet qui possède le pool de fédération d'identité de charge de travail cible.
Modifier les liaisons de stratégie pour les stratégies de limite d'accès des comptes principaux associées à un domaine Google Workspace : Administrateur IAM de pools d'espaces de travail (roles/iam.workspacePoolAdmin) de l'organisation
Modifier les liaisons de stratégie pour les stratégies de limite d'accès des comptes principaux liées à l'ensemble de comptes principaux d'un projet : Administrateur IAM du projet (roles/resourcemanager.projectIamAdmin) sur le projet
Modifier les liaisons de stratégie pour les stratégies de limite d'accès des comptes principaux associées à l'ensemble de comptes principaux d'un dossier : Administrateur IAM du dossier (roles/resourcemanager.folderIamAdmin) sur le dossier
Modifier les associations de stratégies pour les stratégies de limite d'accès des comptes principaux associées à un ensemble de comptes principaux d'une organisation : Administrateur de l'organisation (roles/resourcemanager.organizationAdmin) de l'organisation

Pour en savoir plus sur l'attribution de rôles, consultez la page Gérer l'accès aux projets, aux dossiers et aux organisations.

Ces rôles prédéfinis contiennent les autorisations requises pour modifier les liaisons de stratégie pour les stratégies de limite d'accès des comptes principaux. Pour connaître les autorisations exactes requises, développez la section Autorisations requises :

Autorisations requises

Les autorisations suivantes sont requises pour modifier les liaisons de stratégies pour les stratégies de limite d'accès des comptes principaux:

iam.principalaccessboundarypolicies.bind sur l'organisation
Modifiez les liaisons de stratégie pour les stratégies de limite d'accès des comptes principaux associées aux pools de fédération d'identités de personnel : iam.workforcePools.updatePolicyBinding sur le pool de fédération d'identités de personnel cible
Modifiez les liaisons de stratégie pour les stratégies de limite d'accès des comptes principaux associées aux pools de fédération d'identité de charge de travail : iam.workloadIdentityPools.updatePolicyBinding sur le projet propriétaire du pool de fédération d'identité de personnel cible
Modifiez les liaisons de stratégie pour les stratégies de limite d'accès des comptes principaux associées à un domaine Google Workspace : iam.workspacePools.updatePolicyBinding sur l'organisation.
Modifiez les liaisons de stratégie pour les stratégies de limite d'accès des comptes principaux liées à l'ensemble de comptes principaux d'un projet : resourcemanager.projects.updatePolicyBinding sur le projet
Modifiez les liaisons de stratégie pour les stratégies de limite d'accès des comptes principaux associées à l'ensemble de comptes principaux d'un dossier : resourcemanager.folders.updatePolicyBinding sur le dossier
Modifiez les liaisons de stratégie pour les stratégies de limite d'accès des comptes principaux associées à un ensemble de comptes principaux d'une organisation : resourcemanager.organizations.updatePolicyBinding sur l'organisation

Vous pouvez également obtenir ces autorisations avec des rôles personnalisés ou d'autres rôles prédéfinis.

Modifier une stratégie de limite d'accès des comptes principaux existante

Si vous souhaitez ajouter des règles à une stratégie de limite d'accès des comptes principaux, en supprimer ou modifier les métadonnées, modifiez la stratégie.

Vous pouvez modifier une stratégie de limite d'accès des comptes principaux à l'aide de la console Google Cloud, de gcloud CLI ou de l'API REST IAM.

Console

Dans la console Google Cloud, accédez à la page Stratégies de limite d'accès des principaux.

