A ferramenta Análise de políticas permite que você descubra quais principais (por exemplo, usuários, contas de serviço, grupos e domínios) têm qual acesso a quais recursos do Google Cloud com base nas políticas de permissão do IAM.
a ferramenta Análise de políticas políticas ajuda a responder perguntas como estas:
- Quem pode acessar esta conta de serviço do IAM?
- Quem pode ler os dados neste conjunto do BigQuery que contêm informações de identificação pessoal (PII)?
- Que papéis e permissões o grupo
dev-testers
tem em qualquer recurso neste projeto? - Que instâncias de máquina virtual (VM) do Compute Engine o Tal pode excluir no projeto A?
- Quem pode acessar esse bucket do Cloud Storage às 19h?
Como a ferramenta Análise de políticas funciona
Para usar a ferramenta Análise de políticas políticas, crie uma consulta de análise, especifique um escopo para ela e execute a consulta.
Consultas de análise
Para usar a ferramenta Análise de políticas políticas, crie uma consulta de análise especificando um ou mais dos seguintes campos:
- Principais: as identidades (por exemplo, usuários, contas de serviço, grupos e domínios) com o acesso que você quer verificar
- Acesso: as permissões e os papéis que você quer verificar
- Recursos: os recursos aos quais você quer verificar o acesso.
- (Somente API) Contexto da condição: o contexto, por exemplo, a hora do dia, em que você quer verificar o acesso.
Normalmente, você especifica um ou dois desses campos na consulta de análise e, em seguida, usa os resultados da consulta para conseguir mais informações sobre os campos que não especificou. Por exemplo, para saber quem tem determinada permissão em um recurso específico, especifique o acesso e o recurso na consulta de análise, mas não o principal.
Para ver mais exemplos dos tipos de consultas que podem ser criadas, consulte Tipos de consulta comuns.
Escopo da análise
Para executar uma consulta de análise, você precisa especificar um escopo a ser analisado. O escopo é uma organização, uma pasta ou um projeto ao qual você quer restringir sua análise. Serão analisadas apenas as políticas de permissão do IAM anexadas ao recurso usado como escopo e aos descendentes dele.
Na API REST e CLI gcloud, você especifica o escopo manualmente. No console do Google Cloud, o escopo é determinado automaticamente com base no projeto, na pasta ou na organização que você está gerenciando no momento.
Depois de criar uma consulta de análise e especificar o escopo, execute a consulta para analisar políticas nesse escopo.
Resultados da consulta
Quando você executa uma consulta de análise, a Análise de políticas informa todas as vinculações de papéis que contenham os principais, o acesso e os recursos especificados na consulta. Para cada vinculação de papel, ela informa os principais na vinculação, o acesso (papel e permissões) que a vinculação concede e o recurso a que a vinculação concede acesso.
Você pode analisar esses resultados para entender melhor o acesso no seu projeto, pasta ou organização. Por exemplo, se você executar uma consulta para descobrir quais principais têm acesso a um recurso específico, revise os principais nos resultados da consulta.
Ative as opções de consulta para ajustar as informações nos resultados da consulta.
Tipos de políticas compatíveis
A ferramenta Análise de políticas do IAM só oferece suporte às políticas de permissão do IAM.
A ferramenta Análise de políticas políticas não é compatível com as seguintes formas de controle de acesso:
- Políticas de negação do IAM
- Controle de acesso baseado em papéis do Google Kubernetes Engine
- Listas de controle de acesso do Cloud Storage
- Prevenção do acesso público do Cloud Storage
Os resultados da consulta da ferramenta Análise de políticas políticas não consideram tipos de políticas incompatíveis. Por
exemplo, imagine que um usuário tenha a permissão iam.roles.get
em um projeto
devido a uma política de permissão, mas uma política de negação impede que ele use a
permissão. A ferramenta vai informar que tem a permissão iam.roles.get
, apesar da política de negação.
Herança de políticas
Para considerar a herança de políticas, a ferramenta analisa automaticamente todas as políticas de permissão relevantes no escopo especificado, independente de onde elas estejam na hierarquia de recursos.
Por exemplo, imagine que você está tentando descobrir quem pode acessar uma conta de serviço do IAM:
- Se você definir o escopo da consulta para um projeto, a Análise de políticas vai analisar a política de permissão da conta de serviço e a política de permissão do projeto.
- Se você definir o escopo da consulta para uma organização, a ferramenta analisará a política de permissão da conta de serviço, a política de permissão do projeto proprietário da conta de serviço, as políticas de permissão de qualquer pasta que contenha o projeto e a política de permissão da organização.
Acesso condicional
Se uma vinculação de papel tiver uma condição, ela só concederá acesso principal quando essa condição for atendida. A Análise de políticas sempre relata condições vinculadas a vinculações de papéis relevantes. As vinculações de papéis relevantes são aquelas que contêm os principais, o acesso e os recursos especificados na consulta de análise.
