將政策分析結果寫入 Cloud Storage

本頁說明如何以非同步方式分析 Identity and Access Management (IAM) 政策，並將分析結果寫入 Cloud Storage。這項功能與分析 IAM 政策大致相同，但分析結果會寫入 Cloud Storage 值區。

事前準備

Enable the Cloud Asset API.

Enable the API

您必須在用於傳送查詢的專案中啟用 API。這不一定要是您查詢範圍內的資源。

必要角色和權限

如要執行政策分析並將結果匯出至 Cloud Storage，您必須具備下列角色和權限。

必要 IAM 角色

如要取得分析政策及將結果匯出至 BigQuery 所需的權限，請要求管理員在您要將查詢範圍限定為的專案、資料夾或機構中，授予下列 IAM 角色：

• Cloud Asset Viewer (roles/cloudasset.viewer)
• Storage 物件建立者 (roles/storage.objectCreator)
• 如要分析含有自訂 IAM 角色的政策： 角色檢視者 (roles/iam.roleViewer)
• 如要使用 Google Cloud CLI 分析政策，請按照下列步驟操作： 服務用量消費者 (roles/serviceusage.serviceUsageConsumer)

如要進一步瞭解如何授予角色，請參閱「管理專案、資料夾和機構的存取權」。

這些預先定義的角色具備分析政策，以及將結果匯出至 BigQuery 所需的權限。如要查看確切的必要權限，請展開「必要權限」部分：

所需權限

如要分析政策並將結果匯出至 BigQuery，必須具備下列權限：

• cloudasset.assets.analyzeIamPolicy
• cloudasset.assets.searchAllResources
• cloudasset.assets.searchAllIamPolicies
• storage.objects.create
• 如要使用自訂 IAM 角色分析政策，請按照下列步驟操作： iam.roles.get
• 如要使用 Google Cloud CLI 分析政策，請按照下列步驟操作： serviceusage.services.use

您或許還可透過自訂角色或其他預先定義的角色取得這些權限。

所需的 Google Workspace 權限

如要查看主體是否因加入 Google Workspace 群組而具備特定角色或權限，您需要 groups.readGoogle Workspace 權限。「群組讀者管理員」角色，以及「群組管理員」或「超級管理員」等更強大的角色，都具備這項權限。詳情請參閱「指派特定管理員角色」。

分析政策並匯出結果

AnalyzeIamPolicyLongrunning 方法可讓您發出分析要求，並在指定的 Cloud Storage 值區中取得結果。

gcloud

使用下列任何指令資料之前，請先替換以下項目：

• RESOURCE_TYPE：要將搜尋範圍限定於的資源類型。系統只會分析附加至這項資源及其後代的 IAM 允許政策。請使用 project、folder 或 organization 值。
• RESOURCE_ID：您要將搜尋範圍限定在其中的Google Cloud 專案、資料夾或機構的 ID。系統只會分析附加至這項資源及其後代的 IAM 允許政策。專案 ID 是英數字元字串，例如 my-project。資料夾和機構 ID 為數字，例如 123456789012。
• PRINCIPAL：您要分析存取權的主體，格式為 PRINCIPAL_TYPE:ID，例如 user:[e-mail]。如需主體類型的完整清單，請參閱「主體 ID」。
• PERMISSIONS：以半形逗號分隔的權限清單，列出您要檢查的權限，例如 compute.instances.get,compute.instances.start。如果您列出多項權限，政策分析工具會檢查是否列出任何權限。
• STORAGE_OBJECT_URI：要將分析結果匯出至的 Cloud Storage 物件專屬資源 ID，格式為 gs://BUCKET_NAME/OBJECT_NAME，例如 gs://my-bucket/analysis.json。

注意：如要取得更詳細的查詢結果，可以啟用進階選項。

執行 gcloud asset analyze-iam-policy-longrunning 指令：

Linux、macOS 或 Cloud Shell

注意： 請確認您已透過執行下列任一指令，初始化 Google Cloud CLI 的驗證和專案： gcloud init； 或 gcloud auth login 和 gcloud config set project。

gcloud asset analyze-iam-policy-longrunning --RESOURCE_TYPE=RESOURCE_ID \
    --full-resource-name=FULL_RESOURCE_NAME \
    --identity=PRINCIPAL \
    --permissions='PERMISSIONS' \
    --gcs-output-path=STORAGE_OBJECT_URI

Windows (PowerShell)

注意： 請確認您已透過執行下列任一指令，初始化 Google Cloud CLI 的驗證和專案： gcloud init； 或 gcloud auth login 和 gcloud config set project。

gcloud asset analyze-iam-policy-longrunning --RESOURCE_TYPE=RESOURCE_ID `
    --full-resource-name=FULL_RESOURCE_NAME `
    --identity=PRINCIPAL `
    --permissions='PERMISSIONS' `
    --gcs-output-path=STORAGE_OBJECT_URI

Windows (cmd.exe)

注意： 請確認您已透過執行下列任一指令，初始化 Google Cloud CLI 的驗證和專案： gcloud init； 或 gcloud auth login 和 gcloud config set project。

注意： 如果這個指令使用 ' 引號來引述內容， 請將這些單引號替換為雙引號。 如果引用內容是巢狀結構，請使用 \" 逸出內層引號。

gcloud asset analyze-iam-policy-longrunning --RESOURCE_TYPE=RESOURCE_ID ^
    --full-resource-name=FULL_RESOURCE_NAME ^
    --identity=PRINCIPAL ^
    --permissions='PERMISSIONS' ^
    --gcs-output-path=STORAGE_OBJECT_URI

您應該會收到類似以下的回應：

Analyze IAM Policy in progress.
Use [gcloud asset operations describe projects/my-project/operations/AnalyzeIamPolicyLongrunning/1195028485971902504711950280359719028666] to check the status of the operation.