Accéder aux stratégies de limite d'accès des comptes principaux
Sélectionnez l'organisation propriétaire de la stratégie de limite d'accès des comptes principaux que vous souhaitez modifier.
Cliquez sur l'ID de la stratégie de limite d'accès des comptes principaux que vous souhaitez modifier.
Cliquez sur Modifier la règle.
Pour modifier les règles de la stratégie, procédez comme suit:
1. Cliquez sur la règle que vous souhaitez modifier.
2. Modifiez la description de la règle ou les ressources incluses dans la règle.
3. Cliquez sur OK.
Pour supprimer une règle de la stratégie, cliquez sur Supprimer dans la ligne de cette règle.
Pour modifier le nom à afficher de la règle, modifiez le champ Nom à afficher.
Pour modifier la version d'application de la stratégie, cliquez sur la liste Version d'application, puis choisissez une nouvelle valeur.
Cliquez sur Enregistrer.

gcloud

La commande gcloud beta iam principal-access-boundary-policies update met à jour une stratégie de limite d'accès des comptes principaux existante.

Avant d'utiliser les données de la commande ci-dessous, effectuez les remplacements suivants :

PAB_POLICY_ID: ID de la stratégie de limite d'accès des comptes principaux que vous souhaitez mettre à jour (par exemple, example-policy).
ORG_ID : ID de l'organisation propriétaire de la stratégie de limite d'accès des comptes principaux. Les identifiants des organisations sont numériques, comme 123456789012.
FIELD_TO_UPDATE=UPDATED_VALUE: champs que vous souhaitez mettre à jour et valeur mise à jour correspondante.

Voici des exemples d'indicateurs que vous pouvez utiliser pour mettre à jour les champs de la règle:
- --display-name=DISPLAY_NAME: remplacez le nom à afficher de la stratégie par DISPLAY_NAME.
- --details-enforcement-version=ENFORCEMENT_VERSION: mettez à jour la version d'application de la stratégie sur ENFORCEMENT_VERSION.
- --details-rules=RULES_FILE.json: remplacez les règles de la stratégie de limite d'accès des comptes principaux par celles de RULES_FILE.json. Pour savoir comment mettre en forme le fichier de règles, consultez la section Créer une stratégie de limite d'accès des comptes principaux.
  
  Si vous utilisez cette option, vous ne pouvez pas utiliser l'option --add-details-rules.
- --add-details-rules=RULES_FILE: ajoutez les règles de RULES_FILE.json aux règles existantes de la stratégie. Pour savoir comment mettre en forme le fichier de règles, consultez la section Créer une stratégie de limite d'accès des comptes principaux.
  
  Si vous utilisez cette option, vous ne pouvez pas utiliser l'option --details-rules.
- --remove-details-rules=RULES_FILE: supprimez les règles de RULES_FILE.json des règles existantes de la stratégie. Pour savoir comment mettre en forme le fichier de règles, consultez la section Créer une stratégie de limite d'accès des comptes principaux. Seules les règles qui correspondent exactement à l'une des règles de RULES_FILE.json sont supprimées.
  
  Si vous utilisez cette option, vous ne pouvez pas utiliser l'option --clear-rule-details.
- --clear-details-rules: effacez toutes les règles de la stratégie de limite d'accès des comptes principaux.
  
  Si vous utilisez cette option, vous ne pouvez pas utiliser l'option --remove-rule-details.
Pour obtenir la liste complète des options que vous pouvez utiliser pour mettre à jour une stratégie de limite d'accès des comptes principaux, consultez la documentation de référence de la commande gcloud beta iam principal-access-boundary-policies update.
FORMAT : format de la réponse. Utilisez json ou yaml.

Exécutez la commande suivante :

Linux, macOS ou Cloud Shell

gcloud beta iam principal-access-boundary-policies update PAB_POLICY_ID \
    --organization=ORG_ID --location=global \
    --FIELD_TO_UPDATE=UPDATED_VALUE \
    --format=FORMAT

Windows (PowerShell)

gcloud beta iam principal-access-boundary-policies update PAB_POLICY_ID `
    --organization=ORG_ID --location=global `
    --FIELD_TO_UPDATE=UPDATED_VALUE `
    --format=FORMAT

Windows (cmd.exe)

gcloud beta iam principal-access-boundary-policies update PAB_POLICY_ID ^
    --organization=ORG_ID --location=global ^
    --FIELD_TO_UPDATE=UPDATED_VALUE ^
    --format=FORMAT

La réponse contient une opération de longue durée représentant votre requête. Une fois l'opération terminée, la réponse affiche la stratégie de limite d'accès des comptes principaux mise à jour.

