Reveja e aplique recomendações de funções para contentores do Cloud Storage

Esta página explica como ver, compreender e aplicar recomendações de funções de IAM para contentores do Cloud Storage. As recomendações de funções ajudam a aplicar o princípio do menor privilégio, garantindo que os principais têm apenas as autorizações de que realmente precisam.

Antes de começar

  • Enable the IAM and Recommender APIs.

    Roles required to enable APIs

    To enable APIs, you need the Service Usage Admin IAM role (roles/serviceusage.serviceUsageAdmin), which contains the serviceusage.services.enable permission. Learn how to grant roles.

    Enable the APIs

  • Certifique-se de que tem uma ativação ao nível da organização ou do projeto do nível Premium ou Enterprise do Security Command Center. Para mais informações, consulte o artigo Perguntas sobre faturação.

  • Compreenda as recomendações de funções.

  • Configurar autenticação.

    Select the tab for how you plan to use the samples on this page:

    Console

    When you use the Google Cloud console to access Google Cloud services and APIs, you don't need to set up authentication.

    gcloud

    In the Google Cloud console, activate Cloud Shell.

    Activate Cloud Shell

    At the bottom of the Google Cloud console, a Cloud Shell session starts and displays a command-line prompt. Cloud Shell is a shell environment with the Google Cloud CLI already installed and with values already set for your current project. It can take a few seconds for the session to initialize.

    REST

    Para usar os exemplos da API REST nesta página num ambiente de desenvolvimento local, usa as credenciais que fornece à CLI gcloud.

      Instale a CLI Google Cloud. Após a instalação, inicialize a CLI gcloud executando o seguinte comando: 

      gcloud init

      Se estiver a usar um fornecedor de identidade (IdP) externo, primeiro tem de iniciar sessão na CLI gcloud com a sua identidade federada.

    Para mais informações, consulte o artigo Autenticar para usar REST na Google Cloud documentação de autenticação.

Funções de IAM necessárias

Para receber as autorizações de que precisa para gerir as recomendações de funções ao nível do contentor, peça ao seu administrador para lhe conceder as seguintes funções de IAM no projeto:

Para mais informações sobre a atribuição de funções, consulte o artigo Faça a gestão do acesso a projetos, pastas e organizações.

Estas funções predefinidas contêm as autorizações necessárias para gerir recomendações de funções ao nível do contentor. Para ver as autorizações exatas que são necessárias, expanda a secção Autorizações necessárias:

Autorizações necessárias

São necessárias as seguintes autorizações para gerir recomendações de funções ao nível do contentor:

  • Para ver recomendações:
    • iam.roles.get
    • iam.roles.list
    • recommender.iamPolicyRecommendations.get
    • recommender.iamPolicyRecommendations.list
    • recommender.iamPolicyInsights.get
    • recommender.iamPolicyInsights.list
    • storage.buckets.getIamPolicy
  • Para aplicar e ignorar recomendações:
    • recommender.iamPolicyRecommendations.update
    • storage.buckets.setIamPolicy

Também pode conseguir estas autorizações com funções personalizadas ou outras funções predefinidas.

Reveja e aplique recomendações

Pode rever e aplicar recomendações de funções ao nível do contentor com a CLI Google Cloud e a API Recommender.

Consola

  1. Na Google Cloud consola, aceda à página Recipientes do Cloud Storage.

    Aceda a Recipientes

  2. Encontre a coluna Estatísticas de segurança. Se a coluna não estiver visível, clique em Opções de apresentação de colunas e selecione Estatísticas de segurança.

    A coluna Estatísticas de segurança mostra um resumo de todas as estatísticas de políticas para um contentor. Cada resumo indica o número total de autorizações excessivas para todos os papéis concedidos nesse contentor.

    Se estiver disponível uma recomendação para resolver qualquer uma das estatísticas do grupo, a Google Cloud consola apresenta o ícone Recomendação disponível .

  3. Se existirem recomendações para rever, clique num resumo das estatísticas das políticas para abrir o painel Recomendações de segurança. Este painel apresenta todos os principais que têm uma função no contentor, as respetivas funções e quaisquer estatísticas de políticas associadas a essas funções.

