此页面由 Cloud Translation API 翻译。

查看和应用针对 BigQuery 数据集的角色建议

本页面介绍了如何查看、了解和应用针对 BigQuery 数据集的 IAM 角色建议。角色建议可确保主帐号只拥有其实际所需的权限，从而帮助您实施最小权限原则。

准备工作

启用 IAM and Recommender API。
启用 API
了解角色建议。

所需 IAM 角色

如需获取管理数据集级角色建议所需的权限，请让管理员授予您以下 IAM 角色：

项目的 Role Viewer (roles/iam.roleViewer)
您的项目的 IAM Recommender Admin (roles/recommender.iamAdmin)
数据集的 BigQuery Data Owner (roles/bigquery.dataOwner)

如需详细了解如何授予角色，请参阅管理访问权限。

这些预定义角色包含管理数据集级角色建议所需的权限。如需查看所需的确切权限，请展开所需权限部分：

所需权限

如需管理数据集级角色建议，您需要具备以下权限：

如需查看建议，请执行以下操作：
- 针对项目的 iam.roles.get 权限
- 针对项目的 iam.roles.list 权限
- 针对项目的 recommender.iamPolicyRecommendations.get 权限
- 针对项目的 recommender.iamPolicyRecommendations.list 权限
- 针对项目的 recommender.iamPolicyInsights.get 权限
- 针对项目的 recommender.iamPolicyInsights.list 权限
- 针对数据集的 bigquery.datasets.getIamPolicy 权限
如需采纳和拒绝建议，请执行以下操作：
- 针对项目的 recommender.iamPolicyRecommendations.update 权限
- 针对数据集的 bigquery.datasets.setIamPolicy 权限

您也可以使用自定义角色或其他预定义角色来获取这些权限。

查看和应用建议

您可以使用 Google Cloud CLI 和 Recommender API 查看和应用数据集级角色建议。

gcloud

查看您的建议：

如需列出数据集级建议，请运行 gcloud recommender recommendations list 命令，仅过滤出 BigQuery 数据集建议：

gcloud recommender recommendations list \
    --location=LOCATION \
    --recommender=google.iam.policy.Recommender \
    --project=PROJECT_ID \
    --format=json \
    --filter="recommenderSubtype:REMOVE_ROLE_BIGQUERY_DATASET OR recommenderSubtype:REPLACE_ROLE_BIGQUERY_DATASET"

替换以下值：

LOCATION：您的 Cloud Storage 数据集所在的区域，例如 us 或 us-central1。
PROJECT_ID：包含您的 BigQuery 数据集的 Google Cloud 项目的 ID。项目 ID 是字母数字字符串，如 my-project。

响应类似于以下示例。在此示例中，对项目 my-project (projectEditor:my-project) 具有 Editor 角色的所有用户均具有数据集 dataset-1 的 BigQuery Data Editor 角色 (roles/bigquery.dataEditor)。但是，在过去 90 天内未使用过此角色。因此，角色建议建议您撤消该角色：