Request issued for: [example-policy]
Waiting for operation [organizations/123456789012/locations/global/operations/operation-1715374208720-6181fae5e2034-2d8a712b-5c92e5b9] to complete...done.
Updated principalAccessBoundaryPolicy [example-policy].
{
  "name": "organizations/123456789012/locations/global/principalAccessBoundaryPolicies/example-policy",
  "uid": "puid_13364150419245236225",
  "etag": "W/\"Gh/PcTdJD/AWHUhPW45kdw==\"",
  "displayName": "Updated display name",
  "createTime": "2024-05-07T00:05:48.295209Z",
  "updateTime": "2024-05-10T20:50:09.200421Z",
  "details": [
    "rules": {
      [
        "description": "Make principals eligible to access example.com"
        "resources": {
          "//cloudresourcemanager.googleapis.com/organizations/123456789012"
        },
        "effect": ALLOW
      ]
    },
    "enforcementVersion": "1"
  ]
}

REST

La méthode principalAccessBoundaryPolicies.patch met à jour une stratégie de limite d'accès des comptes principaux existante.

Avant d'utiliser les données de requête ci-dessous, effectuez les remplacements suivants :

ORG_ID : ID de l'organisation propriétaire de la stratégie de limite d'accès des comptes principaux. Les identifiants des organisations sont numériques, comme 123456789012.
PAB_POLICY_ID: ID de la stratégie de limite d'accès des comptes principaux que vous souhaitez mettre à jour (par exemple, example-policy).
FIELDS_TO_UPDATE: liste des champs que vous souhaitez mettre à jour, séparés par une virgule. Si vous ne spécifiez pas les champs à mettre à jour, IAM remplace la stratégie existante par le contenu du corps de la requête.

Les valeurs acceptées sont displayName, details, details.rules, details.rules.description, details.rules.resources, details.rules.effect et details.enforcementVersion.
DISPLAY_NAME : facultatif. Description lisible de la stratégie de limite d'accès des comptes principaux (par exemple, Example policy). Le nom à afficher ne peut pas comporter plus de 63 caractères.
PAB_RULES: liste des règles de limite d'accès des comptes principaux, qui définissent les ressources auxquelles les comptes principaux concernés peuvent accéder. Une stratégie de limite d'accès des comptes principaux peut contenir jusqu'à 500 règles. Chaque règle se présente sous la forme suivante:
```
{
"description": "DESCRIPTION",
"resources": [
  RESOURCES
],
"effect": ALLOW
}
```
Remplacez les valeurs suivantes :
- DESCRIPTION : facultatif. Description de la règle de stratégie de limite d'accès des comptes principaux. La description ne doit pas dépasser 256 caractères.
- RESOURCES: liste des ressources Resource Manager (projets, dossiers et organisations) auxquelles vous souhaitez que les comptes principaux puissent accéder. Tout compte principal soumis à cette stratégie peut accéder à ces ressources.
  
  Chaque stratégie de limite d'accès des comptes principaux peut référencer un maximum de 500 ressources pour l'ensemble des règles de la stratégie.
ENFORCEMENT_VERSION: version des stratégies de limite d'accès des comptes principaux utilisée par IAM lors de l'application de la stratégie. La version d'application détermine les autorisations pour lesquelles IAM applique la stratégie de limite d'accès des comptes principaux.

Les valeurs acceptées sont 1 et latest.

Pour en savoir plus sur les versions d'application, consultez la section Versions d'application de la limite d'accès des comptes principaux.