  4. Clique no ícone de Recomendação disponível para ver detalhes sobre a recomendação.

    Se a recomendação for substituir a função, a recomendação de função sugere sempre um conjunto de funções predefinidas que pode aplicar.

    Em alguns casos, a recomendação de função também sugere a criação de uma nova função personalizada ao nível do projeto. Se estiver disponível uma recomendação de função personalizada, a consola apresenta-a por predefinição. Google Cloud Para mudar para a recomendação de função predefinida, clique em Ver função predefinida recomendada.

  5. Reveja cuidadosamente a recomendação e certifique-se de que compreende como vai alterar o acesso do principal aos Google Cloud recursos. Exceto no caso das recomendações para agentes de serviços, uma recomendação nunca aumenta o nível de acesso de um principal. Consulte o artigo Como são geradas as recomendações de funções para mais informações.

    Para saber como rever as recomendações na consola, consulte a secção Reveja as recomendações nesta página.

  6. Opcional: se a recomendação for criar uma função personalizada, atualize o título, a descrição, o ID e a fase de lançamento da função, conforme necessário.

    Se precisar de adicionar autorizações à função personalizada, clique em Adicionar autorizações.

    Se precisar de remover autorizações da função personalizada, desmarque a caixa de verificação de cada autorização que quer remover.

  7. Tome medidas com base na recomendação.

    Para aplicar a recomendação, clique em Aplicar ou Criar e aplicar. Se mudar de ideias nos próximos 90 dias, use o histórico de recomendações para reverter a sua escolha.

    Para ignorar a recomendação, clique em Ignorar e, de seguida, confirme a sua escolha. Pode restaurar uma recomendação ignorada, desde que a recomendação ainda seja válida.

  8. Repita os passos anteriores até rever todas as suas recomendações.

gcloud

Reveja as suas recomendações:

Para apresentar as recomendações ao nível do contentor, execute o comando gcloud recommender recommendations list filtrando apenas as recomendações de contentores do Cloud Storage:

gcloud recommender recommendations list \
    --location=LOCATION \
    --recommender=google.iam.policy.Recommender \
    --project=PROJECT_ID \
    --format=json \
    --filter="recommenderSubtype:REMOVE_ROLE_STORAGE_BUCKET OR recommenderSubtype:REPLACE_ROLE_STORAGE_BUCKET"

Substitua os seguintes valores:

  • LOCATION: a região onde os seus contentores do Cloud Storage estão localizados, por exemplo, us ou us-central1.
  • PROJECT_ID: o ID do Google Cloud projeto que contém os seus contentores do Cloud Storage. Os IDs dos projetos são strings alfanuméricas, como my-project.

A resposta é semelhante ao seguinte exemplo. Neste exemplo, todos os utilizadores autenticados (allAuthenticatedUsers) têm a função de leitor de objetos antigos do Storage (roles/storage.legacyObjectReader) no contentor mybucket. No entanto, esta função não foi usada nos últimos 90 dias. Como resultado, a recomendação de função sugere que revogue a função:

[
  {
    "associatedInsights": [
      {
        "insight": "projects/123456789012/locations/us/insightTypes/google.iam.policy.Insight/insights/7849add9-73c0-419e-b169-42b3671173fb"
      }
    ],
    "associatedResourceNames": [
      "//storage.googleapis.com/my-bucket"
    ],
    "content": {
      "operationGroups": [
        {
          "operations": [
            {
              "action": "remove",
              "path": "/iamPolicy/bindings/*/members/*",
              "pathFilters": {
                "/iamPolicy/bindings/*/condition/expression": "",
                "/iamPolicy/bindings/*/members/*": "allAuthenticatedUsers",
                "/iamPolicy/bindings/*/role": "roles/storage.legacyObjectReader"
              },
              "resource": "//storage.googleapis.com/my-bucket",
              "resourceType": "storage.googleapis.com/Bucket"
            }
          ]
        }
      ]
    },
    "description": "This role has not been used during the observation window.",
    "etag": "\"7caf4103d7669e12\"",
    "lastRefreshTime": "2022-05-24T07:00:00Z",
    "name": "projects/123456789012/locations/us/recommenders/google.iam.policy.Recommender/recommendations/fbc885b7-f0a8-47e6-90fe-6141aa2c4257",
    "primaryImpact": {
      "category": "SECURITY",
      "securityProjection": {
        "details": {
          "revokedIamPermissionsCount": 1
        }
      }
    },
    "priority": "P1",
    "recommenderSubtype": "REMOVE_ROLE_STORAGE_BUCKET",
    "stateInfo": {
      "state": "ACTIVE"
    }
  }
]

