Cette page a été traduite par l'API Cloud Translation.

Analyser les stratégies IAM

Cette page explique comment utiliser Policy Analyzer pour savoir quels comptes principaux (utilisateurs, comptes de service, groupes et domaines) disposent de quel type d'accès à quelles ressources Google Cloud.

Les exemples de cette page montrent comment exécuter une requête d'analyse des stratégies et afficher immédiatement les résultats. Si vous souhaitez exporter les résultats pour une analyse plus approfondie, vous pouvez utiliser AnalyzeIamPolicyLongrunning pour écrire les résultats de requête dans BigQuery ou Cloud Storage.

Avant de commencer

Activez Cloud Asset API.
Activer l'API

Vous devez activer l'API dans le projet ou l'organisation que vous utiliserez pour envoyer la requête. Il ne doit pas nécessairement s'agir de la même ressource que celle sur laquelle vous limitez votre requête.
Facultatif: découvrez le fonctionnement de Policy Analyzer.
Facultatif: Si vous souhaitez exécuter plus de 20 requêtes d'analyse des stratégies par organisation et par jour, assurez-vous d'avoir activé le niveau Premium de Security Command Center au niveau de l'organisation. Pour en savoir plus, consultez Questions sur la facturation.

Rôles et autorisations requis

Les rôles et autorisations suivants sont requis pour analyser les stratégies d'autorisation.

Rôles IAM requis

Pour obtenir les autorisations nécessaires à l'analyse d'une stratégie d'autorisation, demandez à votre administrateur de vous attribuer les rôles IAM suivants sur le projet, le dossier ou l'organisation auxquels vous souhaitez appliquer votre requête:

Lecteur d'éléments cloud (roles/cloudasset.viewer)
Pour analyser les stratégies avec des rôles IAM personnalisés : Lecteur de rôle (roles/iam.roleViewer)
Pour analyser les règles à l'aide de la Google Cloud CLI : Consommateur de Service Usage (roles/serviceusage.serviceUsageConsumer)

Pour en savoir plus sur l'attribution de rôles, consultez la section Gérer les accès.

Ces rôles prédéfinis contiennent les autorisations requises pour analyser une stratégie d'autorisation. Pour connaître les autorisations exactes requises, développez la section Autorisations requises :

Autorisations requises

Les autorisations suivantes sont requises pour analyser une stratégie d'autorisation:

cloudasset.assets.analyzeIamPolicy
cloudasset.assets.searchAllResources
cloudasset.assets.searchAllIamPolicies
Pour analyser les stratégies avec des rôles IAM personnalisés : iam.roles.get
Pour analyser les règles à l'aide de la Google Cloud CLI, procédez comme suit : serviceusage.services.use

Vous pouvez également obtenir ces autorisations avec des rôles personnalisés ou d'autres rôles prédéfinis.

Autorisations Google Workspace requises

Si vous souhaitez développer les groupes dans les résultats de la requête pour voir si un compte principal dispose de certains rôles ou autorisations en raison de son appartenance à un groupe Google Workspace, vous devez disposer de l'autorisation Google Workspace groups.read. Cette autorisation est incluse dans le rôle Administrateur de lecteur de groupes, ainsi que dans des rôles plus puissants tels que les rôles Administrateur des groupes ou Super-administrateur. Pour savoir comment attribuer ces rôles, consultez Attribuer des rôles d'administrateur spécifiques.

Déterminer quels comptes principaux peuvent accéder à une ressource

Cet outil vous permet de vérifier quels comptes principaux sont associés à certains rôles ou autorisations sur une ressource spécifique de votre projet, dossier ou organisation. Pour obtenir ces informations, créez une requête sur un compte principal qui inclut la ressource pour laquelle vous souhaitez analyser l'accès, ainsi qu'un ou plusieurs rôles ou autorisations à vérifier.

Console

Dans la console Google Cloud, accédez à la page Analyseur de règles.

Accéder à la page "Analyse des stratégies"
Dans la section Analyser les règles, recherchez le volet intitulé Requête personnalisée et cliquez sur Créer une requête personnalisée dans ce volet.
Dans le champ Sélectionner le champ d'application de la requête, sélectionnez le projet, le dossier ou l'organisation auquel vous souhaitez appliquer la requête. Policy Analyzer analyse l'accès pour ce projet, ce dossier ou cette organisation, ainsi que toutes les ressources de ce projet, ce dossier ou cette organisation.
Choisissez la ressource à vérifier, ainsi que le rôle ou l'autorisation à vérifier :
1. Dans le champ Paramètre 1, sélectionnez Ressource dans le menu déroulant.
2. Dans le champ Ressource, saisissez le nom complet de la ressource pour laquelle vous souhaitez analyser l'accès. Si vous ne connaissez pas le nom complet de la ressource, commencez à saisir le nom à afficher de la ressource, puis sélectionnez-la dans la liste des ressources fournies.
3. Cliquez sur Ajouter un sélecteur.
4. Dans le champ Paramètre 2, sélectionnez Rôle ou Autorisation.
5. Dans le champ Sélectionner un rôle ou Sélectionner une autorisation, sélectionnez le rôle ou l'autorisation que vous souhaitez vérifier.
6. Facultatif : Pour vérifier les rôles et autorisations supplémentaires, continuez à ajouter des sélecteurs Rôle et Autorisation jusqu'à ce que tous les rôles et autorisations que vous souhaitez vérifier soient répertoriés.
Facultatif: Cliquez sur Continuer, puis sélectionnez les options avancées que vous souhaitez activer pour cette requête.
Dans le volet Requête personnalisée, cliquez sur Analyser > Exécuter la requête. La page du rapport affiche les paramètres de requête que vous avez saisis, ainsi qu'une table de résultats de tous les comptes principaux disposant des rôles ou des autorisations spécifiés sur la ressource spécifiée.

Les requêtes d'analyse des règles dans la console Google Cloud s'exécutent pendant une minute au maximum. Au bout d'une minute, la console Google Cloud arrête la requête et affiche tous les résultats disponibles. Si la requête ne s'est pas terminée dans ce délai, la console Google Cloud affiche une bannière indiquant que les résultats sont incomplets. Pour obtenir plus de résultats de ces requêtes, exportez les résultats vers BigQuery.

gcloud

Avant d'utiliser les données de la commande ci-dessous, effectuez les remplacements suivants :

RESOURCE_TYPE: type de ressource auquel vous souhaitez limiter votre recherche. Seules les stratégies d'autorisation IAM associées à cette ressource et à ses descendants seront analysées. Utilisez la valeur project, folder ou organization.
RESOURCE_ID: ID du projet, du dossier ou de l'organisation Google Cloud auquel vous souhaitez limiter votre recherche. Seules les stratégies d'autorisation IAM associées à cette ressource et à ses descendants seront analysées. Les ID de projet sont des chaînes alphanumériques, telles que my-project. Les ID de dossier et d'organisation sont numériques, tels que 123456789012.
FULL_RESOURCE_NAME : nom complet de la ressource pour laquelle vous souhaitez analyser l'accès. Pour obtenir la liste des formats de nom de ressource complet, consultez la section Format du nom de ressource.
PERMISSIONS: liste des autorisations que vous souhaitez vérifier, séparées par des virgules (par exemple, compute.instances.get,compute.instances.start). Si vous répertoriez plusieurs autorisations, Policy Analyzer recherche l'une d'entre elles.