REST

如要分析 IAM 允許政策並將結果匯出至 Cloud Storage，請使用 Cloud Asset Inventory API 的 analyzeIamPolicyLongrunning 方法。

使用任何要求資料之前，請先替換以下項目：

• RESOURCE_TYPE：要將搜尋範圍限定於的資源類型。系統只會分析附加至這項資源及其後代的 IAM 允許政策。請使用 projects、folders 或 organizations 值。
• RESOURCE_ID：您要將搜尋範圍限定在其中的Google Cloud 專案、資料夾或機構的 ID。系統只會分析附加至這項資源及其後代的 IAM 允許政策。專案 ID 是英數字元字串，例如 my-project。資料夾和機構 ID 為數字，例如 123456789012。
• FULL_RESOURCE_NAME：選用。您要分析存取權的資源完整資源名稱。如需完整資源名稱格式清單，請參閱「資源名稱格式」。
• PRINCIPAL：選用。 要分析存取權的主體，格式為 PRINCIPAL_TYPE:ID，例如 user:[e-mail]。如需主體類型的完整清單，請參閱「主體 ID」。
• PERMISSION_1、 PERMISSION_2... PERMISSION_N：選用。您要檢查的權限，例如 compute.instances.get。如果您列出多項權限，政策分析工具會檢查是否列出任何權限。
• STORAGE_OBJECT_URI：要將分析結果匯出至的 Cloud Storage 物件專屬資源 ID，格式為 gs://BUCKET_NAME/OBJECT_NAME，例如 gs://my-bucket/analysis.json。

注意：如要取得更詳細的查詢結果，可以啟用進階選項。

HTTP 方法和網址：

POST https://cloudasset.googleapis.com/v1/RESOURCE_TYPE/RESOURCE_ID:analyzeIamPolicyLongrunning

JSON 要求主體：

{
  "analysisQuery": {
    "resourceSelector": {
      "fullResourceName": "FULL_RESOURCE_NAME"
    },
    "identitySelector": {
      "identity": "PRINCIPAL"
    },
    "accessSelector": {
      "permissions": [
        "PERMISSION_1",
        "PERMISSION_2",
        "PERMISSION_N"
      ]
    },
    "outputConfig": {
      "gcsDestination": {
        "uri": "STORAGE_OBJECT_URI"
      }
    }
  }
}

如要傳送要求，請展開以下其中一個選項：

curl (Linux、macOS 或 Cloud Shell)

注意： 下列指令假設您已執行 gcloud init 或 gcloud auth login，透過使用者帳戶登入 gcloud CLI， 或使用 Cloud Shell，自動登入 gcloud CLI。 您可以執行 gcloud auth list 查看目前有效的帳戶。

將要求主體儲存在名為 request.json 的檔案中，然後執行下列指令：

curl -X POST \
     -H "Authorization: Bearer $(gcloud auth print-access-token)" \
     -H "Content-Type: application/json; charset=utf-8" \
     -d @request.json \
     "https://cloudasset.googleapis.com/v1/RESOURCE_TYPE/RESOURCE_ID:analyzeIamPolicyLongrunning"

PowerShell (Windows)

注意： 下列指令假設您已執行 gcloud init 或 gcloud auth login，透過使用者帳戶登入 gcloud CLI。 您可以執行 gcloud auth list 查看目前有效的帳戶。

將要求主體儲存在名為 request.json 的檔案中，然後執行下列指令：

$cred = gcloud auth print-access-token
$headers = @{ "Authorization" = "Bearer $cred" }

Invoke-WebRequest `
    -Method POST `
    -Headers $headers `
    -ContentType: "application/json; charset=utf-8" `
    -InFile request.json `
    -Uri "https://cloudasset.googleapis.com/v1/RESOURCE_TYPE/RESOURCE_ID:analyzeIamPolicyLongrunning" | Select-Object -Expand Content

APIs Explorer (瀏覽器)

複製要求內文並開啟方法參考資料頁面。系統會在頁面右側開啟 APIs Explorer 面板。您可以使用這項工具來傳送要求。將要求內文貼到這項工具中，並填妥其他必填欄位，然後按一下「Execute」(執行)。

您應該會收到如下的 JSON 回應：

{
  "name": "projects/my-project/operations/AnalyzeIamPolicyLongrunning/1206385342502762515812063858425027606003",
  "metadata": {
    "@type": "type.googleapis.com/google.cloud.asset.v1.AnalyzeIamPolicyLongrunningMetadata",
    "createTime": "2022-04-12T21:31:10.753173929Z"
  }
}

查看 IAM 政策分析結果

如要查看 IAM 政策分析結果，請按照下列步驟操作：

1. 前往 Google Cloud 控制台的「Bucket」頁面。

   前往「Buckets」(值區) 頁面

2. 開啟您撰寫分析的新檔案。

結果會列出元組，以及產生這些元組的 IAM 政策。{identity, role(s)/permission(s), resource}