Méthode HTTP et URL :

PATCH https://iam.googleapis.com/v3beta/organizations/ORG_ID/locations/global/principalAccessBoundaryPolicies/PAB_POLICY_ID?updateMask=FIELDS_TO_UPDATE

Corps JSON de la requête :

{
  "displayName": DISPLAY_NAME,
  "details": {
    "rules": [
      PAB_RULES
    ],
    "enforcementVersion": "ENFORCEMENT_VERSION",
  }
}

Pour envoyer votre requête, développez l'une des options suivantes :

curl (Linux, macOS ou Cloud Shell)

Remarque : La commande suivante suppose que vous êtes connecté à la CLI gcloud avec votre compte utilisateur en exécutant la commande gcloud init ou gcloud auth login, ou en utilisant Cloud Shell, qui vous connecte automatiquement à la CLI gcloud. Vous pouvez exécuter la commande gcloud auth list pour vérifier quel est le compte actuellement actif.

Enregistrez le corps de la requête dans un fichier nommé request.json, puis exécutez la commande suivante :

curl -X PATCH \
     -H "Authorization: Bearer $(gcloud auth print-access-token)" \
     -H "Content-Type: application/json; charset=utf-8" \
     -d @request.json \
     "https://iam.googleapis.com/v3beta/organizations/ORG_ID/locations/global/principalAccessBoundaryPolicies/PAB_POLICY_ID?updateMask=FIELDS_TO_UPDATE"

PowerShell (Windows)

Remarque : La commande suivante suppose que vous vous êtes connecté à la CLI gcloud avec votre compte utilisateur en exécutant la commande gcloud init ou gcloud auth login. Vous pouvez exécuter la commande gcloud auth list pour vérifier quel est le compte actuellement actif.

Enregistrez le corps de la requête dans un fichier nommé request.json, puis exécutez la commande suivante :

$cred = gcloud auth print-access-token
$headers = @{ "Authorization" = "Bearer $cred" }

Invoke-WebRequest `
    -Method PATCH `
    -Headers $headers `
    -ContentType: "application/json; charset=utf-8" `
    -InFile request.json `
    -Uri "https://iam.googleapis.com/v3beta/organizations/ORG_ID/locations/global/principalAccessBoundaryPolicies/PAB_POLICY_ID?updateMask=FIELDS_TO_UPDATE" | Select-Object -Expand Content

La réponse contient une opération de longue durée représentant votre requête.

{
  "name": "organizations/123456789012/locations/global/operations/operation-1715626721931-6185a7953ef76-76f80ee4-19cd1bf7",
  "metadata": {
    "@type": "type.googleapis.com/google.iam.v3beta.OperationMetadata",
    "createTime": "2024-05-13T18:58:43.721277235Z",
    "target": "organizations/123456789012/locations/global/principalAccessBoundaryPolicies/example-policy",
    "verb": "update",
    "requestedCancellation": false,
    "apiVersion": "v3beta"
  },
  "done": false
}

Modifier les utilisateurs pour lesquels une stratégie de limite d'accès des comptes principaux est appliquée

Une fois que vous avez créé une liaison de stratégie pour une stratégie de limite d'accès des comptes principaux, vous ne pouvez plus modifier l'ID de la stratégie ni l'ensemble de comptes principaux dans la liaison. Par conséquent, si vous souhaitez modifier les utilisateurs pour lesquels une stratégie de limite d'accès des comptes principaux s'applique, vous devez effectuer l'une des opérations suivantes:

Pour affiner l'ensemble de comptes principaux pour lesquels une stratégie de limite d'accès des comptes principaux est appliquée, vous pouvez modifier les conditions de la liaison de règles. Pour modifier les conditions d'une liaison, modifiez la liaison de règle.
Pour appliquer la stratégie de limite d'accès des comptes principaux à un ensemble de comptes principaux supplémentaire, créez une liaison de stratégie qui lie la stratégie à cet ensemble de comptes principaux.
Pour supprimer une stratégie de limite d'accès des comptes principaux d'un ensemble de comptes principaux, supprimez la liaison de stratégie qui lie la stratégie à l'ensemble de comptes principaux.