Exécutez la commande gcloud assetanalyze-iam-policy:

Linux, macOS ou Cloud Shell

gcloud asset analyze-iam-policy --RESOURCE_TYPE=RESOURCE_ID \
    --full-resource-name=FULL_RESOURCE_NAME \
    --permissions='PERMISSIONS'

Windows (PowerShell)

gcloud asset analyze-iam-policy --RESOURCE_TYPE=RESOURCE_ID `
    --full-resource-name=FULL_RESOURCE_NAME `
    --permissions='PERMISSIONS'

Windows (cmd.exe)

Remarque:Si cette commande utilise ' pour citer du contenu, remplacez ces guillemets simples par des guillemets doubles. Si les guillemets sont imbriqués, utilisez \" pour échapper les guillemets internes.

gcloud asset analyze-iam-policy --RESOURCE_TYPE=RESOURCE_ID ^
    --full-resource-name=FULL_RESOURCE_NAME ^
    --permissions='PERMISSIONS'

Vous recevez une réponse YAML avec les résultats de l'analyse. Chaque résultat d'analyse répertorie un ensemble d'accès, d'identités et de ressources pertinents pour votre requête, suivi de la liaison de rôle IAM associée. Si la liaison de rôle est conditionnelle, le résultat de l'analyse inclut également le résultat de l'évaluation de la condition. Si la condition n'a pas pu être évaluée, le résultat est CONDITIONAL.

Les comptes principaux qui disposent de l'une des autorisations spécifiées sur la ressource spécifiée sont répertoriés dans les champs identities de la réponse. L'exemple suivant montre un seul résultat d'analyse avec le champ identities en surbrillance.

...
---
ACLs:
- accesses:
  - permission: compute.instances.get
  - permission: compute.instances.start
  identities:
  - name: user:my-user@example.com
  resources:
  - fullResourceName: //cloudresourcemanager.googleapis.com/projects/my-project
policy:
  attachedResource: //cloudresourcemanager.googleapis.com/projects/my-project
  binding:
    members:
    - user: my-user@example.com
    role: roles/compute.admin
---
...

Si la requête expire avant qu'elle ne soit terminée, vous obtenez une erreur DEADLINE_EXCEEDED. Pour obtenir plus de résultats de ces requêtes, écrivez les résultats dans BigQuery ou Cloud Storage à l'aide de la version de longue durée de analyze-iam-policy. Pour obtenir des instructions, consultez Écrire l'analyse des stratégies dans BigQuery ou Écrire l'analyse des stratégies dans Cloud Storage.

REST

Pour déterminer quels comptes principaux disposent de certaines autorisations sur une ressource, utilisez la méthode analyzeIamPolicy de l'API Cloud Asset Inventory.

Avant d'utiliser les données de requête, effectuez les remplacements suivants:

RESOURCE_TYPE: type de ressource auquel vous souhaitez limiter votre recherche. Seules les stratégies d'autorisation IAM associées à cette ressource et à ses descendants seront analysées. Utilisez la valeur projects, folders ou organizations.
RESOURCE_ID: ID du projet, du dossier ou de l'organisation Google Cloud auquel vous souhaitez limiter votre recherche. Seules les stratégies d'autorisation IAM associées à cette ressource et à ses descendants seront analysées. Les ID de projet sont des chaînes alphanumériques, telles que my-project. Les ID de dossier et d'organisation sont numériques, tels que 123456789012.
FULL_RESOURCE_NAME : nom complet de la ressource pour laquelle vous souhaitez analyser l'accès. Pour obtenir la liste des formats de nom de ressource complet, consultez la section Format du nom de ressource.
PERMISSION_1, PERMISSION_2... PERMISSION_N: autorisations que vous souhaitez vérifier, par exemple compute.instances.get. Si vous répertoriez plusieurs autorisations, Policy Analyzer recherche l'une d'entre elles.

Méthode HTTP et URL :

POST https://cloudasset.googleapis.com/v1/RESOURCE_TYPE/RESOURCE_ID:analyzeIamPolicy

Corps JSON de la requête :

{
  "analysisQuery": {
    "resourceSelector": {
      "fullResourceName": "FULL_RESOURCE_NAME"
    },
    "accessSelector": {
      "permissions": [
        "PERMISSION_1",
        "PERMISSION_2",
        "PERMISSION_N"
      ]
    }
  }
}

Pour envoyer votre requête, développez l'une des options suivantes :

curl (Linux, macOS ou Cloud Shell)

Remarque : La commande suivante suppose que vous êtes connecté à la CLI gcloud avec votre compte utilisateur en exécutant la commande gcloud init ou gcloud auth login, ou en utilisant Cloud Shell, qui vous connecte automatiquement à la CLI gcloud. Vous pouvez exécuter la commande gcloud auth list pour vérifier quel est le compte actuellement actif.

Enregistrez le corps de la requête dans un fichier nommé request.json, puis exécutez la commande suivante:

curl -X POST \
     -H "Authorization: Bearer $(gcloud auth print-access-token)" \
     -H "X-HTTP-Method-Override: GET" \
     -H "Content-Type: application/json; charset=utf-8" \
     -d @request.json \
     "https://cloudasset.googleapis.com/v1/RESOURCE_TYPE/RESOURCE_ID:analyzeIamPolicy"

PowerShell (Windows)

Remarque : La commande suivante suppose que vous vous êtes connecté à la CLI gcloud avec votre compte utilisateur en exécutant la commande gcloud init ou gcloud auth login. Vous pouvez exécuter la commande gcloud auth list pour vérifier quel est le compte actuellement actif.

Enregistrez le corps de la requête dans un fichier nommé request.json, puis exécutez la commande suivante:

$cred = gcloud auth print-access-token
$headers = @{ "Authorization" = "Bearer $cred"; "X-HTTP-Method-Override" = "GET" }

Invoke-WebRequest `
    -Method POST `
    -Headers $headers `
    -ContentType: "application/json; charset=utf-8" `
    -InFile request.json `
    -Uri "https://cloudasset.googleapis.com/v1/RESOURCE_TYPE/RESOURCE_ID:analyzeIamPolicy" | Select-Object -Expand Content

APIs Explorer (navigateur)

Copiez le corps de la requête et ouvrez la page de référence de la méthode. Le panneau APIs Explorer s'ouvre dans la partie droite de la page. Vous pouvez interagir avec cet outil pour envoyer des requêtes. Collez le corps de la requête dans cet outil, renseignez tous les champs obligatoires, puis cliquez sur Execute (Exécuter).

Vous recevez une réponse JSON contenant les résultats de l'analyse. Chaque résultat d'analyse décrit une liaison de rôle IAM pertinente, puis répertorie la ressource, les accès et les comptes principaux que cette liaison contient. Si la liaison de rôle est conditionnelle, le résultat de l'analyse inclut également le résultat de l'évaluation de la condition. Si la condition n'a pas pu être évaluée, le résultat est indiqué comme CONDITIONAL.

...
{
  "attachedResourceFullName": "//cloudresourcemanager.googleapis.com/projects/my-project",
  "iamBinding": {
    "role": "roles/compute.admin",
    "members": [
      "user:my-user@example.com"
    ]
  },
  "accessControlLists": [
    {
      "resources": [
        {
          "fullResourceName": "//cloudresourcemanager.googleapis.com/projects/my-project"
        }
      ],
      "accesses": [
        {
          "permission": "compute.instances.get"
        },
        {
          "permission": "compute.instances.start"
        }
      ]
    }
  ],
  "identityList": {
    "identities": [
      {
        "name": "user:my-user@example.com"
      }
    ]
  },
  "fullyExplored": true
},
...

