Afficher des rôles pouvant être attribués sur des ressources

Avant d'accorder un rôle de gestion de l'authentification et des accès (IAM) à un utilisateur pour une ressource, il est préférable de connaître les rôles disponibles pour une ressource particulière.

Avant de commencer

• Activez IAM API.

  Activer l'API

Rôles requis

Pour obtenir l'autorisation dont vous avez besoin pour lister les rôles pouvant être attribués, demandez à votre administrateur de vous attribuer le rôle IAM "Examinateur de sécurité" (roles/iam.securityReviewer), sur la ressource pour laquelle vous souhaitez lister les rôles attribuables. Pour en savoir plus sur l'attribution de rôles, consultez la section Gérer les accès.

Ce rôle prédéfini contient les autorisations getIamPolicy pour tous les types de ressources. Pour lister les rôles pouvant être attribués, vous devez disposer de l'autorisation getIamPolicy pour la ressource pour laquelle vous souhaitez lister les rôles attribuables. Par exemple, pour lister les rôles attribuables pour un projet, vous devez disposer de l'autorisation resourcemanager.projects.getIamPolicy. Vous pouvez également obtenir cette autorisation avec des rôles personnalisés ou d'autres rôles prédéfinis.

Comprendre quels rôles sont attribuables

Un rôle peut être octroyé au niveau d'une ressource ou au niveau supérieur s'il possède des autorisations pour ce type de ressource. Par exemple, le rôle storage.admin accorde des autorisations aux API storage.buckets.get et storage.objects.get. Il peut donc être attribué aux types de ressources buckets de stockage et objets de stockage.

Les rôles peuvent également être octroyés "au-dessus" des types de ressources pour lesquels leurs autorisations sont définies. Autrement dit, vous pouvez attribuer des rôles pour des ressources de niveau inférieur sur une ressource située plus haut dans la hiérarchie des ressources Google Cloud. Par exemple, le rôle storage.admin peut également être attribué au niveau du projet ou de l'organisation, en plus des buckets de stockage.

Les autorisations accordées par un rôle n'affectent que les ressources du niveau spécifié ou de niveau inférieur. Elles n'affectent pas les ressources de niveau supérieur ou homologue. De plus, quand un rôle est accordé sur une ressource, seules les autorisations applicables à la ressource en question sont accordées, indépendamment du nom, de la description et des autres autorisations du rôle. Par exemple, l'attribution du rôle resourcemanager.organizationAdmin (qui accorde l'autorisation resourcemanager.projects.list) à un utilisateur au niveau du projet n'accorde les autorisations que pour ce projet. Cela ne permet pas d'afficher, ni de gérer tous les projets de l'organisation. De la même manière, lorsque vous attribuez le rôle compute.admin sur une instance Compute Engine spécifique, vous n'accordez des autorisations que pour cette instance et pas pour les autres instances du projet.

Afficher les rôles attribuables

Avant de répertorier les rôles que vous pouvez attribuer, assurez-vous que le service est activé dans le projet. Si le service n'est pas activé, ses rôles ne sont pas renvoyés.

Console

1. Dans la console, accédez à la page IAM.

   Accéder à la page IAM

2. Cliquez sur le menu déroulant "Sélectionner un projet" en haut de la page.

3. Sélectionnez le projet ou l'entreprise pour lequel vous souhaitez afficher les rôles.

4. Cliquez sur Ajouter.

5. Saisissez l'adresse e-mail principale, le domaine ou tout autre identifiant dans Comptes principaux.

Le menu déroulant Sélectionner un rôle affiche tous les rôles (y compris tous les rôles personnalisés) que vous pouvez accorder au compte principal de cette ressource.

Remarque : Sur certaines ressources, vous ne pouvez pas accorder de rôles à l'aide de la console. Dans ce cas, utilisez plutôt l'API REST setIamPolicy ou la commande set-iam-policy spécifique à la ressource.

gcloud

Exécutez la commande gcloud iam list-grantable-roles pour renvoyer la liste de tous les rôles pouvant être appliqués à une ressource donnée.

gcloud iam list-grantable-roles full-resource-name

En fonction de la ressource de votre choix, un grand nombre de rôles peut être renvoyé. Pour limiter les résultats, vous pouvez spécifier une expression de filtre.

