Configura la generación de recomendaciones de roles

Si cambias la configuración del recomendador de IAM, podrás personalizar la forma en que se generan tus recomendaciones de roles. En esta página, se explica cómo editar tu actual para cambiar la rapidez con la que se generan las recomendaciones para tus en un proyecto final.

Aunque el recomendador de IAM genera recomendaciones de roles para una variedad de recursos, solo puedes editar la forma en que se generan las recomendaciones de roles para proyectos.

Antes de comenzar

Roles obligatorios

Si deseas obtener los permisos que necesitas para configurar las recomendaciones de roles de IAM, solicita a tu administrador que te otorgue el siguientes roles de IAM en el proyecto cuyo recomendador de IAM deseas configurar:

  • Consulta los detalles de configuración: Visualizador del recomendador de IAM (roles/recommender.iamViewer)
  • Modifica tu configuración: Administrador del recomendador de IAM (roles/recommender.iamAdmin)

Si quieres obtener más información para otorgar roles, consulta Administra el acceso.

Estos roles predefinidos contienen los permisos necesarios para configurar las recomendaciones de roles de IAM. Para ver los permisos exactos que son necesarios, expande la sección Permisos requeridos:

Permisos necesarios

Se requieren los siguientes permisos para configurar las recomendaciones de roles de IAM:

  • Consulta los detalles de configuración: recommender.iamPolicyRecommenderConfig.get
  • Modifica tu configuración: recommender.iamPolicyRecommenderConfig.get

También puedes obtener estos permisos con roles personalizados o con otros roles predefinidos

Visualiza la configuración actual

Consulta tu configuración actual para ver cuántos días de datos de uso de permisos el recomendador de IAM espera antes de generar recomendaciones de roles.

Puedes ver la configuración con gcloud CLI o la API de REST.

gcloud

Para obtener la configuración del recomendador de IAM, usa el gcloud beta recommender recommender-config describe kubectl.

Antes de usar cualquiera de los datos de comando a continuación, realiza los siguientes reemplazos:

  • PROJECT_ID: El ID del proyecto de Google Cloud Los ID de proyecto son strings alfanuméricas, como my-project.

Ejecuta el gcloud beta Recommendeder recommendationer-config describe :

Linux, macOS o Cloud Shell

gcloud beta recommender recommender-config describe \
google.iam.policy.Recommender \
--project="PROJECT_ID" \
--location="global"

Windows (PowerShell)

gcloud beta recommender recommender-config describe `
google.iam.policy.Recommender `
--project="PROJECT_ID" `
--location="global"

Windows (cmd.exe)

gcloud beta recommender recommender-config describe ^
google.iam.policy.Recommender ^
--project="PROJECT_ID" ^
--location="global"

La respuesta contiene tu configuración del recomendador de IAM. Por ejemplo, podría verse de la siguiente manera: 

etag: '"d3e779ee3f34f276"'
name: projects/123456789012/locations/global/recommenders/google.iam.policy.Recommender/config
recommenderGenerationConfig:
  params:
    minimum_observation_period: P90D
revisionId: DEFAULT
updateTime: '2022-10-02T22:57:33Z'

REST

Para obtener la configuración del recomendador de IAM, usa las APIs de Recommender projects.locations.recommenders.getConfig .

Antes de usar cualquiera de los datos de solicitud a continuación, realiza los siguientes reemplazos:

  • PROJECT_NUMBER: El el ID numérico del proyecto de Google Cloud.
  • PROJECT_ID: El ID del proyecto de Google Cloud Los ID de proyecto son strings alfanuméricas, como my-project.

Método HTTP y URL: 

GET https://recommender.googleapis.com/v1beta1/projects/PROJECT_NUMBER/locations/global/recommenders/google.iam.policy.Recommender/config

Para enviar tu solicitud, expande una de estas opciones:

La respuesta contiene tu configuración del recomendador de IAM. Por ejemplo, podría verse de la siguiente manera: 

{
  "name": "projects/123456789012/locations/global/recommenders/google.iam.policy.Recommender/config",
  "recommenderGenerationConfig": {
    "params": {
      "minimum_observation_period": "P90D"
    }
  },
  "etag": "\"d3e779ee3f34f276\"",
  "updateTime": "2022-10-02T22:57:33Z",
  "revisionId": "DEFAULT"
}

Comprende los detalles de configuración

El contenido de una configuración depende de qué recomendador se aplique . Los parámetros de configuración del recomendador de IAM tienen los siguientes componentes, no necesariamente en este orden:

  • name: Es el identificador de la configuración, en el formulario projects/PROJECT_NUMBER/locations/global/recommenders/google.iam.policy.Recommender/config

  • recommenderGenerationConfig: Son los parámetros a los que El recomendador de IAM usa cuando genera recomendaciones. Este campo contiene los siguientes parámetros:

    • minimum_observation_period: La cantidad de días de de uso de permisos que el recomendador de IAM necesita y generar recomendaciones de roles.

