Modificando la configurazione del motore per suggerimenti IAM, puoi personalizzare la modalità di generazione dei consigli sui ruoli. Questa pagina spiega come modificare la configurazione per cambiare la velocità di generazione dei consigli per il progetto.
Sebbene il motore per suggerimenti IAM generi suggerimenti sui ruoli per una serie di risorse, puoi modificare solo la modalità di generazione dei suggerimenti sui ruoli per i progetti.
Prima di iniziare
-
Enable the Recommender API.
- Scopri come il motore per suggerimenti IAM genera suggerimenti per i ruoli.
- Installa Google Cloud CLI.
Ruoli obbligatori
Per ottenere le autorizzazioni necessarie per configurare i consigli sui ruoli IAM, chiedi all'amministratore di concederti i seguenti ruoli IAM nel progetto di cui vuoi configurare il consigliatore IAM:
- Visualizza i dettagli di configurazione: Visualizzatore del motore per suggerimenti IAM (roles/recommender.iamViewer)
- Modifica la configurazione: IAM Recommender Admin (roles/recommender.iamAdmin)
Per saperne di più sulla concessione dei ruoli, consulta Gestire l'accesso a progetti, cartelle e organizzazioni.
Questi ruoli predefiniti contengono le autorizzazioni necessarie per configurare i consigli sui ruoli IAM. Per visualizzare le autorizzazioni esatte richieste, espandi la sezione Autorizzazioni richieste:
Autorizzazioni obbligatorie
Per configurare i consigli sui ruoli IAM sono necessarie le seguenti autorizzazioni:
-
Visualizza i dettagli di configurazione:
recommender.iamPolicyRecommenderConfig.get
-
Modifica la configurazione:
recommender.iamPolicyRecommenderConfig.update
Potresti anche ottenere queste autorizzazioni con ruoli personalizzati o altri ruoli predefiniti.
Visualizzare la configurazione attuale
Visualizza la configurazione corrente per vedere quanti giorni di dati di utilizzo delle autorizzazioni deve attendere il Recommender IAM prima di generare consigli sui ruoli.
Puoi visualizzare la configurazione utilizzando l'interfaccia a riga di comando gcloud o l'API REST.
Per ottenere la configurazione del motore per suggerimenti IAM di un progetto, utilizza il comando
gcloud beta recommender recommender-config describe
.
Prima di utilizzare i dati dei comandi riportati di seguito, effettua le seguenti sostituzioni:
PROJECT_ID
: il tuo Google Cloud ID progetto. Gli ID progetto sono stringhe alfanumeriche, comemy-project
.
Esegui il comando gcloud beta recommender recommender-config describe:
Linux, macOS o Cloud Shell
gcloud beta recommender recommender-config describe \ google.iam.policy.Recommender \ --project="PROJECT_ID " \ --location="global"
Windows (PowerShell)
gcloud beta recommender recommender-config describe ` google.iam.policy.Recommender ` --project="PROJECT_ID " ` --location="global"
Windows (cmd.exe)
gcloud beta recommender recommender-config describe ^ google.iam.policy.Recommender ^ --project="PROJECT_ID " ^ --location="global"
La risposta contiene la configurazione del motore per suggerimenti IAM del progetto. Ad esempio, potrebbe avere il seguente aspetto:
etag: '"d3e779ee3f34f276"' name: projects/123456789012/locations/global/recommenders/google.iam.policy.Recommender/config recommenderGenerationConfig: params: minimum_observation_period: P90D revisionId: DEFAULT updateTime: '2022-10-02T22:57:33Z'
Per ottenere la configurazione del motore per suggerimenti IAM di un progetto, utilizza il metodo
projects.locations.recommenders.getConfig
dell'API Recommender.
Prima di utilizzare i dati della richiesta, apporta le seguenti sostituzioni:
PROJECT_NUMBER
: l'ID numerico del Google Cloud progetto.PROJECT_ID
: il tuo Google Cloud ID progetto. Gli ID progetto sono stringhe alfanumeriche, comemy-project
.