Reveja cuidadosamente cada recomendação e considere como vai alterar o acesso do principal aos recursos do Google Cloud . Para saber como rever as recomendações da CLI gcloud, consulte o artigo Reveja as recomendações nesta página.

Para aplicar uma recomendação:

  1. Use o comando gcloud recommender recommendations mark-claimed para alterar o estado da recomendação para CLAIMED,, o que impede que a recomendação seja alterada enquanto a aplica:

    gcloud recommender recommendations mark-claimed \
    RECOMMENDATION_ID \
    --location=LOCATION \
    --recommender=google.iam.policy.Recommender \
    --project=PROJECT_ID \
    --format=FORMAT \
    --etag=ETAG \
    --state-metadata=STATE_METADATA

    Substitua os seguintes valores:

    • RECOMMENDATION_ID: o identificador exclusivo da recomendação. Este valor aparece no final do campo name na recomendação. Por exemplo, se o campo name for projects/example-project/locations/global/recommenders/google.iam.policy.Recommender/recommendations/fb927dc1-9695-4436-0000-f0f285007c0f, o ID da recomendação é fb927dc1-9695-4436-0000-f0f285007c0f.
    • LOCATION: a região onde o seu contentor do Cloud Storage está localizado, por exemplo, us ou us-central1.
    • PROJECT_ID: o ID do Google Cloud projeto que contém os seus contentores do Cloud Storage. Os IDs dos projetos são strings alfanuméricas, como my-project.
    • FORMAT: o formato da resposta. Use json ou yaml.
    • ETAG: o valor do campo etag na recomendação, como "dd0686e7136a4cbb". Tenha em atenção que este valor pode incluir aspas.
    • STATE_METADATA: opcional. Pares de chave-valor separados por vírgulas que contêm a sua escolha de metadados sobre a recomendação. Por exemplo, --state-metadata=reviewedBy=alice,priority=high. Os metadados substituem o campo stateInfo.stateMetadata na recomendação.

    Se o comando for bem-sucedido, a resposta mostra a recomendação no estado CLAIMED, conforme mostrado no exemplo seguinte. Para esclarecer, o exemplo omite a maioria dos campos:

    ...
"priority": "P1",
"recommenderSubtype": "REMOVE_ROLE_STORAGE_BUCKET",
"stateInfo": {
  "state": "CLAIMED"
}
...

  2. Obtenha a política de autorização para o contentor e, em seguida, modifique e defina a política de autorização para que reflita a recomendação.

  3. Atualize o estado da recomendação para SUCCEEDED, se conseguiu aplicar a recomendação, ou FAILED, se não conseguiu aplicar a recomendação:

    gcloud recommender recommendations COMMAND \
    RECOMMENDATION_ID \
    --location=LOCATION \
    --recommender=google.iam.policy.Recommender \
    --project=PROJECT_ID \
    --format=FORMAT \
    --etag=ETAG \
    --state-metadata=STATE_METADATA

    Substitua os seguintes valores:

    • COMMAND: use mark-succeeded se conseguiu aplicar a recomendação ou mark-failed se não conseguiu aplicar a recomendação.

    • RECOMMENDATION_ID: o identificador exclusivo da recomendação. Este valor aparece no final do campo name na recomendação. Por exemplo, se o campo name for projects/example-project/locations/global/recommenders/google.iam.policy.Recommender/recommendations/fb927dc1-9695-4436-0000-f0f285007c0f, o ID da recomendação é fb927dc1-9695-4436-0000-f0f285007c0f.
    • LOCATION: a região onde o seu contentor do Cloud Storage está localizado, por exemplo, us ou us-central1.
    • PROJECT_ID: o ID do Google Cloud projeto que contém os seus contentores do Cloud Storage. Os IDs dos projetos são strings alfanuméricas, como my-project.
    • FORMAT: o formato da resposta. Use json ou yaml.
    • ETAG: o valor do campo etag na recomendação, como "dd0686e7136a4cbb". Tenha em atenção que este valor pode incluir aspas.
    • STATE_METADATA: opcional. Pares de chave-valor separados por vírgulas que contêm a sua escolha de metadados sobre a recomendação. Por exemplo, --state-metadata=reviewedBy=alice,priority=high. Os metadados substituem o campo stateInfo.stateMetadata na recomendação.