La sortie sera semblable à ce qui suit :

description: Full control of all Compute Engine resources.
name: roles/compute.admin
title: Compute Admin
---
description: Full control of Compute Engine instance resources.
name: roles/compute.instanceAdmin
title: Compute Instance Admin

# Additional results here...

REST

La méthode roles.queryGrantableRoles renvoie une liste de tous les rôles pouvant être attribués à une ressource donnée.

Avant d'utiliser les données de requête, effectuez les remplacements suivants :

• full-resource-name : URI composé du nom du service et du chemin d'accès à la ressource. Pour obtenir des exemples, consultez la page Noms de ressources complets.

Méthode HTTP et URL :

POST https://iam.googleapis.com/v1/roles:queryGrantableRoles

Corps JSON de la requête :

{
  "fullResourceName": "full-resource-name"
}

Pour envoyer votre requête, développez l'une des options suivantes :

curl (Linux, macOS ou Cloud Shell)

Remarque : Assurez-vous d'avoir défini la variable d'environnement GOOGLE_APPLICATION_CREDENTIALS sur le chemin d'accès au fichier de clé privée de votre compte de service.

Enregistrez le corps de la requête dans un fichier nommé request.json, puis exécutez la commande suivante :

curl -X POST \
-H "Authorization: Bearer "$(gcloud auth application-default print-access-token) \
-H "Content-Type: application/json; charset=utf-8" \
-d @request.json \
"https://iam.googleapis.com/v1/roles:queryGrantableRoles"

PowerShell (Windows)

Remarque : Assurez-vous d'avoir défini la variable d'environnement GOOGLE_APPLICATION_CREDENTIALS sur le chemin d'accès au fichier de clé privée de votre compte de service.

Enregistrez le corps de la requête dans un fichier nommé request.json, puis exécutez la commande suivante :

$cred = gcloud auth application-default print-access-token
$headers = @{ "Authorization" = "Bearer $cred" }

Invoke-WebRequest `
  -Method POST `
  -Headers $headers `
  -ContentType: "application/json; charset=utf-8" `
  -InFile request.json `
  -Uri "https://iam.googleapis.com/v1/roles:queryGrantableRoles" | Select-Object -Expand Content

Explorateur d'API (navigateur)

Copiez le corps de la requête et ouvrez la page de référence de la méthode. Le panneau de l'explorateur d'API s'ouvre dans la partie droite de la page. Vous pouvez interagir avec cet outil pour envoyer des requêtes. Collez le corps de la requête dans cet outil, renseignez tous les champs obligatoires, puis cliquez sur Exécuter.

Vous devriez recevoir une réponse JSON de ce type :

{
  "roles": [
    {
      "name": "roles/compute.admin",
      "title": "Compute Admin",
      "description": "Full control of all Compute Engine resources."
    },
    {
      "name": "roles/compute.instanceAdmin",
      "title": "Compute Instance Admin (beta)",
      "description": "Full control of Compute Engine instance resources."
    }
  ]
}

C++

Pour savoir comment installer et utiliser la bibliothèque cliente pour IAM, consultez la page Bibliothèques clientes IAM. Pour en savoir plus, consultez la documentation de référence de l'API Cloud IAM en langage C++.

Afficher sur GitHub Commentaires

namespace iam = ::google::cloud::iam;
[](std::string const& resource) {
  iam::IAMClient client(iam::MakeIAMConnection());
  int count = 0;
  for (auto const& role : client.QueryGrantableRoles(resource)) {
    if (!role) throw std::runtime_error(role.status().message());
    std::cout << "Role successfully retrieved: " << role->name() << "\n";
    ++count;
  }
  if (count == 0) {
    std::cout << "No grantable roles found in resource: " << resource << "\n";
  }
}

C#

Pour savoir comment installer et utiliser la bibliothèque cliente pour IAM, consultez la page Bibliothèques clientes IAM. Pour en savoir plus, consultez la documentation de référence de l'API Cloud IAM en langage C#.