Si la requête expire avant qu'elle ne soit terminée, vous obtenez une erreur DEADLINE_EXCEEDED. Pour obtenir plus de résultats de ces requêtes, écrivez les résultats dans BigQuery ou Cloud Storage à l'aide de la version de longue durée de analyzeIamPolicy. Pour obtenir des instructions, consultez Écrire l'analyse des stratégies dans BigQuery ou Écrire l'analyse des stratégies dans Cloud Storage.

Déterminer les comptes principaux disposant de certains rôles ou autorisations

Cet outil vous permet de vérifier quels comptes principaux sont associés à des rôles ou des autorisations spécifiques sur une ressource Google Cloud de votre organisation. Pour obtenir ces informations, créez une requête qui inclut un ou plusieurs rôles ou autorisations à vérifier, mais ne spécifiez pas de ressource.

Console

Dans la console Google Cloud, accédez à la page Analyseur de règles.

Accéder à la page "Analyse des stratégies"
Dans la section Analyser les règles, recherchez le volet intitulé Requête personnalisée et cliquez sur Créer une requête personnalisée dans ce volet.
Dans le champ Sélectionner le champ d'application de la requête, sélectionnez le projet, le dossier ou l'organisation auquel vous souhaitez appliquer la requête. Policy Analyzer analyse l'accès pour ce projet, ce dossier ou cette organisation, ainsi que toutes les ressources de ce projet, ce dossier ou cette organisation.
Dans le champ Paramètre 1, sélectionnez Rôle ou Autorisation.
Dans le champ Sélectionner un rôle ou Sélectionner une autorisation, sélectionnez l'autorisation ou le rôle que vous souhaitez vérifier.
Facultatif : pour rechercher des rôles et des autorisations supplémentaires, procédez comme suit :
1. Cliquez sur Ajouter un sélecteur.
2. Dans le champ Paramètre 2, sélectionnez Rôle ou Autorisation.
3. Dans le champ Sélectionner un rôle ou Sélectionner une autorisation, sélectionnez le rôle ou l'autorisation que vous souhaitez vérifier.
4. Continuez à ajouter des sélecteurs Rôle et Autorisation jusqu'à ce que tous les rôles et autorisations que vous souhaitez vérifier soient répertoriés.
Facultatif: Cliquez sur Continuer, puis sélectionnez les options avancées que vous souhaitez activer pour cette requête.
Dans le volet Requête personnalisée, cliquez sur Analyser > Exécuter la requête. La page du rapport affiche les paramètres de requête que vous avez saisis, ainsi qu'une table de résultats de tous les comptes principaux disposant des rôles ou autorisations spécifiés sur les ressources concernées.

Les requêtes d'analyse des règles dans la console Google Cloud s'exécutent pendant une minute au maximum. Au bout d'une minute, la console Google Cloud arrête la requête et affiche tous les résultats disponibles. Si la requête ne s'est pas terminée dans ce délai, la console Google Cloud affiche une bannière indiquant que les résultats sont incomplets. Pour obtenir plus de résultats de ces requêtes, exportez les résultats vers BigQuery.

gcloud

Avant d'utiliser les données de la commande ci-dessous, effectuez les remplacements suivants :

RESOURCE_TYPE: type de ressource auquel vous souhaitez limiter votre recherche. Seules les stratégies d'autorisation IAM associées à cette ressource et à ses descendants seront analysées. Utilisez la valeur project, folder ou organization.
RESOURCE_ID: ID du projet, du dossier ou de l'organisation Google Cloud auquel vous souhaitez limiter votre recherche. Seules les stratégies d'autorisation IAM associées à cette ressource et à ses descendants seront analysées. Les ID de projet sont des chaînes alphanumériques, telles que my-project. Les ID de dossier et d'organisation sont numériques, tels que 123456789012.
ROLES: liste des rôles que vous souhaitez vérifier, séparés par une virgule, par exemple roles/compute.admin,roles/compute.imageUser. Si vous répertoriez plusieurs rôles, Policy Analyzer recherche chacun d'entre eux.
PERMISSIONS: liste des autorisations que vous souhaitez vérifier, séparées par des virgules (par exemple, compute.instances.get,compute.instances.start). Si vous répertoriez plusieurs autorisations, Policy Analyzer recherche l'une d'entre elles.

Exécutez la commande gcloud assetanalyze-iam-policy:

Linux, macOS ou Cloud Shell

gcloud asset analyze-iam-policy --RESOURCE_TYPE=RESOURCE_ID \
    --roles='ROLES' \
    --permissions='PERMISSIONS'

Windows (PowerShell)

gcloud asset analyze-iam-policy --RESOURCE_TYPE=RESOURCE_ID `
    --roles='ROLES' `
    --permissions='PERMISSIONS'

Windows (cmd.exe)

gcloud asset analyze-iam-policy --RESOURCE_TYPE=RESOURCE_ID ^
    --roles='ROLES' ^
    --permissions='PERMISSIONS'

Les comptes principaux disposant de l'un des rôles ou des autorisations spécifiés sont répertoriés dans les champs identities de la réponse. L'exemple suivant montre un seul résultat d'analyse avec le champ identities en surbrillance.

...
---
ACLs:
- accesses:
  - permission: compute.instances.get
  - permission: compute.instances.start
  - role: roles/compute.admin
  identities:
  - name: user:my-user@example.com
  resources:
  - fullResourceName: //cloudresourcemanager.googleapis.com/projects/my-project
policy:
  attachedResource: //cloudresourcemanager.googleapis.com/projects/my-project
  binding:
    members:
    - user: my-user@example.com
    role: roles/compute.admin
---
...

REST

Pour déterminer quels comptes principaux disposent de certains rôles ou autorisations, utilisez la méthode analyzeIamPolicy de l'API Cloud Asset Inventory.

Avant d'utiliser les données de requête, effectuez les remplacements suivants:

RESOURCE_TYPE: type de ressource auquel vous souhaitez limiter votre recherche. Seules les stratégies d'autorisation IAM associées à cette ressource et à ses descendants seront analysées. Utilisez la valeur projects, folders ou organizations.
RESOURCE_ID: ID du projet, du dossier ou de l'organisation Google Cloud auquel vous souhaitez limiter votre recherche. Seules les stratégies d'autorisation IAM associées à cette ressource et à ses descendants seront analysées. Les ID de projet sont des chaînes alphanumériques, telles que my-project. Les ID de dossier et d'organisation sont numériques, tels que 123456789012.
ROLE_1, ROLE_2... ROLE_N: rôles que vous souhaitez vérifier, par exemple roles/compute.admin. Si vous répertoriez plusieurs rôles, Policy Analyzer recherche l'un d'entre eux.
PERMISSION_1, PERMISSION_2... PERMISSION_N: autorisations que vous souhaitez vérifier, par exemple compute.instances.get. Si vous répertoriez plusieurs autorisations, Policy Analyzer recherche l'une d'entre elles.