  • etag: Es un identificador del estado actual de una configuración. para evitar actualizaciones simultáneas. Cada vez que se modifica la configuración, se crea una nueva Se asignó el valor de ETag.

  • updateTime: Es la marca de tiempo de la hora más reciente en la que configuración se actualizó en formato UTC (RFC 3339).

  • revisionId: Solo salida. Un identificador para la revisión actual de la configuración. Este valor se actualiza cada vez que se modifica la configuración editadas.

Editar la configuración

Edita tu configuración para cambiar la rapidez con la que se generan las recomendaciones para tu proyecto.

gcloud

Para editar la configuración del recomendador de IAM, usa el gcloud beta recommender recommender-config update kubectl.

Antes de usar cualquiera de los datos de comando a continuación, realiza los siguientes reemplazos:

  • OBSERVATION_PERIOD: Es el período mínimo de observación que deseas establecer. Utiliza uno de los siguientes valores: P30D (30 días), P60D (60 días) o P90D (90 días)
  • ETAG: La ETag actual de la configuración, que puedes encontrar obtén la configuración actual y copia el valor del el campo etag de la respuesta.
  • PROJECT_ID: El ID del proyecto de Google Cloud Los ID de proyecto son strings alfanuméricas, como my-project.

    • Guarda el siguiente código en un archivo llamado request.json. 

    {
  "params": {
    "minimum_observation_period": "OBSERVATION_PERIOD"
  }
}

    Ejecuta el gcloud betarecommender recommendationer-config update :

    Linux, macOS o Cloud Shell

    gcloud beta recommender recommender-config update \
google.iam.policy.Recommender \
--etag="ETAG" \
--project="PROJECT_ID" \
--location="global" \
--config-file="request.json"

    Windows (PowerShell)

    gcloud beta recommender recommender-config update `
google.iam.policy.Recommender `
--etag="ETAG" `
--project="PROJECT_ID" `
--location="global" `
--config-file="request.json"

    Windows (cmd.exe)

    gcloud beta recommender recommender-config update ^
google.iam.policy.Recommender ^
--etag="ETAG" ^
--project="PROJECT_ID" ^
--location="global" ^
--config-file="request.json"

    La respuesta contiene la configuración actualizada. Por ejemplo, podría verse de la siguiente manera: 

    etag: '"2549af0942332910"'
name: projects/123456789012/locations/global/recommenders/google.iam.policy.Recommender/config
recommenderGenerationConfig:
  params:
    minimum_observation_period: P60D
revisionId: 288c60eb
updateTime: '2022-10-05T21:42:21.069170Z'

REST

Para editar la configuración del recomendador de IAM, usa las APIs de Recommender projects.locations.recommenders.updateConfig .

Antes de usar cualquiera de los datos de solicitud a continuación, realiza los siguientes reemplazos:

  • PROJECT_NUMBER: El el ID numérico del proyecto de Google Cloud.
  • OBSERVATION_PERIOD: Es el período mínimo de observación que deseas establecer. Utiliza uno de los siguientes valores: P30D (30 días), P60D (60 días) o P90D (90 días)
  • ETAG: La ETag actual de la configuración, que puedes encontrar obtén la configuración actual y copia el valor del el campo etag de la respuesta. Usa barras inversas para escapar las comillas, por ejemplo, "\"df7308cca9719dcc\"".
  • PROJECT_ID: El ID del proyecto de Google Cloud Los ID de proyecto son strings alfanuméricas, como my-project.

    • Método HTTP y URL: 

    PATCH https://recommender.googleapis.com/v1beta1/projects/PROJECT_NUMBER/locations/global/recommenders/google.iam.policy.Recommender/config

    Cuerpo JSON de la solicitud:

    {
  "name": "projects/PROJECT_NUMBER/locations/global/recommenders/google.iam.policy.Recommender/config",
  "recommenderGenerationConfig": {
    "params": {
      "minimum_observation_period": "OBSERVATION_PERIOD"
    }
  },
  "etag": "ETAG"
}

    Para enviar tu solicitud, expande una de estas opciones:

    La respuesta contiene la configuración actualizada. Por ejemplo, podría verse de la siguiente manera: 

    {
  "name": "projects/123456789012/locations/global/recommenders/google.iam.policy.Recommender/config",
  "recommenderGenerationConfig": {
    "params": {
      "minimum_observation_period": "P60D"
    }
  },
  "etag": "\"2549af0942332910\"",
  "updateTime": "2022-10-05T21:26:52.127512Z",
  "revisionId": "b5fc0053"
}

¿Qué sigue?