Escribe análisis de políticas en Cloud Storage

En esta página, se explica cómo analizar las políticas Identity and Access Management (IAM) de forma asíncrona y escribir resultados en Cloud Storage. En general, la funcionalidad es equivalente a analizar políticas de IAM, excepto que el resultado del análisis se escribe en un depósito de Cloud Storage.

Antes de comenzar

Habilita Cloud Asset API.

Habilita la API

Debes habilitar la API en el proyecto o la organización que usarás para enviar la consulta. No tiene que ser el mismo recurso al que defines tu consulta.

Roles y permisos requeridos

Se requieren las siguientes funciones y permisos para ejecutar un análisis de políticas y exportar los resultados a Cloud Storage.

Roles de IAM obligatorios

Si deseas obtener los permisos que necesitas para analizar una política y exportar los resultados a BigQuery, pídele a tu administrador que te otorgue los siguientes roles de IAM en el proyecto, la carpeta o la organización a los que aplicarás la consulta:

• Visualizador de recursos de Cloud (roles/cloudasset.viewer)
• Creador de objetos de Storage (roles/storage.objectCreator)
• Para analizar políticas con roles de IAM personalizados, haz lo siguiente: Visualizador de roles (roles/iam.roleViewer)
• Si quieres usar Google Cloud CLI para analizar políticas, haz lo siguiente: Consumidor de Service Usage (roles/serviceusage.serviceUsageConsumer)

Si quieres obtener más información para otorgar roles, consulta Administra el acceso.

Estas funciones predefinidas contienen los permisos necesarios para analizar una política y exportar los resultados a BigQuery. Para ver los permisos exactos que son necesarios, expande la sección Permisos requeridos:

Permisos necesarios

Se requieren los siguientes permisos para analizar una política y exportar los resultados a BigQuery:

• cloudasset.assets.analyzeIamPolicy
• cloudasset.assets.searchAllResources
• cloudasset.assets.searchAllIamPolicies
• storage.objects.create
• Para analizar políticas con roles de IAM personalizados, sigue estos pasos: iam.roles.get
• Si quieres usar Google Cloud CLI para analizar políticas, sigue estos pasos: serviceusage.services.use

También puedes obtener estos permisos con roles personalizados o, también, otros roles predefinidos.

Permisos necesarios de Google Workspace

Si quieres ver si una principal tiene ciertos roles o permisos como resultado de su membresía en un grupo de Google Workspace, necesitas el permiso groups.read de Google Workspace. Este permiso está incluido en la función de administrador de lectores de grupos y en funciones más potentes, como las de administrador de grupos o administrador avanzado. Consulta Asigna roles de administrador específicos para obtener más información.

Analiza las políticas y exporta los resultados

El método AnalyzeIamPolicyLongrunning te permite emitir una solicitud de análisis y obtener resultados en el bucket de Cloud Storage especificado.

gcloud

Antes de usar cualquiera de los datos de comando a continuación, haz los siguientes reemplazos:

• RESOURCE_TYPE: Es el tipo de recurso al que deseas definir el alcance de la búsqueda. Solo se analizarán las políticas de permiso de IAM vinculadas a este recurso y a sus elementos subordinados. Usa el valor project, folder o organization.
• RESOURCE_ID: Es el ID del proyecto, la carpeta o la organización de Google Cloud al que deseas definir el alcance de la búsqueda. Solo se analizarán las políticas de permiso de IAM vinculadas a este recurso y a sus elementos subordinados. Los ID de proyecto son strings alfanuméricas, como my-project. Los ID de carpeta y organización son numéricos, como 123456789012.
• PRINCIPAL: Es la principal cuyo acceso deseas analizar, en el formato PRINCIPAL_TYPE:ID, por ejemplo, user:[e-mail]. Para obtener una lista completa de los tipos de principales, consulta Identificadores de principales.
• PERMISSIONS: Es una lista separada por comas de los permisos que deseas verificar, por ejemplo, compute.instances.get,compute.instances.start. Si enumeras varios permisos, el Analizador de políticas verificará cualquiera de los que se enumeran.
• STORAGE_OBJECT_URI: Es el identificador de recurso único del objeto de Cloud Storage al que deseas exportar los resultados del análisis, con el formato gs://BUCKET_NAME/OBJECT_NAME, por ejemplo, gs://my-bucket/analysis.json.