Méthode HTTP et URL :

POST https://cloudasset.googleapis.com/v1/RESOURCE_TYPE/RESOURCE_ID:analyzeIamPolicy

Corps JSON de la requête :

{
  "analysisQuery": {
    "accessSelector": {
      "roles": [
        "ROLE_1",
        "ROLE_2",
        "ROLE_N"
      ],
      "permissions": [
        "PERMISSION_1",
        "PERMISSION_2",
        "PERMISSION_N"
      ]
    }
  }
}

Pour envoyer votre requête, développez l'une des options suivantes :

curl (Linux, macOS ou Cloud Shell)

Enregistrez le corps de la requête dans un fichier nommé request.json, puis exécutez la commande suivante:

curl -X POST \
     -H "Authorization: Bearer $(gcloud auth print-access-token)" \
     -H "X-HTTP-Method-Override: GET" \
     -H "Content-Type: application/json; charset=utf-8" \
     -d @request.json \
     "https://cloudasset.googleapis.com/v1/RESOURCE_TYPE/RESOURCE_ID:analyzeIamPolicy"

PowerShell (Windows)

Enregistrez le corps de la requête dans un fichier nommé request.json, puis exécutez la commande suivante:

$cred = gcloud auth print-access-token
$headers = @{ "Authorization" = "Bearer $cred"; "X-HTTP-Method-Override" = "GET" }

Invoke-WebRequest `
    -Method POST `
    -Headers $headers `
    -ContentType: "application/json; charset=utf-8" `
    -InFile request.json `
    -Uri "https://cloudasset.googleapis.com/v1/RESOURCE_TYPE/RESOURCE_ID:analyzeIamPolicy" | Select-Object -Expand Content

APIs Explorer (navigateur)

...
{
  "attachedResourceFullName": "//cloudresourcemanager.googleapis.com/projects/my-project",
  "iamBinding": {
    "role": "roles/compute.admin",
    "members": [
      "user:my-user@example.com"
    ]
  },
  "accessControlLists": [
    {
      "resources": [
        {
          "fullResourceName": "//cloudresourcemanager.googleapis.com/projects/my-project"
        }
      ],
      "accesses": [
        {
          "permission": "compute.instances.get"
        },
        {
          "role": "roles/compute.admin"
        }
      ]
    }
  ],
  "identityList": {
    "identities": [
      {
        "name": "user:my-user@example.com"
      }
    ]
  },
  "fullyExplored": true
},
...

Si la requête expire avant qu'elle ne soit terminée, vous obtenez une erreur DEADLINE_EXCEEDED. Pour obtenir plus de résultats de ces requêtes, écrivez les résultats dans BigQuery ou Cloud Storage à l'aide de la version de longue durée de analyzeIamPolicy. Pour obtenir des instructions, consultez Écrire l'analyse des stratégies dans BigQuery ou Écrire l'analyse des stratégies dans Cloud Storage.

Déterminer l'accès d'un compte principal à une ressource

Vous pouvez utiliser Policy Analyzer pour vérifier les rôles ou les autorisations dont dispose un compte principal sur une ressource de votre organisation. Pour obtenir ces informations, créez une requête sur un accès qui inclut le compte principal dont vous souhaitez analyser l'accès, ainsi que la ressource pour laquelle vous souhaitez analyser l'accès.

Console

Dans la console Google Cloud, accédez à la page Analyseur de règles.

Accéder à la page "Analyse des stratégies"
Dans la section Analyser les règles, recherchez le volet intitulé Requête personnalisée et cliquez sur Créer une requête personnalisée dans ce volet.
Dans le champ Sélectionner le champ d'application de la requête, sélectionnez le projet, le dossier ou l'organisation auquel vous souhaitez appliquer la requête. Policy Analyzer analyse l'accès pour ce projet, ce dossier ou cette organisation, ainsi que toutes les ressources de ce projet, ce dossier ou cette organisation.
Choisissez la ressource et le compte principal à vérifier :
1. Dans le champ Paramètre 1, sélectionnez Ressource dans le menu déroulant.
2. Dans le champ Ressource, saisissez le nom complet de la ressource pour laquelle vous souhaitez analyser l'accès. Si vous ne connaissez pas le nom complet de la ressource, commencez à saisir le nom à afficher de la ressource, puis sélectionnez-la dans la liste des ressources fournies.
3. Cliquez sur Ajouter un sélecteur.
4. Dans le champ Paramètre 2, sélectionnez Principal dans le menu déroulant.
5. Dans le champ Principal, commencez à saisir le nom d'un utilisateur, d'un compte de service ou d'un groupe. Ensuite, sélectionnez l'utilisateur, le compte de service ou le groupe dont vous souhaitez analyser l'accès dans la liste des comptes principaux fournis.
Facultatif: Cliquez sur Continuer, puis sélectionnez les options avancées que vous souhaitez activer pour cette requête.
Dans le volet Requête personnalisée, cliquez sur Analyser > Exécuter la requête. La page du rapport affiche les paramètres de requête que vous avez saisis, ainsi qu'une table de résultats de tous les rôles du compte principal spécifié sur la ressource spécifiée.

Les requêtes d'analyse des règles dans la console Google Cloud s'exécutent pendant une minute au maximum. Au bout d'une minute, la console Google Cloud arrête la requête et affiche tous les résultats disponibles. Si la requête ne s'est pas terminée dans ce délai, la console Google Cloud affiche une bannière indiquant que les résultats sont incomplets. Pour obtenir plus de résultats de ces requêtes, exportez les résultats vers BigQuery.

gcloud

Avant d'utiliser les données de la commande ci-dessous, effectuez les remplacements suivants :

RESOURCE_TYPE: type de ressource auquel vous souhaitez limiter votre recherche. Seules les stratégies d'autorisation IAM associées à cette ressource et à ses descendants seront analysées. Utilisez la valeur project, folder ou organization.
RESOURCE_ID: ID du projet, du dossier ou de l'organisation Google Cloud auquel vous souhaitez limiter votre recherche. Seules les stratégies d'autorisation IAM associées à cette ressource et à ses descendants seront analysées. Les ID de projet sont des chaînes alphanumériques, telles que my-project. Les ID de dossier et d'organisation sont numériques, tels que 123456789012.
FULL_RESOURCE_NAME : nom complet de la ressource pour laquelle vous souhaitez analyser l'accès. Pour obtenir la liste des formats de nom de ressource complet, consultez la section Format du nom de ressource.
PRINCIPAL: compte principal dont vous souhaitez analyser l'accès, au format PRINCIPAL_TYPE:ID (par exemple, user:my-user@example.com). Pour obtenir la liste complète des types de comptes principaux, consultez la section Identifiants des comptes principaux.

Exécutez la commande gcloud assetanalyze-iam-policy:

Linux, macOS ou Cloud Shell

gcloud asset analyze-iam-policy --RESOURCE_TYPE=RESOURCE_ID \
    --full-resource-name=FULL_RESOURCE_NAME \
    --identity=PRINCIPAL

Windows (PowerShell)

gcloud asset analyze-iam-policy --RESOURCE_TYPE=RESOURCE_ID `
    --full-resource-name=FULL_RESOURCE_NAME `
    --identity=PRINCIPAL

Windows (cmd.exe)

gcloud asset analyze-iam-policy --RESOURCE_TYPE=RESOURCE_ID ^
    --full-resource-name=FULL_RESOURCE_NAME ^
    --identity=PRINCIPAL

Les rôles du compte principal sur la ressource spécifiée sont répertoriés dans les champs accesses de la réponse. L'exemple suivant montre un seul résultat d'analyse avec le champ accesses en surbrillance.

...
---
ACLs:
- accesses:
  - roles/iam.serviceAccountUser
  identities:
  - name: user:my-user@example.com
  resources:
  - fullResourceName: //cloudresourcemanager.googleapis.com/projects/my-project
policy:
  attachedResource: //cloudresourcemanager.googleapis.com/projects/my-project
  binding:
    members:
    - user: my-user@example.com
    role: roles/iam.serviceAccountUser
---
...

REST

Pour déterminer l'accès d'un compte principal à une ressource, utilisez la méthode analyzeIamPolicy de l'API Cloud Asset Inventory.