    Por exemplo, se marcou a recomendação como tendo sido bem-sucedida, a resposta mostra a recomendação num estado SUCCEEDED. Para esclarecer, este exemplo omite a maioria dos campos:

    ...
"priority": "P1",
"recommenderSubtype": "REMOVE_ROLE_STORAGE_BUCKET",
"stateInfo": {
  "state": "SUCCEEDED"
}
...

REST

Reveja as suas recomendações:

Para listar todas as recomendações disponíveis para os seus contentores do Cloud Storage, use o método recommendations.list da API Recommender.

Antes de usar qualquer um dos dados do pedido, faça as seguintes substituições:

  • PROJECT_ID: o ID do projeto do Google Cloud que contém os seus contentores do Cloud Storage.Google Cloud Os IDs dos projetos são strings alfanuméricas, como my-project.
  • LOCATION: a região onde os seus contentores do Cloud Storage estão localizados, por exemplo, us ou us-central1.
  • PAGE_SIZE: opcional. O número máximo de resultados a devolver deste pedido. Se não for especificado, o servidor determina o número de resultados a devolver. Se o número de recomendações for superior ao tamanho da página, a resposta contém um token de paginação que pode usar para obter a página seguinte de resultados.
  • PAGE_TOKEN: opcional. O token de paginação devolvido numa resposta anterior deste método. Se for especificado, a lista de recomendações começa onde o pedido anterior terminou.
  • PROJECT_ID: O ID do Google Cloud projeto. Os IDs dos projetos são strings alfanuméricas, como my-project.

Método HTTP e URL: 

GET https://recommender.googleapis.com/v1/projects/PROJECT_ID/locations/LOCATION/recommenders/google.iam.policy.Recommender/recommendations?filter=recommenderSubtype%20%3D%20REMOVE_ROLE_STORAGE_BUCKET%20OR%20recommenderSubtype%20%3D%20REPLACE_ROLE_STORAGE_BUCKET&pageSize=PAGE_SIZE&pageToken=PAGE_TOKEN

Para enviar o seu pedido, expanda uma destas opções:

A resposta é semelhante ao seguinte exemplo. Neste exemplo, todos os utilizadores autenticados (allAuthenticatedUsers) têm a função Leitor de objetos antigos do Storage (roles/storage.legacyObjectReader) no contentor mybucket. No entanto, esta função não foi usada nos últimos 90 dias. Como resultado, a recomendação de função sugere que revogue a função: 

{
  "recommendations": [
    "name": "projects/123456789012/locations/us/recommenders/google.iam.policy.Recommender/recommendations/fbc885b7-f0a8-47e6-90fe-6141aa2c4257",
    "description": "This role has not been used during the observation window.",
    "lastRefreshTime": "2022-05-24T07:00:00Z",
    "primaryImpact": {
      "category": "SECURITY",
      "securityProjection": {
        "details": {
          "revokedIamPermissionsCount": 1
        }
      }
    },
    "content": {
      "operationGroups": [
        {
          "operations": [
            {
              "action": "remove",
              "resourceType": "storage.googleapis.com/Bucket",
              "resource": "//storage.googleapis.com/my-bucket",
              "path": "/iamPolicy/bindings/*/members/*",
              "pathFilters": {
                "/iamPolicy/bindings/*/condition/expression": "",
                "/iamPolicy/bindings/*/members/*": "allAuthenticatedUsers",
                "/iamPolicy/bindings/*/role": "roles/storage.legacyObjectReader"
              }
            }
          ]
        }
      ]
    },
    "stateInfo": {
      "state": "ACTIVE"
    },
    "etag": "\"7caf4103d7669e12\"",
    "recommenderSubtype": "REMOVE_ROLE_STORAGE_BUCKET",
    "associatedInsights": [
      {
        "insight": "projects/123456789012/locations/us/insightTypes/google.iam.policy.Insight/insights/7849add9-73c0-419e-b169-42b3671173fb"
      }
    ],
    "priority": "P1"
  ]
}

Reveja cuidadosamente cada recomendação e considere como vai alterar o acesso do principal aos recursos do Google Cloud . Para saber como rever as recomendações da API REST, consulte o artigo Reveja as recomendações nesta página.