Nota: Si quieres resultados de consulta más detallados, puedes habilitar las opciones avanzadas.

Ejecuta el comando gcloud asset analyze-iam-policy-longrunning:

Linux, macOS o Cloud Shell

Nota: Asegúrate de haber inicializado Google Cloud CLI con autenticación y un proyecto mediante la ejecución de gcloud init o gcloud auth login y gcloud config set project.

gcloud asset analyze-iam-policy-longrunning --RESOURCE_TYPE=RESOURCE_ID \
    --full-resource-name=FULL_RESOURCE_NAME \
    --identity=PRINCIPAL \
    --permissions='PERMISSIONS' \
    --gcs-output-path=STORAGE_OBJECT_URI

Windows (PowerShell)

Nota: Asegúrate de haber inicializado Google Cloud CLI con autenticación y un proyecto mediante la ejecución de gcloud init o gcloud auth login y gcloud config set project.

gcloud asset analyze-iam-policy-longrunning --RESOURCE_TYPE=RESOURCE_ID `
    --full-resource-name=FULL_RESOURCE_NAME `
    --identity=PRINCIPAL `
    --permissions='PERMISSIONS' `
    --gcs-output-path=STORAGE_OBJECT_URI

Windows (cmd.exe)

Nota: Asegúrate de haber inicializado Google Cloud CLI con autenticación y un proyecto mediante la ejecución de gcloud init o gcloud auth login y gcloud config set project.

Nota: Si este comando usa ' para el contenido de comillas, reemplaza estas comillas simples por comillas dobles. Si las comillas están anidadas, usa \" para escapar las comillas internas.

gcloud asset analyze-iam-policy-longrunning --RESOURCE_TYPE=RESOURCE_ID ^
    --full-resource-name=FULL_RESOURCE_NAME ^
    --identity=PRINCIPAL ^
    --permissions='PERMISSIONS' ^
    --gcs-output-path=STORAGE_OBJECT_URI

Deberías recibir una respuesta similar a la que figura a continuación:

Analyze IAM Policy in progress.
Use [gcloud asset operations describe projects/my-project/operations/AnalyzeIamPolicyLongrunning/1195028485971902504711950280359719028666] to check the status of the operation.

REST

Para analizar una política de permisos de IAM y exportar los resultados a Cloud Storage, usa el método analyzeIamPolicyLongrunning de la API de Cloud Asset Inventory.

Antes de usar cualquiera de los datos de solicitud a continuación, realiza los siguientes reemplazos:

• RESOURCE_TYPE: Es el tipo de recurso al que deseas definir el alcance de la búsqueda. Solo se analizarán las políticas de permiso de IAM vinculadas a este recurso y a sus elementos subordinados. Usa el valor projects, folders o organizations.
• RESOURCE_ID: Es el ID del proyecto, la carpeta o la organización de Google Cloud al que deseas definir el alcance de la búsqueda. Solo se analizarán las políticas de permiso de IAM vinculadas a este recurso y a sus elementos subordinados. Los ID de proyecto son strings alfanuméricas, como my-project. Los ID de carpeta y organización son numéricos, como 123456789012.
• FULL_RESOURCE_NAME: Opcional El nombre completo del recurso para el que quieres analizar el acceso. Para obtener una lista de los formatos de nombre de recurso completos, consulta Formato de nombre de recurso.
• PRINCIPAL: Opcional La principal cuyo acceso deseas analizar, en el formato PRINCIPAL_TYPE:ID, por ejemplo, user:[e-mail]. Para obtener una lista completa de los tipos de principales, consulta Identificadores de principales.
• PERMISSION_1, PERMISSION_2... PERMISSION_N: Opcional. Los permisos que deseas verificar, por ejemplo, compute.instances.get Si enumeras varios permisos, el Analizador de políticas verificará cualquiera de los que se enumeran.
• STORAGE_OBJECT_URI: Es el identificador de recurso único del objeto de Cloud Storage al que deseas exportar los resultados del análisis, con el formato gs://BUCKET_NAME/OBJECT_NAME, por ejemplo, gs://my-bucket/analysis.json.