Metodo HTTP e URL:
GET https://recommender.googleapis.com/v1beta1/projects/PROJECT_NUMBER /locations/global/recommenders/google.iam.policy.Recommender/config
Per inviare la richiesta, espandi una di queste opzioni:
curl (Linux, macOS o Cloud Shell)
Esegui questo comando:
curl -X GET \
-H "Authorization: Bearer $(gcloud auth print-access-token)" \
-H "x-goog-user-project:PROJECT_ID " \
"https://recommender.googleapis.com/v1beta1/projects/PROJECT_NUMBER /locations/global/recommenders/google.iam.policy.Recommender/config"
PowerShell (Windows)
Esegui questo comando:
$cred = gcloud auth print-access-token
$headers = @{ "Authorization" = "Bearer $cred"; "x-goog-user-project" = "PROJECT_ID " }
Invoke-WebRequest `
-Method GET `
-Headers $headers `
-Uri "https://recommender.googleapis.com/v1beta1/projects/PROJECT_NUMBER /locations/global/recommenders/google.iam.policy.Recommender/config" | Select-Object -Expand Content
La risposta contiene la configurazione del motore per suggerimenti IAM del progetto. Ad esempio, potrebbe avere il seguente aspetto:
{ "name": "projects/123456789012/locations/global/recommenders/google.iam.policy.Recommender/config", "recommenderGenerationConfig": { "params": { "minimum_observation_period": "P90D" } }, "etag": "\"d3e779ee3f34f276\"", "updateTime": "2022-10-02T22:57:33Z", "revisionId": "DEFAULT" }
Informazioni sui dettagli di configurazione
I contenuti di una configurazione dipendono dal recommender per cui è stata creata. Le configurazioni del Recommender IAM hanno i seguenti componenti, non necessariamente in questo ordine:
name
: l'identificatore della configurazione, nel formatoprojects/PROJECT_NUMBER/locations/global/recommenders/google.iam.policy.Recommender/config
.recommenderGenerationConfig
: i parametri utilizzati dal motore per suggerimenti IAM per generare consigli. Questo campo contiene i seguenti parametri:minimum_observation_period
: il numero di giorni di dati di utilizzo delle autorizzazioni di cui il motore per suggerimenti IAM ha bisogno per iniziare a generare consigli sui ruoli.
etag
: un identificatore per lo stato corrente di una configurazione, utilizzato per impedire aggiornamenti simultanei. Ogni volta che la configurazione cambia, viene assegnato un nuovo valore ETag.updateTime
: il timestamp dell'ora più recente in cui è stata aggiornata la configurazione, in formato UTC (RFC 3339).revisionId
: solo output. Un identificatore per la revisione corrente della configurazione. Questo valore viene aggiornato ogni volta che la configurazione viene modificata.
Modificare la configurazione
Modifica la configurazione per modificare la velocità di generazione dei consigli per il tuo progetto.
Per modificare la configurazione del motore per suggerimenti IAM di un progetto, utilizza il comando
gcloud beta recommender recommender-config update
.
Prima di utilizzare i dati dei comandi riportati di seguito, effettua le seguenti sostituzioni:
-
OBSERVATION_PERIOD
: il periodo di osservazione minimo che vuoi impostare. Utilizza uno dei seguenti valori:P30D
(30 giorni),P60D
(60 giorni) oP90D
(90 giorni). -
ETAG
: l'etag corrente della configurazione, che puoi trovare ottenendo la configurazione attuale e copiando il valore del campoetag
della risposta. PROJECT_ID
: il tuo Google Cloud ID progetto. Gli ID progetto sono stringhe alfanumeriche, comemy-project
.
Salva i seguenti contenuti in un file denominato request.json
:
{ "params": { "minimum_observation_period": "OBSERVATION_PERIOD " } }
Esegui il comando gcloud beta recommender recommender-config update:
Linux, macOS o Cloud Shell
gcloud beta recommender recommender-config update \ google.iam.policy.Recommender \ --etag="ETAG " \ --project="PROJECT_ID " \ --location="global" \ --config-file="request.json"
Windows (PowerShell)
gcloud beta recommender recommender-config update ` google.iam.policy.Recommender ` --etag="ETAG " ` --project="PROJECT_ID " ` --location="global" ` --config-file="request.json"
Windows (cmd.exe)
gcloud beta recommender recommender-config update ^ google.iam.policy.Recommender ^ --etag="ETAG " ^ --project="PROJECT_ID " ^ --location="global" ^ --config-file="request.json"
La risposta contiene la configurazione aggiornata. Ad esempio, potrebbe avere il seguente aspetto:
etag: '"2549af0942332910"' name: projects/123456789012/locations/global/recommenders/google.iam.policy.Recommender/config recommenderGenerationConfig: params: minimum_observation_period: P60D revisionId: 288c60eb updateTime: '2022-10-05T21:42:21.069170Z'
Per modificare la configurazione del motore per suggerimenti IAM di un progetto, utilizza il metodo projects.locations.recommenders.updateConfig
dell'API Recommender.