Modifier les liaisons de stratégie existantes pour les stratégies de limite d'accès des comptes principaux

Une fois que vous avez créé une liaison de stratégie, vous pouvez la modifier pour modifier les conditions de la liaison ou son nom à afficher.

Vous pouvez modifier une association de stratégies à l'aide de la console Google Cloud, de gcloud CLI ou de l'API REST IAM.

Console

Dans la console Google Cloud, accédez à la page Stratégies de limite d'accès des principaux.

Accéder aux stratégies de limite d'accès des comptes principaux
Sélectionnez l'organisation propriétaire de la stratégie de limite d'accès des comptes principaux que vous souhaitez modifier.
Cliquez sur l'ID de la stratégie de limite d'accès des comptes principaux dont vous souhaitez modifier les liaisons.
Cliquez sur l'onglet Liaison.
Recherchez l'ID de la liaison que vous souhaitez modifier. Dans la ligne de cette liaison, cliquez sur Actions, puis sur Modifier la liaison.
Pour modifier le nom à afficher de la liaison, modifiez le champ Nom à afficher.
Pour ajouter une condition à la liaison, procédez comme suit:
1. Cliquez sur Ajouter une condition.
2. Dans le champ Title (Titre), saisissez un bref résumé de l'objectif de la condition.
3. Facultatif: Dans le champ Description, saisissez une description plus détaillée de la condition.
4. Dans le champ Expression, saisissez l'expression de condition qui utilise la syntaxe CEL (Common Expression Language). L'expression doit faire référence aux attributs principal.type ou principal.subject. Les autres attributs ne sont pas acceptés.
5. Cliquez sur Enregistrer.
Pour mettre à jour une condition existante, procédez comme suit:
1. Cliquez sur Modifier la condition à côté du nom de la condition.
2. Modifiez le titre, la description ou l'expression de la condition.
3. Cliquez sur Enregistrer.
Pour enregistrer vos modifications, cliquez sur Enregistrer.

gcloud

La commande gcloud beta iam policy-bindings update met à jour une liaison de stratégie existante.

Avant d'utiliser les données de la commande ci-dessous, effectuez les remplacements suivants :

BINDING_ID: ID de la liaison de stratégie que vous souhaitez mettre à jour (par exemple, example-binding).
RESOURCE_TYPE : type de la ressource Resource Manager (projet, dossier ou organisation) dont l'association de stratégies est un enfant. Utilisez la valeur project, folder ou organization.

Le type de ressource dépend de l'ensemble de comptes principaux défini dans la liaison de stratégies. Pour savoir quel type de ressource utiliser, consultez la section Types de comptes principaux compatibles.
RESOURCE_ID : ID du projet, du dossier ou de l'organisation dont l'association de stratégies est un enfant. Les ID de projet sont des chaînes alphanumériques, telles que my-project. Les ID de dossiers et d'organisations sont numériques, tels que 123456789012.
FIELD_TO_UPDATE=UPDATED_VALUE: champs que vous souhaitez mettre à jour et valeur mise à jour correspondante.

Vous trouverez ci-dessous des exemples d'indicateurs que vous pouvez utiliser pour mettre à jour les champs d'une liaison de règles:
- --display-name=DISPLAY_NAME: remplacez le nom à afficher de la liaison par DISPLAY_NAME.
- --condition-description=CONDITION_DESCRIPTION: si la liaison comporte une condition, remplacez la description de la condition par CONDITION_DESCRIPTION. Dans le cas contraire, ajoutez une nouvelle condition à la liaison avec la description spécifiée. Si vous utilisez cet indicateur pour mettre à jour une liaison sans condition, vous devez également définir l'indicateur --condition-expression.
- --condition-expression=CONDITION_EXPRESSION: si la liaison comporte une condition, remplacez l'expression de la condition par CONDITION_EXPRESSION. Sinon, ajoutez une nouvelle condition à la liaison avec l'expression spécifiée.
- --condition-title=CONDITION_TITLE: si la liaison comporte une condition, remplacez le titre de la condition par CONDITION_TITLE. Dans le cas contraire, ajoutez une nouvelle condition à la liaison avec le titre spécifié. Si vous utilisez cet indicateur pour mettre à jour une liaison sans condition, vous devez également définir l'indicateur --condition-expression.
Pour obtenir la liste complète des champs que vous pouvez mettre à jour, consultez la documentation de référence sur la commande gcloud beta iam policy-bindings update.
FORMAT : format de la réponse. Utilisez json ou yaml.