Avant d'utiliser les données de requête, effectuez les remplacements suivants:

RESOURCE_TYPE: type de ressource auquel vous souhaitez limiter votre recherche. Seules les stratégies d'autorisation IAM associées à cette ressource et à ses descendants seront analysées. Utilisez la valeur projects, folders ou organizations.
RESOURCE_ID: ID du projet, du dossier ou de l'organisation Google Cloud auquel vous souhaitez limiter votre recherche. Seules les stratégies d'autorisation IAM associées à cette ressource et à ses descendants seront analysées. Les ID de projet sont des chaînes alphanumériques, telles que my-project. Les ID de dossier et d'organisation sont numériques, tels que 123456789012.
FULL_RESOURCE_NAME : nom complet de la ressource pour laquelle vous souhaitez analyser l'accès. Pour obtenir la liste des formats de nom de ressource complet, consultez la section Format du nom de ressource.
PRINCIPAL: compte principal dont vous souhaitez analyser l'accès, au format PRINCIPAL_TYPE:ID (par exemple, user:my-user@example.com). Pour obtenir la liste complète des types de comptes principaux, consultez la section Identifiants des comptes principaux.

Méthode HTTP et URL :

POST https://cloudasset.googleapis.com/v1/RESOURCE_TYPE/RESOURCE_ID:analyzeIamPolicy

Corps JSON de la requête :

{
  "analysisQuery": {
    "resourceSelector": {
      "fullResourceName": "FULL_RESOURCE_NAME"
    },
    "identitySelector": {
      "identity": "PRINCIPAL"
    }
  }
}

Pour envoyer votre requête, développez l'une des options suivantes :

curl (Linux, macOS ou Cloud Shell)

Enregistrez le corps de la requête dans un fichier nommé request.json, puis exécutez la commande suivante:

curl -X POST \
     -H "Authorization: Bearer $(gcloud auth print-access-token)" \
     -H "X-HTTP-Method-Override: GET" \
     -H "Content-Type: application/json; charset=utf-8" \
     -d @request.json \
     "https://cloudasset.googleapis.com/v1/RESOURCE_TYPE/RESOURCE_ID:analyzeIamPolicy"

PowerShell (Windows)

Enregistrez le corps de la requête dans un fichier nommé request.json, puis exécutez la commande suivante:

$cred = gcloud auth print-access-token
$headers = @{ "Authorization" = "Bearer $cred"; "X-HTTP-Method-Override" = "GET" }

Invoke-WebRequest `
    -Method POST `
    -Headers $headers `
    -ContentType: "application/json; charset=utf-8" `
    -InFile request.json `
    -Uri "https://cloudasset.googleapis.com/v1/RESOURCE_TYPE/RESOURCE_ID:analyzeIamPolicy" | Select-Object -Expand Content

APIs Explorer (navigateur)

...
{
  "attachedResourceFullName": "//cloudresourcemanager.googleapis.com/projects/my-project",
  "iamBinding": {
    "role": "roles/iam.serviceAccountUser",
    "members": [
      "user:my-user@example.com"
    ]
  },
  "accessControlLists": [
    {
      "resources": [
        {
          "fullResourceName": "//cloudresourcemanager.googleapis.com/projects/my-project"
        }
      ],
      "accesses": [
        {
          "roles": "iam.serviceAccountUser"
        }
      ]
    }
  ],
  "identityList": {
    "identities": [
      {
        "name": "user:my-user@example.com"
      }
    ]
  },
  "fullyExplored": true
},
...

Si la requête expire avant qu'elle ne soit terminée, vous obtenez une erreur DEADLINE_EXCEEDED. Pour obtenir plus de résultats de ces requêtes, écrivez les résultats dans BigQuery ou Cloud Storage à l'aide de la version de longue durée de analyzeIamPolicy. Pour obtenir des instructions, consultez Écrire l'analyse des stratégies dans BigQuery ou Écrire l'analyse des stratégies dans Cloud Storage.

Déterminer les ressources auxquelles un compte principal peut accéder

Vous pouvez utiliser Policy Analyzer pour vérifier quelles ressources de votre organisation disposent de rôles ou d'autorisations spécifiques. Pour obtenir ces informations, créez une requête sur une ressource qui inclut le compte principal dont vous souhaitez analyser l'accès, et un ou plusieurs rôles ou autorisations à vérifier.

Console

Dans la console Google Cloud, accédez à la page Analyseur de règles.

Accéder à la page "Analyse des stratégies"
Dans la section Analyser les règles, recherchez le volet intitulé Requête personnalisée et cliquez sur Créer une requête personnalisée dans ce volet.
Dans le champ Sélectionner le champ d'application de la requête, sélectionnez le projet, le dossier ou l'organisation auquel vous souhaitez appliquer la requête. Policy Analyzer analyse l'accès pour ce projet, ce dossier ou cette organisation, ainsi que toutes les ressources de ce projet, ce dossier ou cette organisation.
Choisissez le compte principal à vérifier, ainsi que le rôle ou l'autorisation à vérifier :
1. Dans le champ Paramètre 1, sélectionnez Principal dans le menu déroulant.
2. Dans le champ Principal, commencez à saisir le nom d'un utilisateur, d'un compte de service ou d'un groupe. Ensuite, sélectionnez l'utilisateur, le compte de service ou le groupe dont vous souhaitez analyser l'accès dans la liste des comptes principaux fournis.
3. Cliquez sur Ajouter un sélecteur.
4. Dans le champ Paramètre 2, sélectionnez Rôle ou Autorisation.
5. Dans le champ Sélectionner un rôle ou Sélectionner une autorisation, sélectionnez le rôle ou l'autorisation que vous souhaitez vérifier.
6. Facultatif : Pour vérifier les rôles et autorisations supplémentaires, continuez à ajouter des sélecteurs Rôle et Autorisation jusqu'à ce que tous les rôles et autorisations que vous souhaitez vérifier soient répertoriés.
Facultatif: Cliquez sur Continuer, puis sélectionnez les options avancées que vous souhaitez activer pour cette requête.
Dans le volet Requête personnalisée, cliquez sur Analyser > Exécuter la requête. La page du rapport affiche les paramètres de requête que vous avez saisis, ainsi qu'une table de résultats de toutes les ressources sur lesquelles le compte principal spécifié dispose des rôles ou autorisations spécifiés.

Les requêtes d'analyse des règles dans la console Google Cloud s'exécutent pendant une minute au maximum. Au bout d'une minute, la console Google Cloud arrête la requête et affiche tous les résultats disponibles. Si la requête ne s'est pas terminée dans ce délai, la console Google Cloud affiche une bannière indiquant que les résultats sont incomplets. Pour obtenir plus de résultats de ces requêtes, exportez les résultats vers BigQuery.

gcloud

Avant d'utiliser les données de la commande ci-dessous, effectuez les remplacements suivants :

RESOURCE_TYPE: type de ressource auquel vous souhaitez limiter votre recherche. Seules les stratégies d'autorisation IAM associées à cette ressource et à ses descendants seront analysées. Utilisez la valeur project, folder ou organization.
RESOURCE_ID: ID du projet, du dossier ou de l'organisation Google Cloud auquel vous souhaitez limiter votre recherche. Seules les stratégies d'autorisation IAM associées à cette ressource et à ses descendants seront analysées. Les ID de projet sont des chaînes alphanumériques, telles que my-project. Les ID de dossier et d'organisation sont numériques, tels que 123456789012.
PRINCIPAL: compte principal dont vous souhaitez analyser l'accès, au format PRINCIPAL_TYPE:ID (par exemple, user:my-user@example.com). Pour obtenir la liste complète des types de comptes principaux, consultez la section Identifiants des comptes principaux.
PERMISSIONS: liste des autorisations que vous souhaitez vérifier, séparées par des virgules (par exemple, compute.instances.get,compute.instances.start). Si vous répertoriez plusieurs autorisations, Policy Analyzer recherche l'une d'entre elles.