Prima di utilizzare i dati della richiesta, apporta le seguenti sostituzioni:
PROJECT_NUMBER
: l'ID numerico del Google Cloud progetto.-
OBSERVATION_PERIOD
: il periodo di osservazione minimo che vuoi impostare. Utilizza uno dei seguenti valori:P30D
(30 giorni),P60D
(60 giorni) oP90D
(90 giorni). -
ETAG
: l'etag corrente della configurazione, che puoi trovare ottenendo la configurazione attuale e copiando il valore del campoetag
della risposta. Utilizza le barre di fuga per eseguire l'escape delle virgolette, ad esempio"\"df7308cca9719dcc\""
. PROJECT_ID
: il tuo Google Cloud ID progetto. Gli ID progetto sono stringhe alfanumeriche, comemy-project
.
Metodo HTTP e URL:
PATCH https://recommender.googleapis.com/v1beta1/projects/PROJECT_NUMBER /locations/global/recommenders/google.iam.policy.Recommender/config
Corpo JSON della richiesta:
{ "name": "projects/PROJECT_NUMBER /locations/global/recommenders/google.iam.policy.Recommender/config", "recommenderGenerationConfig": { "params": { "minimum_observation_period": "OBSERVATION_PERIOD " } }, "etag": "ETAG " }
Per inviare la richiesta, espandi una di queste opzioni:
curl (Linux, macOS o Cloud Shell)
Salva il corpo della richiesta in un file denominato request.json
,
quindi esegui il comando seguente:
curl -X PATCH \
-H "Authorization: Bearer $(gcloud auth print-access-token)" \
-H "x-goog-user-project:PROJECT_ID " \
-H "Content-Type: application/json; charset=utf-8" \
-d @request.json \
"https://recommender.googleapis.com/v1beta1/projects/PROJECT_NUMBER /locations/global/recommenders/google.iam.policy.Recommender/config"
PowerShell (Windows)
Salva il corpo della richiesta in un file denominato request.json
,
quindi esegui il comando seguente:
$cred = gcloud auth print-access-token
$headers = @{ "Authorization" = "Bearer $cred"; "x-goog-user-project" = "PROJECT_ID " }
Invoke-WebRequest `
-Method PATCH `
-Headers $headers `
-ContentType: "application/json; charset=utf-8" `
-InFile request.json `
-Uri "https://recommender.googleapis.com/v1beta1/projects/PROJECT_NUMBER /locations/global/recommenders/google.iam.policy.Recommender/config" | Select-Object -Expand Content
Explorer API (browser)
Copia il corpo della richiesta e apri la pagina di riferimento del metodo. Sul lato destro della pagina si apre il riquadro Esplora API. Puoi interagire con questo strumento per inviare richieste. Incolla il corpo della richiesta in questo strumento, compila gli altri campi obbligatori e fai clic su Esegui.
La risposta contiene la configurazione aggiornata. Ad esempio, potrebbe avere il seguente aspetto:
{ "name": "projects/123456789012/locations/global/recommenders/google.iam.policy.Recommender/config", "recommenderGenerationConfig": { "params": { "minimum_observation_period": "P60D" } }, "etag": "\"2549af0942332910\"", "updateTime": "2022-10-05T21:26:52.127512Z", "revisionId": "b5fc0053" }
Passaggi successivi
- Esamina e applica i consigli sui ruoli per progetti, cartelle e organizzazioni.
- Esamina e applica i suggerimenti sui ruoli per i bucket Cloud Storage
- Scopri di più su Recommender.