Exécutez la commande suivante :

Linux, macOS ou Cloud Shell

gcloud beta iam policy-bindings update BINDING_ID \
    --RESOURCE_TYPE=RESOURCE_ID --location=global \
    --FIELD_TO_UPDATE=UPDATED_VALUE \
    --format=FORMAT

Windows (PowerShell)

gcloud beta iam policy-bindings update BINDING_ID `
    --RESOURCE_TYPE=RESOURCE_ID --location=global `
    --FIELD_TO_UPDATE=UPDATED_VALUE `
    --format=FORMAT

Windows (cmd.exe)

gcloud beta iam policy-bindings update BINDING_ID ^
    --RESOURCE_TYPE=RESOURCE_ID --location=global ^
    --FIELD_TO_UPDATE=UPDATED_VALUE ^
    --format=FORMAT

La réponse contient une opération de longue durée représentant votre requête.

Update request issued for: [my-binding]
Waiting for operation [organizations/123456789012/locations/global/operations/operation-1715374545618-6181fc272c6f9-55ff07f4-97d0ac76] to complete...done.
Updated policyBinding [my-binding].
{
  "createTime": "2024-05-06T18:08:24.729843Z",
  "displayName": "Updated display name",
  "etag": "W/\"xkdnPfTxoxyVqOwhQSJbMg==\"",
  "name": "organizations/123456789012/locations/global/policyBindings/example-binding",
  "policy": "organizations/123456789012/locations/global/principalAccessBoundaryPolicies/example-pab-policy",
  "policyKind": "PRINCIPAL_ACCESS_BOUNDARY",
  "policyUid": "puid_9519202237377675265",
  "target": {
    "principalSet": "//cloudresourcemanager.googleapis.com/organizations/123456789012"
  },
  "uid": "buid_9904260005517852673", 
  "updateTime": "2024-05-06T18:11:16.798841Z"
}

REST

La méthode policyBindings.patch met à jour une liaison de stratégie existante.

Avant d'utiliser les données de requête ci-dessous, effectuez les remplacements suivants :

RESOURCE_TYPE : type de la ressource Resource Manager (projet, dossier ou organisation) dont l'association de stratégies est un enfant. Utilisez la valeur projects, folders ou organizations.

Le type de ressource dépend de l'ensemble de comptes principaux défini dans la liaison de stratégies. Pour savoir quel type de ressource utiliser, consultez la section Types de comptes principaux compatibles.
RESOURCE_ID : ID du projet, du dossier ou de l'organisation dont l'association de stratégies est un enfant. Les ID de projet sont des chaînes alphanumériques, telles que my-project. Les ID de dossiers et d'organisations sont numériques, tels que 123456789012.
BINDING_ID: ID de la liaison de stratégie que vous souhaitez mettre à jour (par exemple, example-binding).
FIELDS_TO_UPDATE: liste des champs que vous souhaitez mettre à jour, séparés par une virgule. Si vous ne spécifiez pas les champs à mettre à jour, IAM remplace la liaison existante par le contenu du corps de la requête.