Nota: Si quieres resultados de consulta más detallados, puedes habilitar las opciones avanzadas.

Método HTTP y URL:

POST https://cloudasset.googleapis.com/v1/RESOURCE_TYPE/RESOURCE_ID:analyzeIamPolicyLongrunning

Cuerpo JSON de la solicitud:

{
  "analysisQuery": {
    "resourceSelector": {
      "fullResourceName": "FULL_RESOURCE_NAME"
    },
    "identitySelector": {
      "identity": "PRINCIPAL"
    },
    "accessSelector": {
      "permissions": [
        "PERMISSION_1",
        "PERMISSION_2",
        "PERMISSION_N"
      ]
    },
    "outputConfig": {
      "gcsDestination": {
        "uri": "STORAGE_OBJECT_URI"
      }
    }
  }
}

Para enviar tu solicitud, expande una de estas opciones:

curl (Linux, macOS o Cloud Shell)

Nota: Con el siguiente comando, se supone que accediste a la CLI de gcloud con tu cuenta de usuario a través de la ejecución de gcloud init o gcloud auth login, o a través del uso de Cloud Shell, que accede de forma automática a la CLI de gcloud. Para comprobar la cuenta activa actual, ejecuta gcloud auth list.

Guarda el cuerpo de la solicitud en un archivo llamado request.json y ejecuta el siguiente comando:

curl -X POST \
     -H "Authorization: Bearer $(gcloud auth print-access-token)" \
     -H "Content-Type: application/json; charset=utf-8" \
     -d @request.json \
     "https://cloudasset.googleapis.com/v1/RESOURCE_TYPE/RESOURCE_ID:analyzeIamPolicyLongrunning"

PowerShell (Windows)

Nota: El siguiente comando supone que accediste a la CLI de gcloud con tu cuenta de usuario mediante la ejecución de gcloud init o gcloud auth login. Para comprobar la cuenta activa actual, ejecuta gcloud auth list.

Guarda el cuerpo de la solicitud en un archivo llamado request.json y ejecuta el siguiente comando:

$cred = gcloud auth print-access-token
$headers = @{ "Authorization" = "Bearer $cred" }

Invoke-WebRequest `
    -Method POST `
    -Headers $headers `
    -ContentType: "application/json; charset=utf-8" `
    -InFile request.json `
    -Uri "https://cloudasset.googleapis.com/v1/RESOURCE_TYPE/RESOURCE_ID:analyzeIamPolicyLongrunning" | Select-Object -Expand Content

Explorador de APIs (navegador)

Copia el cuerpo de la solicitud y abre la página de referencia del método. El panel del Explorador de API se abre en la parte derecha de la página. Puedes interactuar con esta herramienta para enviar solicitudes. Pega el cuerpo de la solicitud en esta herramienta, completa cualquier otro campo obligatorio y haz clic en Ejecutar.

Deberías recibir una respuesta JSON similar a la que se muestra a continuación:

{
  "name": "projects/my-project/operations/AnalyzeIamPolicyLongrunning/1206385342502762515812063858425027606003",
  "metadata": {
    "@type": "type.googleapis.com/google.cloud.asset.v1.AnalyzeIamPolicyLongrunningMetadata",
    "createTime": "2022-04-12T21:31:10.753173929Z"
  }
}

Ver los resultados del análisis de las políticas de IAM

Para ver los resultados del análisis de las políticas de IAM, sigue estos pasos:

1. En la consola de Google Cloud, ve a la página Buckets.

   Ir a Buckets

2. Abre el archivo nuevo al que exportaste tu análisis.

Los resultados muestran las tuplas de {identity, role(s)/permission(s), resource} junto con las políticas de IAM que generan esas tuplas.