Em alguns casos, a ferramenta também pode analisar a condição, o que significa que ela informa se a condição seria atendida. A ferramenta Análise de políticas políticas pode analisar os seguintes tipos de condições:
- Condições baseadas em atributos de recurso, para tipos de recursos que fornecem um nome de recurso.
- Condições de data/hora (somente API e CLI gcloud). Para que a ferramenta Análise de políticas políticas analise essas condições, você precisa informar
o horário do acesso (
accessTime
) na consulta de análise. Para saber como fornecer esse contexto, consulte Determinar o acesso em um momento específico.
Se uma vinculação de papel relevante contiver uma condição, a ferramenta Análise de políticas políticas realizará uma das seguintes ações:
Se a ferramenta Análise de políticas políticas puder analisar a condição, ela realizará uma das seguintes ações:
- Se a condição for avaliada como verdadeira, a Análise de políticas vai incluir a vinculação
de papel nos resultados da consulta e marcar a avaliação da condição como
TRUE
. - Se a condição for avaliada como falsa, a Análise de políticas não vai incluir o papel nos resultados da consulta.
- Se a condição for avaliada como verdadeira, a Análise de políticas vai incluir a vinculação
de papel nos resultados da consulta e marcar a avaliação da condição como
Se a ferramenta não conseguir analisar uma condição para uma vinculação de papel relevante, ela vai incluir o papel nos resultados da consulta e marcar a avaliação da condição como
CONDITIONAL
.
Atualização de dados
A ferramenta Análise de políticas usa a API Cloud Asset, que oferece a melhor atualização de dados possível. Embora quase todas as atualizações de políticas apareçam na ferramenta em questão de minutos, é possível que a ferramenta não inclua as atualizações mais recentes.
Tipos de consulta comuns
Nesta seção, descrevemos como usar consultas de análise para responder a perguntas comuns relacionadas ao acesso.
Quais principais podem acessar este recurso?
Para determinar quais principais podem acessar um recurso, crie uma consulta de análise que especifique o recurso e, opcionalmente, os papéis e as permissões que você quer verificar.
Essas consultas podem ajudar a responder perguntas como as seguintes:
- Quem tem acesso a esta conta de serviço do IAM?
- Quem tem permissão para personificar essa conta de serviço do IAM?
- Quem são os administradores de faturamento no projeto A?
- (Somente API e CLI gcloud): quem pode atualizar o projeto A representando uma conta de serviço?
Para saber como criar e enviar essas consultas, consulte Determinar quais principais podem acessar um recurso.
Quais principais têm esses papéis e permissões?
Para determinar quais principais têm determinados papéis e permissões, crie uma consulta de análise que especifique um principal e um conjunto de papéis e permissões que você quer verificar.
Essas consultas podem ajudar a responder perguntas como as seguintes:
- Quem tem permissão para personificar contas de serviço na minha organização?
- Quem são os administradores de faturamento da minha organização?
- Quem pode ler os dados neste conjunto do BigQuery que contêm informações de identificação pessoal (PII)?
- (Somente API e CLI gcloud): quem na minha organização pode ler um conjunto de dados do BigQuery personificando uma conta de serviço?
Para saber como criar e enviar essas consultas, consulte Determinar quais principais têm determinados papéis ou permissões.
Que papéis e permissões o principal tem nesse recurso?
Para determinar quais papéis e permissões um principal tem em um recurso específico, crie uma consulta de análise que especifique um principal e um recurso em que você quer verificar as permissões.
Essas consultas podem ajudar a responder perguntas como as seguintes:
- Quais são os papéis e as permissões que a usuária Sasha tem nesse conjunto de dados do BigQuery?
- Que papéis e permissões o grupo
dev-testers
tem em qualquer recurso neste projeto? - (Somente API e CLI gcloud): quais papéis e permissões o usuário Dana terá nesse conjunto de dados do BigQuery se ela representar uma conta de serviço?
Para saber como criar e enviar essas consultas, consulte Determinar qual acesso uma principal tem em um recurso.
A quais recursos este principal pode acessar?
Para determinar quais recursos um principal específico pode acessar, crie uma consulta de análise que especifique um principal e os papéis e permissões que você quer verificar.
Essas consultas podem ajudar a responder perguntas como as seguintes:
- Quais conjuntos de dados do BigQuery o usuário Mahan tem permissão para ler?
- De quais conjuntos de dados do BigQuery o grupo
dev-testers
é proprietário dos dados? - Quais VMs podem ser excluídas pelo Tal no projeto A?
- (Somente API e CLI gcloud): quais VMs o usuário John pode excluir representando uma conta de serviço?
Para saber como criar e enviar essas consultas, consulte Determinar quais recursos uma principal pode acessar.
Consultas de análises salvas
Se você estiver usando a API REST, poderá salvar consultas de análise para reutilizar ou compartilhar com outras pessoas. É possível executar uma consulta salva como faria com qualquer outra consulta.
Para saber mais sobre como salvar consultas, veja Gerenciar consultas salvas.