Exécutez la commande gcloud assetanalyze-iam-policy:

Linux, macOS ou Cloud Shell

gcloud asset analyze-iam-policy --RESOURCE_TYPE=RESOURCE_ID \
    --identity=PRINCIPAL \
    --permissions='PERMISSIONS'

Windows (PowerShell)

gcloud asset analyze-iam-policy --RESOURCE_TYPE=RESOURCE_ID `
    --identity=PRINCIPAL `
    --permissions='PERMISSIONS'

Windows (cmd.exe)

gcloud asset analyze-iam-policy --RESOURCE_TYPE=RESOURCE_ID ^
    --identity=PRINCIPAL ^
    --permissions='PERMISSIONS'

Les ressources sur lesquelles le compte principal spécifié possède l'une des autorisations spécifiées sont répertoriées dans les champs resources de la réponse. L'exemple suivant montre un seul résultat d'analyse avec le champ resources en surbrillance.

...
---
ACLs:
- accesses:
  - permission: compute.instances.get
  - permission: compute.instances.start
  identities:
  - name: user:my-user@example.com
  resources:
  - fullResourceName: //compute.googleapis.com/projects/my-project/global/images/my-image
policy:
  attachedResource: //compute.googleapis.com/projects/my-project/global/images/my-image
  binding:
    members:
    - user: my-user@example.com
    role: roles/compute.admin
---
...

REST

Pour déterminer les ressources auxquelles un compte principal peut accéder, utilisez la méthode analyzeIamPolicy de l'API Cloud Asset Inventory.

Avant d'utiliser les données de requête, effectuez les remplacements suivants:

RESOURCE_TYPE: type de ressource auquel vous souhaitez limiter votre recherche. Seules les stratégies d'autorisation IAM associées à cette ressource et à ses descendants seront analysées. Utilisez la valeur projects, folders ou organizations.
RESOURCE_ID: ID du projet, du dossier ou de l'organisation Google Cloud auquel vous souhaitez limiter votre recherche. Seules les stratégies d'autorisation IAM associées à cette ressource et à ses descendants seront analysées. Les ID de projet sont des chaînes alphanumériques, telles que my-project. Les ID de dossier et d'organisation sont numériques, tels que 123456789012.
PRINCIPAL: compte principal dont vous souhaitez analyser l'accès, au format PRINCIPAL_TYPE:ID (par exemple, user:my-user@example.com). Pour obtenir la liste complète des types de comptes principaux, consultez la section Identifiants des comptes principaux.
PERMISSION_1, PERMISSION_2... PERMISSION_N: autorisations que vous souhaitez vérifier, par exemple compute.instances.get. Si vous répertoriez plusieurs autorisations, Policy Analyzer recherche l'une d'entre elles.

Méthode HTTP et URL :

POST https://cloudasset.googleapis.com/v1/RESOURCE_TYPE/RESOURCE_ID:analyzeIamPolicy

Corps JSON de la requête :

{
  "analysisQuery": {
    "identitySelector": {
      "identity": "PRINCIPAL"
    },
    "accessSelector": {
      "permissions": [
        "PERMISSION_1",
        "PERMISSION_2",
        "PERMISSION_N"
      ]
    }
  }
}

Pour envoyer votre requête, développez l'une des options suivantes :

curl (Linux, macOS ou Cloud Shell)

Enregistrez le corps de la requête dans un fichier nommé request.json, puis exécutez la commande suivante:

curl -X POST \
     -H "Authorization: Bearer $(gcloud auth print-access-token)" \
     -H "X-HTTP-Method-Override: GET" \
     -H "Content-Type: application/json; charset=utf-8" \
     -d @request.json \
     "https://cloudasset.googleapis.com/v1/RESOURCE_TYPE/RESOURCE_ID:analyzeIamPolicy"

PowerShell (Windows)

Enregistrez le corps de la requête dans un fichier nommé request.json, puis exécutez la commande suivante:

$cred = gcloud auth print-access-token
$headers = @{ "Authorization" = "Bearer $cred"; "X-HTTP-Method-Override" = "GET" }

Invoke-WebRequest `
    -Method POST `
    -Headers $headers `
    -ContentType: "application/json; charset=utf-8" `
    -InFile request.json `
    -Uri "https://cloudasset.googleapis.com/v1/RESOURCE_TYPE/RESOURCE_ID:analyzeIamPolicy" | Select-Object -Expand Content

APIs Explorer (navigateur)

...
{
  "attachedResourceFullName": "//compute.googleapis.com/projects/my-project/global/images/my-image",
  "iamBinding": {
    "role": "roles/compute.admin",
    "members": [
      "user:my-user@example.com"
    ]
  },
  "accessControlLists": [
    {
      "resources": [
        {
          "fullResourceName": "//compute.googleapis.com/projects/my-project/global/images/my-image"
        }
      ],
      "accesses": [
        {
          "permission": "compute.instances.get"
        },
        {
          "permission": "compute.instances.start"
        }
      ]
    }
  ],
  "identityList": {
    "identities": [
      {
        "name": "user:my-user@example.com"
      }
    ]
  },
  "fullyExplored": true
},
...

Si la requête expire avant qu'elle ne soit terminée, vous obtenez une erreur DEADLINE_EXCEEDED. Pour obtenir plus de résultats de ces requêtes, écrivez les résultats dans BigQuery ou Cloud Storage à l'aide de la version de longue durée de analyzeIamPolicy. Pour obtenir des instructions, consultez Écrire l'analyse des stratégies dans BigQuery ou Écrire l'analyse des stratégies dans Cloud Storage.

Déterminer l'accès à un moment précis

Si elle fournit suffisamment de contexte, Policy Analyzer peut analyser les liaisons de rôles conditionnelles IAM qui n'accordent l'accès qu'à des moments spécifiques. Ces conditions sont appelées conditions de date/heure. Pour que Policy Analyzer puisse analyser avec précision les liaisons de rôle avec des conditions de date/heure, vous devez définir le temps d'accès dans la requête.

Policy Analyzer peut également analyser les conditions de ressources sans entrée utilisateur supplémentaire. Pour en savoir plus sur le fonctionnement de Policy Analyzer avec les conditions, consultez Accès conditionnel.

gcloud

Avant d'utiliser les données de la commande ci-dessous, effectuez les remplacements suivants :

RESOURCE_TYPE: type de ressource auquel vous souhaitez limiter votre recherche. Seules les stratégies d'autorisation IAM associées à cette ressource et à ses descendants seront analysées. Utilisez la valeur project, folder ou organization.
RESOURCE_ID: ID du projet, du dossier ou de l'organisation Google Cloud auquel vous souhaitez limiter votre recherche. Seules les stratégies d'autorisation IAM associées à cette ressource et à ses descendants seront analysées. Les ID de projet sont des chaînes alphanumériques, telles que my-project. Les ID de dossier et d'organisation sont numériques, tels que 123456789012.
PERMISSIONS : Facultatif. Liste des autorisations que vous souhaitez vérifier, séparées par une virgule, par exemple compute.instances.get,compute.instances.start. Si vous répertoriez plusieurs autorisations, Policy Analyzer recherche l'une d'entre elles.
FULL_RESOURCE_NAME : facultatif. Nom complet de la ressource pour laquelle vous souhaitez analyser l'accès. Pour obtenir la liste des formats de nom de ressource complet, consultez la section Format du nom de ressource.
PERMISSIONS : Facultatif. Liste des autorisations que vous souhaitez vérifier, séparées par une virgule, par exemple compute.instances.get,compute.instances.start. Si vous répertoriez plusieurs autorisations, Policy Analyzer recherche l'une d'entre elles.
ACCESS_TIME: heure à vérifier Cette heure doit être située dans le futur. Utilisez un horodatage au format RFC 3339 (par exemple, 2099-02-01T00:00:00Z).