Para aplicar uma recomendação:

  1. Marque a recomendação como CLAIMED:

    Para marcar uma recomendação como CLAIMED, o que impede que a recomendação seja alterada enquanto a aplica, use o método recommendations.markClaimed da API Recommender.

    Antes de usar qualquer um dos dados do pedido, faça as seguintes substituições:

    • PROJECT_ID: o ID do projeto do Google Cloud que contém os seus contentores do Cloud Storage.Google Cloud Os IDs dos projetos são strings alfanuméricas, como my-project.
    • LOCATION: a região onde o seu contentor do Cloud Storage está localizado, por exemplo, us ou us-central1.
    • RECOMMENDATION_ID: o identificador exclusivo da recomendação. Este valor aparece no final do campo name na recomendação. Por exemplo, se o campo name for projects/example-project/locations/global/recommenders/google.iam.policy.Recommender/recommendations/fb927dc1-9695-4436-0000-f0f285007c0f, o ID da recomendação é fb927dc1-9695-4436-0000-f0f285007c0f.
    • ETAG: o valor do campo etag na recomendação, como "dd0686e7136a4cbb". Use barras invertidas para escapar as aspas, por exemplo, "\"df7308cca9719dcc\"".
    • STATE_METADATA: opcional. Um objeto que contém pares de chave-valor com os metadados à sua escolha sobre a recomendação. Por exemplo, {"reviewedBy": "alice", "priority": "high"}. Os metadados substituem o campo stateInfo.stateMetadata na recomendação.

    Método HTTP e URL: 

    POST https://recommender.googleapis.com/v1/projects/PROJECT_ID/locations/LOCATION/recommenders/google.iam.policy.Recommender/recommendations/RECOMMENDATION_ID:markClaimed

    Corpo JSON do pedido: 

    {
  "etag": "ETAG",
  "stateMetadata": {
    "STATE_METADATA"
  }
}

    Para enviar o seu pedido, expanda uma destas opções:

    A resposta mostra a recomendação no estado CLAIMED, conforme mostrado no exemplo seguinte. Para esclarecer, este exemplo omite a maioria dos campos: 

    ...
"stateInfo": {
  "state": "CLAIMED"
},
"etag": "\"7caf4103d7669e12\"",
"recommenderSubtype": "REMOVE_ROLE_STORAGE_BUCKET",
...

  2. Obtenha a política de autorização para o projeto e, em seguida, modifique a política de autorização para que reflita a recomendação.

  3. Atualize o estado da recomendação para SUCCEEDED, se conseguiu aplicar a recomendação, ou FAILED, se não conseguiu aplicar a recomendação:

    SUCCEEDED

    Para marcar uma recomendação como SUCCEEDED, indicando que a conseguiu aplicar, use o método recommendations.markSucceeded da API Recommender.

    Antes de usar qualquer um dos dados do pedido, faça as seguintes substituições:

    • PROJECT_ID: o ID do projeto do Google Cloud que contém os seus contentores do Cloud Storage.Google Cloud Os IDs dos projetos são strings alfanuméricas, como my-project.
    • LOCATION: a região onde o seu contentor do Cloud Storage está localizado, por exemplo, us ou us-central1.
    • RECOMMENDATION_ID: o identificador exclusivo da recomendação. Este valor aparece no final do campo name na recomendação. Por exemplo, se o campo name for projects/example-project/locations/global/recommenders/google.iam.policy.Recommender/recommendations/fb927dc1-9695-4436-0000-f0f285007c0f, o ID da recomendação é fb927dc1-9695-4436-0000-f0f285007c0f.
    • ETAG: o valor do campo etag na recomendação, como "dd0686e7136a4cbb". Use barras invertidas para escapar as aspas, por exemplo, "\"df7308cca9719dcc\"".
    • STATE_METADATA: opcional. Um objeto que contém pares de chave-valor com os metadados à sua escolha sobre a recomendação. Por exemplo, {"reviewedBy": "alice", "priority": "high"}. Os metadados substituem o campo stateInfo.stateMetadata na recomendação.