Les valeurs acceptées sont displayName, condition, condition.expression, condition.title et condition.description.
DISPLAY_NAME : facultatif. Description lisible de la liaison (par exemple, Example binding). Le nom à afficher ne peut pas comporter plus de 63 caractères.
CONDITION_DETAILS : facultatif. Expression de condition qui spécifie les comptes principaux de l'ensemble de comptes principaux pour lesquels la stratégie de limite d'accès des comptes principaux est appliquée. Contient les champs suivants:
- expression: expression de condition qui utilise la syntaxe CEL (Common Expression Language). L'expression doit faire référence aux attributs principal.type ou principal.subject. Les autres attributs ne sont pas acceptés.
  
  L'expression peut contenir jusqu'à 10 opérateurs logiques (&&, ||, !) et peut comporter jusqu'à 250 caractères.
- title : facultatif. Un bref résumé de l'objectif de la condition.
- description : facultatif. Une description plus longue de la condition.

Méthode HTTP et URL :

POST https://iam.googleapis.com/v3beta/RESOURCE_TYPE/RESOURCE_ID/locations/global/policyBindings/BINDING_ID?updateMask=FIELDS_TO_UPDATE

Corps JSON de la requête :

{
  "displayName": DISPLAY_NAME,
  "condition": {
    CONDITION_DETAILS
  }
}

Pour envoyer votre requête, développez l'une des options suivantes :

curl (Linux, macOS ou Cloud Shell)

Enregistrez le corps de la requête dans un fichier nommé request.json, puis exécutez la commande suivante :

curl -X POST \
     -H "Authorization: Bearer $(gcloud auth print-access-token)" \
     -H "Content-Type: application/json; charset=utf-8" \
     -d @request.json \
     "https://iam.googleapis.com/v3beta/RESOURCE_TYPE/RESOURCE_ID/locations/global/policyBindings/BINDING_ID?updateMask=FIELDS_TO_UPDATE"

PowerShell (Windows)

Enregistrez le corps de la requête dans un fichier nommé request.json, puis exécutez la commande suivante :

$cred = gcloud auth print-access-token
$headers = @{ "Authorization" = "Bearer $cred" }

Invoke-WebRequest `
    -Method POST `
    -Headers $headers `
    -ContentType: "application/json; charset=utf-8" `
    -InFile request.json `
    -Uri "https://iam.googleapis.com/v3beta/RESOURCE_TYPE/RESOURCE_ID/locations/global/policyBindings/BINDING_ID?updateMask=FIELDS_TO_UPDATE" | Select-Object -Expand Content

La réponse contient une opération de longue durée représentant votre requête.

{
  "name": "organizations/123456789012/locations/global/operations/operation-1715373159010-6181f6fcccfa7-dcd0055c-00c22cad",
  "metadata": {
    "@type": "type.googleapis.com/google.iam.v3beta.OperationMetadata",
    "createTime": "2024-05-10T20:32:39.254910121Z",
    "target": "organizations/123456789012/locations/global/policyBindings/example-binding",
    "verb": "update",
    "requestedCancellation": false,
    "apiVersion": "v3beta"
  },
  "done": false
}

Modifier les stratégies de limite d'accès des comptes principaux

Avant de commencer

gcloud

REST

Rôles requis pour modifier les stratégies de limite d'accès des comptes principaux

Rôles requis pour modifier les liaisons de stratégie de limite d'accès des comptes principaux

Autorisations requises

Modifier une stratégie de limite d'accès des comptes principaux existante

Console

gcloud

Linux, macOS ou Cloud Shell

Windows (PowerShell)

Windows (cmd.exe)

REST

curl (Linux, macOS ou Cloud Shell)

PowerShell (Windows)

Modifier les utilisateurs pour lesquels une stratégie de limite d'accès des comptes principaux est appliquée

Modifier les liaisons de stratégie existantes pour les stratégies de limite d'accès des comptes principaux

Console

gcloud

Linux, macOS ou Cloud Shell

Windows (PowerShell)

Windows (cmd.exe)

REST

curl (Linux, macOS ou Cloud Shell)

PowerShell (Windows)

Étape suivante