Exécutez la commande gcloud assetanalyze-iam-policy:

Linux, macOS ou Cloud Shell

gcloud asset analyze-iam-policy --RESOURCE_TYPE=RESOURCE_ID \
    --identity=PRINCIPAL \
    --full-resource-name=FULL_RESOURCE_NAME \
    --permissions='PERMISSIONS' \
    --access-time=ACCESS_TIME

Windows (PowerShell)

gcloud asset analyze-iam-policy --RESOURCE_TYPE=RESOURCE_ID `
    --identity=PRINCIPAL `
    --full-resource-name=FULL_RESOURCE_NAME `
    --permissions='PERMISSIONS' `
    --access-time=ACCESS_TIME

Windows (cmd.exe)

gcloud asset analyze-iam-policy --RESOURCE_TYPE=RESOURCE_ID ^
    --identity=PRINCIPAL ^
    --full-resource-name=FULL_RESOURCE_NAME ^
    --permissions='PERMISSIONS' ^
    --access-time=ACCESS_TIME

Lorsque vous incluez l'heure d'accès dans la requête, Policy Analyzer peut évaluer les conditions de date/heure. Si la condition renvoie la valeur "false", ce rôle n'est pas inclus dans la réponse. Si la condition renvoie la valeur "true", le résultat de l'évaluation de la condition est répertorié comme TRUE.

...
---
ACLs:
- accesses:
  - permission: compute.instances.get
  - permission: compute.instances.start
  conditionEvaluationValue: 'TRUE'
  identities:
  - name: user:my-user@example.com
  resources:
  - fullResourceName: //cloudresourcemanager.googleapis.com/projects/my-project
policy:
  attachedResource: //cloudresourcemanager.googleapis.com/projects/my-project
  binding:
    condition:
      expression: request.time.getHours("America/Los_Angeles") >= 5
      title: No access before 5am PST
    members:
    - user: my-user@example.com
    role: roles/compute.admin
---
...

REST

Pour déterminer quels comptes principaux disposeront de certaines autorisations sur une ressource à un moment donné, utilisez la méthode analyzeIamPolicy de l'API Cloud Asset Inventory.

Avant d'utiliser les données de requête, effectuez les remplacements suivants:

RESOURCE_TYPE: type de ressource auquel vous souhaitez limiter votre recherche. Seules les stratégies d'autorisation IAM associées à cette ressource et à ses descendants seront analysées. Utilisez la valeur projects, folders ou organizations.
RESOURCE_ID: ID du projet, du dossier ou de l'organisation Google Cloud auquel vous souhaitez limiter votre recherche. Seules les stratégies d'autorisation IAM associées à cette ressource et à ses descendants seront analysées. Les ID de projet sont des chaînes alphanumériques, telles que my-project. Les ID de dossier et d'organisation sont numériques, tels que 123456789012.
PERMISSION_1, PERMISSION_2... PERMISSION_N: facultatif. Les autorisations que vous souhaitez vérifier, par exemple compute.instances.get. Si vous indiquez plusieurs autorisations, Policy Analyzer recherche chacune d'elles.
FULL_RESOURCE_NAME : facultatif. Nom complet de la ressource pour laquelle vous souhaitez analyser l'accès. Pour obtenir la liste des formats de nom de ressource complet, consultez la section Format du nom de ressource.
PERMISSION_1, PERMISSION_2... PERMISSION_N: facultatif. Les autorisations que vous souhaitez vérifier, par exemple compute.instances.get. Si vous indiquez plusieurs autorisations, Policy Analyzer recherche chacune d'elles.
ACCESS_TIME: heure à vérifier Cette heure doit être située dans le futur. Utilisez un horodatage au format RFC 3339 (par exemple, 2099-02-01T00:00:00Z).

Méthode HTTP et URL :

POST https://cloudasset.googleapis.com/v1/RESOURCE_TYPE/RESOURCE_ID:analyzeIamPolicy

Corps JSON de la requête :

{
  "analysisQuery": {
    "identitySelector": {
      "identity": "PRINCIPAL"
    },
    "resourceSelector": {
      "fullResourceName": "FULL_RESOURCE_NAME"
    },
    "accessSelector": {
      "permissions": [
        "PERMISSION_1",
        "PERMISSION_2",
        "PERMISSION_N"
      ]
    },
    "conditionContext": {
      "accessTime": "ACCESS_TIME"
    }
  }
}

Pour envoyer votre requête, développez l'une des options suivantes :

curl (Linux, macOS ou Cloud Shell)

Enregistrez le corps de la requête dans un fichier nommé request.json, puis exécutez la commande suivante:

curl -X POST \
     -H "Authorization: Bearer $(gcloud auth print-access-token)" \
     -H "X-HTTP-Method-Override: GET" \
     -H "Content-Type: application/json; charset=utf-8" \
     -d @request.json \
     "https://cloudasset.googleapis.com/v1/RESOURCE_TYPE/RESOURCE_ID:analyzeIamPolicy"

PowerShell (Windows)

Enregistrez le corps de la requête dans un fichier nommé request.json, puis exécutez la commande suivante:

$cred = gcloud auth print-access-token
$headers = @{ "Authorization" = "Bearer $cred"; "X-HTTP-Method-Override" = "GET" }

Invoke-WebRequest `
    -Method POST `
    -Headers $headers `
    -ContentType: "application/json; charset=utf-8" `
    -InFile request.json `
    -Uri "https://cloudasset.googleapis.com/v1/RESOURCE_TYPE/RESOURCE_ID:analyzeIamPolicy" | Select-Object -Expand Content

APIs Explorer (navigateur)

Lorsque vous incluez l'heure d'accès dans la requête, Policy Analyzer peut évaluer les conditions de date/heure. Si la condition renvoie la valeur "false", ce rôle n'est pas inclus dans la réponse. Si la condition renvoie la valeur "true", la valeur d'évaluation de la condition dans la réponse de l'analyse est TRUE.

...
{
  "attachedResourceFullName": "//cloudresourcemanager.googleapis.com/projects/my-project",
  "iamBinding": {
    "role": "roles/compute.admin",
    "members": [
      "user:my-user@example.com"
    ],
    "condition": {
      "expression": "request.time.getHours(\"America/Los_Angeles\") \u003e= 5",
      "title": "No access before 5am PST"
    }
  },
  "accessControlLists": [
    {
      "resources": [
        {
          "fullResourceName": "//cloudresourcemanager.googleapis.com/projects/my-project"
        }
      ],
      "accesses": [
        {
          "permission": "compute.instances.get"
        },
        {
          "permission": "compute.instances.start"
        }
      ],
      "conditionEvaluation": {
        "evaluationValue": "TRUE"
      }
    }
  ],
  "identityList": {
    "identities": [
      {
        "name": "user:my-user@example.com"
      }
    ]
  },
  "fullyExplored": true
},
...

Si la requête expire avant qu'elle ne soit terminée, vous obtenez une erreur DEADLINE_EXCEEDED. Pour obtenir plus de résultats de ces requêtes, écrivez les résultats dans BigQuery ou Cloud Storage à l'aide de la version de longue durée de analyzeIamPolicy. Pour obtenir des instructions, consultez Écrire l'analyse des stratégies dans BigQuery ou Écrire l'analyse des stratégies dans Cloud Storage.