Afficher sur GitHub Commentaires

using System;
using System.Collections.Generic;
using Google.Apis.Auth.OAuth2;
using Google.Apis.Iam.v1;
using Google.Apis.Iam.v1.Data;

public partial class CustomRoles
{
    public static IList<Role> ViewGrantableRoles(string fullResourceName)
    {
        var credential = GoogleCredential.GetApplicationDefault()
            .CreateScoped(IamService.Scope.CloudPlatform);
        var service = new IamService(new IamService.Initializer
        {
            HttpClientInitializer = credential
        });

        var request = new QueryGrantableRolesRequest
        {
            FullResourceName = fullResourceName
        };
        var response = service.Roles.QueryGrantableRoles(request).Execute();
        foreach (var role in response.Roles)
        {
            Console.WriteLine("Title: " + role.Title);
            Console.WriteLine("Name: " + role.Name);
            Console.WriteLine("Description: " + role.Description);
            Console.WriteLine();
        }
        return response.Roles;
    }
}

Go

Pour savoir comment installer et utiliser la bibliothèque cliente pour IAM, consultez la page Bibliothèques clientes IAM. Pour en savoir plus, consultez la documentation de référence de l'API Cloud IAM en langage Go.

Afficher sur GitHub Commentaires

import (
	"context"
	"fmt"
	"io"

	iam "google.golang.org/api/iam/v1"
)

// viewGrantableRoles lists roles grantable on a resource.
func viewGrantableRoles(w io.Writer, fullResourceName string) ([]*iam.Role, error) {
	ctx := context.Background()
	service, err := iam.NewService(ctx)
	if err != nil {
		return nil, fmt.Errorf("iam.NewService: %v", err)
	}

	request := &iam.QueryGrantableRolesRequest{
		FullResourceName: fullResourceName,
	}
	response, err := service.Roles.QueryGrantableRoles(request).Do()
	if err != nil {
		return nil, fmt.Errorf("Roles.QueryGrantableRoles: %v", err)
	}
	for _, role := range response.Roles {
		fmt.Fprintf(w, "Found grantable role: %v\n", role.Name)
	}
	return response.Roles, err
}

Java

Pour savoir comment installer et utiliser la bibliothèque cliente pour IAM, consultez la page Bibliothèques clientes IAM. Pour en savoir plus, consultez la documentation de référence de l'API Cloud IAM en langage Java.

Afficher sur GitHub Commentaires

QueryGrantableRolesRequest request = new QueryGrantableRolesRequest();
request.setFullResourceName(fullResourceName);

QueryGrantableRolesResponse response = service.roles().queryGrantableRoles(request).execute();

for (Role role : response.getRoles()) {
  System.out.println("Title: " + role.getTitle());
  System.out.println("Name: " + role.getName());
  System.out.println("Description: " + role.getDescription());
  System.out.println();
}

Python

Pour savoir comment installer et utiliser la bibliothèque cliente pour IAM, consultez la page Bibliothèques clientes IAM. Pour en savoir plus, consultez la documentation de référence de l'API Cloud IAM en langage Python.

Afficher sur GitHub Commentaires

def view_grantable_roles(full_resource_name):
    roles = service.roles().queryGrantableRoles(body={
        'fullResourceName': full_resource_name
    }).execute()

    for role in roles['roles']:
        if 'title' in role:
            print('Title: ' + role['title'])
        print('Name: ' + role['name'])
        if 'description' in role:
            print('Description: ' + role['description'])
        print(' ')

Dans les exemples ci-dessus, le nom complet de la ressource est un URI sans schéma comprenant un nom de service d'API et un chemin d'accès à la ressource compatibles avec DNS.

Par exemple, pour renvoyer tous les rôles pouvant être attribués à un projet, utilisez :

//cloudresourcemanager.googleapis.com/projects/project-id

Les ressources de niveau inférieur ont un nom complet plus détaillé. Par exemple, utilisez la commande suivante pour renvoyer tous les rôles attribuables sur une instance Compute Engine :

//compute.googleapis.com/projects/project-id/zones/zone-name/instances/instance-id

Étape suivante

• Apprenez-en plus sur les rôles IAM.
• Découvrez comment choisir les rôles prédéfinis les plus appropriés.
• Découvrez comment attribuer, modifier et révoquer les accès d'un compte principal.
• Consultez des exemples de noms de ressources pour différents types de ressources.