    Método HTTP e URL: 

    POST https://recommender.googleapis.com/v1/projects/PROJECT_ID/locations/LOCATION/recommenders/google.iam.policy.Recommender/recommendations/RECOMMENDATION_ID:markSucceeded

    Corpo JSON do pedido: 

    {
  "etag": "ETAG",
  "stateMetadata": {
    "STATE_METADATA"
  }
}

    Para enviar o seu pedido, expanda uma destas opções:

    A resposta mostra a recomendação no estado SUCCEEDED, conforme mostrado no exemplo seguinte. Para esclarecer, este exemplo omite a maioria dos campos: 

    ...
"stateInfo": {
  "state": "SUCCEEDED"
},
"etag": "\"7caf4103d7669e12\"",
"recommenderSubtype": "REMOVE_ROLE_STORAGE_BUCKET",
...

    FAILED

    Para marcar uma recomendação como FAILED, indicando que não a conseguiu aplicar, use o método recommendations.markFailed da API Recommender.

    Antes de usar qualquer um dos dados do pedido, faça as seguintes substituições:

    • PROJECT_ID: o ID do projeto do Google Cloud que contém os seus contentores do Cloud Storage.Google Cloud Os IDs dos projetos são strings alfanuméricas, como my-project.
    • LOCATION: a região onde o seu contentor do Cloud Storage está localizado, por exemplo, us ou us-central1.
    • RECOMMENDATION_ID: o identificador exclusivo da recomendação. Este valor aparece no final do campo name na recomendação. Por exemplo, se o campo name for projects/example-project/locations/global/recommenders/google.iam.policy.Recommender/recommendations/fb927dc1-9695-4436-0000-f0f285007c0f, o ID da recomendação é fb927dc1-9695-4436-0000-f0f285007c0f.
    • ETAG: o valor do campo etag na recomendação, como "dd0686e7136a4cbb". Use barras invertidas para escapar as aspas, por exemplo, "\"df7308cca9719dcc\"".
    • STATE_METADATA: opcional. Um objeto que contém pares de chave-valor com os metadados à sua escolha sobre a recomendação. Por exemplo, {"reviewedBy": "alice", "priority": "high"}. Os metadados substituem o campo stateInfo.stateMetadata na recomendação.

    Método HTTP e URL: 

    POST https://recommender.googleapis.com/v1/projects/PROJECT_ID/locations/LOCATION/recommenders/google.iam.policy.Recommender/recommendations/RECOMMENDATION_ID:markFailed

    Corpo JSON do pedido: 

    {
  "etag": "ETAG",
  "stateMetadata": {
    "STATE_METADATA"
  }
}

    Para enviar o seu pedido, expanda uma destas opções:

    A resposta mostra a recomendação no estado FAILED, conforme mostrado no exemplo seguinte. Para esclarecer, este exemplo omite a maioria dos campos: 

    ...
"stateInfo": {
  "state": "FAILED"
},
"etag": "\"7caf4103d7669e12\"",
"recommenderSubtype": "REMOVE_ROLE_STORAGE_BUCKET",
...

Compreenda as recomendações

Cada recomendação inclui informações para ajudar a compreender o motivo pelo qual a recomendação foi feita.

Consola

Para ajudar a compreender o motivo da recomendação, aGoogle Cloud consola mostra a utilização de autorizações da entidade principal, conforme comunicado pela informação da política associada à recomendação.

Para ajudar a compreender o impacto da aplicação da recomendação, a Google Cloud consola também mostra uma lista de autorizações codificadas por cores e símbolos. Esta lista indica como as autorizações do principal vão mudar se aplicar a recomendação. Por exemplo, pode mostrar uma lista como a seguinte:

Os tipos de autorizações associados a cada cor e símbolo são os seguintes:

  • Cinza sem símbolo: autorizações que estão na função atual do principal e nas funções recomendadas.