Exportar resultados da consulta
É possível executar consultas de forma assíncrona e exportar os resultados da consulta para o BigQuery ou o Cloud Storage usando analyzeIamPolicyLongrunning
.
Para saber como exportar os resultados da consulta para o BigQuery, consulte Gravar análise de política no BigQuery.
Para saber como exportar os resultados da consulta para o Cloud Storage, consulte Gravar análise de política no Cloud Storage.
Opções de consulta
A ferramenta Análise de políticas políticas oferece várias opções que adicionam mais detalhes aos resultados da consulta.
Para saber como ativar essas opções, consulte Ativar opções.
Expansão do grupo
Se você ativar a expansão de grupo, todos os grupos nos resultados da consulta serão expandidos para membros individuais. Essa expansão é limitada a 1.000 membros por grupo. Se você tiver permissões de grupo suficientes, os grupos aninhados também serão expandidos. Essa opção só é eficaz se você não especificar um principal na consulta.
Por exemplo, imagine que você ativou a expansão de grupo para a consulta "Quem tem a
permissão storage.buckets.delete
para project-1
?" Se a Análise de políticas encontrar
algum grupo que tenha a permissão storage.buckets.delete
, os resultados
vão listar não apenas o identificador do grupo, mas também todos os membros individuais do
grupo.
Essa opção permite entender o acesso dos usuários individuais, mesmo que esse acesso seja resultado da participação deles em um grupo.
Expansão de papéis
Se você ativar a expansão de papel, os resultados da consulta listarão todas as permissões dentro de cada papel, além do próprio papel. Essa opção só estará disponível se você não especificar permissões ou papéis na consulta.
Por exemplo, imagine que você ativou a expansão de papel para a consulta "Qual acesso tem
my-user@example.com
no bucket bucket-1
?" Se a Análise de políticas encontrar
algum papel que dê acesso a my-user@example.com
para bucket-1
, os resultados
da consulta vão listar não apenas o nome do papel, mas também todas as permissões incluídas
nele.
Essa opção permite ver exatamente quais permissões seus principais têm.
Expansão de recursos
Se você ativar a expansão de recursos para uma consulta da ferramenta Análise de políticas políticas, os resultados mostrarão todos os recursos descendentes relevantes de qualquer recurso pai (projetos, pastas e organizações) nos resultados da consulta. Essa expansão é limitada a 1.000 recursos por recurso pai para consultas da Análise de políticas e 100.000 recursos por recurso pai para consultas de longa duração dessa ferramenta.
Por exemplo, considere como a expansão de recursos afetaria as seguintes consultas:
Quem tem a permissão
storage.buckets.delete
paraproject-1
?Se você ativar a expansão de recursos para essa consulta, a seção de recursos dos resultados da consulta vai listar não apenas o projeto, mas também todos os buckets de armazenamento dentro dele.
Em quais recursos
my-user@example.com
tem a permissãocompute.instances.setIamPolicy
?Se você ativar a expansão de recursos para esta consulta e a Análise de políticas descobrir que
my-user@example.com
tem um papel no nível do projeto que contém essa permissão, a seção de recursos dos resultados da consulta vai listar não apenas o projeto, mas também todas as instâncias do Compute Engine dentro do projeto.
Essa opção permite que você tenha uma compreensão detalhada dos recursos que seus principais podem acessar.
Identidade temporária de conta de serviço
Se você estiver usando a API REST ou a CLI gcloud, poderá ativar a análise da representação da conta de serviço.
Se essa opção estiver ativada, a ferramenta vai executar outras consultas de análise para determinar quem pode representar as contas de serviço com o acesso especificado aos recursos especificados. A Análise de políticas executa uma consulta para cada conta de serviço nos resultados. Essas consultas analisam quem tem qualquer uma das seguintes permissões na conta de serviço:
iam.serviceAccounts.actAs
iam.serviceAccounts.getAccessToken
iam.serviceAccounts.getOpenIdToken
iam.serviceAccounts.implicitDelegation
iam.serviceAccounts.signBlob
iam.serviceAccounts.signJwt
Cotas e limites
O Inventário de recursos do Cloud aplica a taxa de solicitações recebidas, incluindo solicitações de análise de política, com base no projeto do consumidor. O Inventário de recursos do Cloud também limita a expansão de grupos dentro das associações a grupos e a expansão de recursos na hierarquia de recursos.
Para ver as cotas e os limites padrão da ferramenta Análise de políticas políticas, consulte Cotas e limites na documentação do Inventário de recursos do Cloud.
Preços
Cada organização pode executar até 20 consultas de análise por dia sem custo financeiro. Esse limite inclui a análise de políticas de permissão e de políticas da organização.
Se quiser executar mais de 20 consultas de análise por dia, você precisará ter uma ativação no nível da organização do nível premium do Security Command Center. Para mais informações, consulte Perguntas sobre faturamento.
A seguir
- Saiba como usar a ferramenta para analisar uma política de permissão.
- Confira como usar a API REST para salvar consultas de análise de política.