Activer les options

Vous pouvez activer les options suivantes pour recevoir des résultats de requête plus détaillés.

Console

Option	Description
Lister les ressources au sein des ressources correspondant à votre requête	Si vous activez cette option, les résultats de la requête répertorient jusqu'à 1 000 ressources descendantes pertinentes pour toutes les ressources parentes (projets, dossiers et organisations) dans les résultats de requête.
Lister les utilisateurs individuels dans les groupes	Si vous activez cette option, tous les groupes figurant dans les résultats de la requête sont développés en membres individuels. Si vous disposez d'autorisations suffisantes, les groupes imbriqués sont également développés. Cette expansion est limitée à 1 000 membres par groupe. Cette option n'est disponible que si vous ne spécifiez pas de compte principal dans la requête.
Lister les autorisations dans les rôles	Si vous activez cette option, les résultats de la requête répertorient toutes les autorisations de chaque rôle, en plus du rôle lui-même. Cette option n'est disponible que si vous ne spécifiez aucune autorisation ni aucun rôle dans votre requête.

Option

Description

Lister les ressources au sein des ressources correspondant à votre requête

Si vous activez cette option, les résultats de la requête répertorient jusqu'à 1 000 ressources descendantes pertinentes pour toutes les ressources parentes (projets, dossiers et organisations) dans les résultats de requête.

Lister les utilisateurs individuels dans les groupes

Si vous activez cette option, tous les groupes figurant dans les résultats de la requête sont développés en membres individuels. Si vous disposez d'autorisations suffisantes, les groupes imbriqués sont également développés. Cette expansion est limitée à 1 000 membres par groupe.

Cette option n'est disponible que si vous ne spécifiez pas de compte principal dans la requête.

Lister les autorisations dans les rôles

Si vous activez cette option, les résultats de la requête répertorient toutes les autorisations de chaque rôle, en plus du rôle lui-même.

Cette option n'est disponible que si vous ne spécifiez aucune autorisation ni aucun rôle dans votre requête.

gcloud

Cette section décrit plusieurs indicateurs courants que vous pouvez ajouter lorsque vous analysez les règles d'autorisation à l'aide de la gcloud CLI. Pour obtenir la liste complète des options, consultez la section Indicateurs facultatifs.

Option	Description
`--analyze-service-account-impersonation`	Si cette option est activée, Policy Analyzer exécute des requêtes d'analyse supplémentaires pour déterminer qui peut emprunter l'identité des comptes de service disposant de l'accès spécifié aux ressources spécifiées. Policy Analyzer exécute une requête pour chaque compte de service dans les résultats de la requête. Ces requêtes permettent d'analyser qui dispose de l'une des autorisations suivantes sur le compte de service: `iam.serviceAccounts.actAs` `iam.serviceAccounts.getAccessToken` `iam.serviceAccounts.getOpenIdToken` `iam.serviceAccounts.implicitDelegation` `iam.serviceAccounts.signBlob` `iam.serviceAccounts.signJwt` Cette opération est très coûteuse, car elle exécute automatiquement de nombreuses requêtes. Nous vous recommandons vivement d'exporter vers BigQuery ou Cloud Storage à l'aide de `analyze-iam-policy-longrunning` au lieu de `analyze-iam-policy`.
`--expand-groups`	Si vous activez cette option, tous les groupes figurant dans les résultats de la requête sont développés en membres individuels. Si vous disposez d'autorisations suffisantes, les groupes imbriqués sont également développés. Cette expansion est limitée à 1 000 membres par groupe. Cette option n'est efficace que si vous ne spécifiez pas de compte principal dans votre requête.
`--expand-resources`	Si vous activez cette option, les résultats de la requête répertorient jusqu'à 1 000 ressources descendantes pertinentes pour toutes les ressources parentes (projets, dossiers et organisations) dans les résultats de requête.
`--expand-roles`	Si vous activez cette option, les résultats de la requête répertorient toutes les autorisations de chaque rôle, en plus du rôle lui-même. Cette option n'est disponible que si vous ne spécifiez aucune autorisation ni aucun rôle dans votre requête.
`--output-group-edges`	Si vous activez cette option, les résultats de la requête génèrent les relations d'appartenance pertinentes entre les groupes.
`--output-resource-edges`	Si vous activez cette option, les résultats de la requête génèrent les relations parent/enfant pertinentes entre les ressources.

REST

Pour activer des options, commencez par ajouter un champ options à votre requête d'analyse. Exemple :

{
  "analysisQuery": {
    "resourceSelector": {
      "fullResourceName": "//cloudresourcemanager.googleapis.com/projects/my-project"
    },
    "accessSelector": {
      "permissions": [
        "iam.roles.get",
        "iam.roles.list"
      ]
   },
   "options": {
     OPTIONS
   }
  }
}

Remplacez OPTIONS par les options que vous souhaitez activer, au format "OPTION": true. Le tableau suivant décrit les options disponibles:

Option	Description
`analyzeServiceAccountImpersonation`	Si cette option est activée, Policy Analyzer exécute des requêtes d'analyse supplémentaires pour déterminer qui peut emprunter l'identité des comptes de service disposant de l'accès spécifié aux ressources spécifiées. Policy Analyzer exécute une requête pour chaque compte de service dans les résultats de la requête. Ces requêtes permettent d'analyser qui dispose de l'une des autorisations suivantes sur le compte de service: `iam.serviceAccounts.actAs` `iam.serviceAccounts.getAccessToken` `iam.serviceAccounts.getOpenIdToken` `iam.serviceAccounts.implicitDelegation` `iam.serviceAccounts.signBlob` `iam.serviceAccounts.signJwt` Cette opération est très coûteuse, car elle exécute automatiquement de nombreuses requêtes. Nous vous recommandons vivement d'exporter vers BigQuery ou Cloud Storage à l'aide de `AnalyzeIamPolicyLongrunning` au lieu de `AnalyzeIamPolicy`.
`expandGroups`	Si vous activez cette option, tous les groupes figurant dans les résultats de la requête sont développés en membres individuels. Si vous disposez d'autorisations suffisantes, les groupes imbriqués sont également développés. Cette expansion est limitée à 1 000 membres par groupe. Cette option n'est efficace que si vous ne spécifiez pas de compte principal dans votre requête.
`expandResources`	Si vous activez cette option, les résultats de la requête répertorient jusqu'à 1 000 ressources descendantes pertinentes pour toutes les ressources parentes (projets, dossiers et organisations) dans les résultats de requête.
`expandRoles`	Si vous activez cette option, les résultats de la requête répertorient toutes les autorisations de chaque rôle, en plus du rôle lui-même. Cette option n'est disponible que si vous ne spécifiez aucune autorisation ni aucun rôle dans votre requête.
`outputGroupEdges`	Si vous activez cette option, les résultats de la requête génèrent les relations d'appartenance pertinentes entre les groupes.
`outputResourceEdges`	Si vous activez cette option, les résultats de la requête génèrent les relations parent/enfant pertinentes entre les ressources.

Étapes suivantes

Découvrez comment utiliser AnalyzeIamPolicyLongrunning pour écrire dans BigQuery ou écrire dans Cloud Storage.
Découvrez comment utiliser l'API REST pour enregistrer les requêtes d'analyse des stratégies.
Explorez les outils de dépannage des accès disponibles qui vous permettent de déterminer pourquoi un compte principal ne dispose pas d'un certain type d'accès.