  • Vermelho com um sinal de subtração : autorizações que estão na função atual do principal, mas não nas funções recomendadas, porque o principal não as usou nos últimos 90 dias.

  • Verde com um sinal de mais : autorizações que não estão na função atual do principal, mas que estão nas funções recomendadas. Este tipo de autorização só aparece nas recomendações para agentes de serviço.

  • Azul com um ícone de aprendizagem automática : Autorizações que estão na função atual do principal e nas funções recomendadas, não porque o principal tenha usado as autorizações nos últimos 90 dias, mas porque o Recomendador determinou através da aprendizagem automática que é provável que precise dessas autorizações no futuro.

gcloud

Cada recomendação inclui informações para ajudar a compreender o motivo pelo qual a recomendação foi feita.

Para ver detalhes sobre os campos de uma recomendação, consulte a Recommendation referência.

Para ver a utilização de autorizações em que esta recomendação se baseia, consulte as estatísticas de políticas associadas à recomendação. Estas estatísticas estão listadas no campo associatedInsights. Para ver uma estatística de políticas associada à recomendação, faça o seguinte:

  1. Copie o ID da estatística associada. O ID é tudo o que está depois de insights/ no campo insight. Por exemplo, se o campo insight indicar projects/123456789012/locations/us/insightTypes/google.iam.policy.Insight/insights/7849add9-73c0-419e-b169-42b3671173fb, o ID da estatística é 7849add9-73c0-419e-b169-42b3671173fb.
  2. Siga as instruções para obter uma estatística de políticas através do ID da estatística que copiou.

REST

Cada recomendação inclui informações para ajudar a compreender o motivo pelo qual a recomendação foi feita.

Para ver detalhes sobre os campos de uma recomendação, consulte a Recommendation referência.

Para ver a utilização de autorizações em que esta recomendação se baseia, consulte as estatísticas de políticas associadas à recomendação. Estas estatísticas estão listadas no campo associatedInsights. Para ver uma estatística de políticas associada à recomendação, faça o seguinte:

  1. Copie o ID da estatística associada. O ID é tudo o que está depois de insights/ no campo insight. Por exemplo, se o campo insight indicar projects/123456789012/locations/us/insightTypes/google.iam.policy.Insight/insights/7849add9-73c0-419e-b169-42b3671173fb, o ID da estatística é 7849add9-73c0-419e-b169-42b3671173fb.
  2. Siga as instruções para obter uma estatística de políticas através do ID da estatística que copiou.

Veja, reverta e restaure alterações

Depois de aplicar ou ignorar uma recomendação para uma associação de função ao nível do projeto, essa ação aparece no histórico de recomendações.

Pode ver o histórico de recomendações de um contentor na Google Cloud consola:

  1. Na Google Cloud consola, aceda à página Recipientes.

    Aceda a Recipientes

  2. Encontre a coluna Estatísticas de segurança. Se a coluna não estiver visível, clique em Opções de apresentação de colunas e selecione Estatísticas de segurança.

  3. Encontre o contentor cujo histórico de recomendações quer ver e, de seguida, clique no resumo das estatísticas de segurança nessa linha.

  4. No painel Recomendações de segurança apresentado, clique no separador Histórico de recomendações.

    A Google Cloud consola mostra uma lista de ações anteriores nas suas recomendações de funções.

  5. Para ver detalhes sobre uma recomendação, clique na seta do expansor.

    A Google Cloud consola mostra detalhes sobre a ação realizada, incluindo o principal que a realizou:

  6. Opcional: se necessário, pode reverter a recomendação, o que anula as alterações na recomendação, ou restaurar uma recomendação que ignorou.

    Para reverter uma alteração aplicada anteriormente a uma recomendação, clique em Reverter. A consola Google Cloud reverte as alterações às funções do principal. A recomendação já não aparece na Google Cloud consola.

    Para restaurar uma recomendação que foi ignorada, clique em Restaurar. A recomendação fica visível na página IAM naGoogle Cloud consola. Não são alteradas funções nem autorizações.

O que se segue?