[
  {
    "associatedInsights": [
      {
        "insight": "projects/1069248613794/locations/us/insightTypes/google.iam.policy.Insight/insights/984eccca-0241-472f-baab-2557dd0d7282"
      }
    ],
    "content": {
      "operationGroups": [
        {
          "operations": [
            {
              "action": "remove",
              "path": "/iamPolicy/bindings/*/members/*",
              "pathFilters": {
                "/iamPolicy/bindings/*/condition/expression": "",
                "/iamPolicy/bindings/*/members/*": "projectEditor:my-project",
                "/iamPolicy/bindings/*/role": "roles/bigquery.dataEditor"
              },
              "resource": "//bigquery.googleapis.com/projects/my-project/datasets/dataset-1",
              "resourceType": "bigquery.googleapis.com/Dataset"
            }
          ]
        }
      ],
      "overview": {
        "addedRoles": [],
        "member": "projectEditor:my-project",
        "minimumObservationPeriodInDays": "0",
        "removedRole": "roles/bigquery.dataEditor",
        "resource": "//bigquery.googleapis.com/projects/my-project/datasets/dataset-1"
      }
    },
    "description": "This role has not been used during the observation window.",
    "etag": "\"3b123bc08d028128\"",
    "lastRefreshTime": "2024-02-04T08:00:00Z",
    "name": "projects/1069248613794/locations/us/recommenders/google.iam.policy.Recommender/recommendations/0e9831fe-6810-476b-b14d-2b64bda17288",
    "primaryImpact": {
      "category": "SECURITY",
      "securityProjection": {
        "details": {
          "revokedIamPermissionsCount": 37
        }
      }
    },
    "priority": "P4",
    "recommenderSubtype": "REMOVE_ROLE_BIGQUERY_DATASET",
    "stateInfo": {
      "state": "ACTIVE"
    },
    "targetResources": [
      "//bigquery.googleapis.com/projects/my-project/datasets/dataset-1"
    ]
  },
  {
    "associatedInsights": [
      {
        "insight": "projects/1069248613794/locations/us/insightTypes/google.iam.policy.Insight/insights/9d11057e-9c71-410f-ad55-fc82d87761d0"
      }
    ],
    "content": {
      "operationGroups": [
        {
          "operations": [
            {
              "action": "remove",
              "path": "/iamPolicy/bindings/*/members/*",
              "pathFilters": {
                "/iamPolicy/bindings/*/condition/expression": "",
                "/iamPolicy/bindings/*/members/*": "user:alicexz@google.com",
                "/iamPolicy/bindings/*/role": "roles/bigquery.dataOwner"
              },
              "resource": "//bigquery.googleapis.com/projects/my-project/datasets/dataset-1",
              "resourceType": "bigquery.googleapis.com/Dataset"
            }
          ]
        }
      ],
      "overview": {
        "addedRoles": [],
        "member": "user:alicexz@google.com",
        "minimumObservationPeriodInDays": "0",
        "removedRole": "roles/bigquery.dataOwner",
        "resource": "//bigquery.googleapis.com/projects/my-project/datasets/dataset-1"
      }
    },
    "description": "This role has not been used during the observation window.",
    "etag": "\"1da285f7aa6438f1\"",
    "lastRefreshTime": "2024-02-04T08:00:00Z",
    "name": "projects/1069248613794/locations/us/recommenders/google.iam.policy.Recommender/recommendations/56013294-cf81-402a-8cde-25489545777c",
    "primaryImpact": {
      "category": "SECURITY",
      "securityProjection": {
        "details": {
          "revokedIamPermissionsCount": 64
        }
      }
    },
    "priority": "P4",
    "recommenderSubtype": "REMOVE_ROLE_BIGQUERY_DATASET",
    "stateInfo": {
      "state": "ACTIVE"
    },
    "targetResources": [
      "//bigquery.googleapis.com/projects/my-project/datasets/dataset-1"
    ]
  }
]

仔细查看每项建议，并思考它将如何改变主账号对 Google Cloud 资源的访问权限。如需了解如何使用 gcloud CLI 查看建议，请参阅本页面中的查看建议。

如需应用建议，请执行以下操作：

使用 gcloud recommender recommendations mark-claimed 命令将建议的状态更改为 CLAIMED,，这样可以防止建议在您应用它时发生变化：
```
gcloud recommender recommendations mark-claimed \
    RECOMMENDATION_ID \
    --location=LOCATION \
    --recommender=google.iam.policy.Recommender \
    --project=PROJECT_ID \
    --format=FORMAT \
    --etag=ETAG \
    --state-metadata=STATE_METADATA
```
替换以下值：
- RECOMMENDATION_ID：建议的唯一标识符。此值显示在建议的 name 字段末尾。例如，如果 name 字段为 projects/example-project/locations/global/recommenders/google.iam.policy.Recommender/recommendations/fb927dc1-9695-4436-0000-f0f285007c0f，则建议 ID 为 fb927dc1-9695-4436-0000-f0f285007c0f。
- LOCATION：BigQuery 数据集所在的区域，例如 us 或 us-central1。
- PROJECT_ID：包含您的 BigQuery 数据集的 Google Cloud 项目的 ID。项目 ID 是字母数字字符串，例如 my-project。
- FORMAT：响应的格式。请使用 json 或 yaml。
- ETAG：建议中 etag 字段的值，例如 "dd0686e7136a4cbb"。请注意，该值可以包含引号。
- STATE_METADATA：可选。以英文逗号分隔的键值对，其中包含您对建议所选择的元数据。例如 --state-metadata=reviewedBy=alice,priority=high。元数据会替换建议中的 stateInfo.stateMetadata 字段。
如果命令成功，响应会显示建议处于 CLAIMED 状态，如下例所示。为清楚起见，示例省略了大部分字段：
```
...
"priority": "P1",
"recommenderSubtype": "REMOVE_ROLE_BIGQUERY_DATASET",
"stateInfo": {
  "state": "CLAIMED"
}
...
```
获取数据集的允许政策，然后修改并设置允许政策，以反映建议。
如果能够应用建议，请将建议的状态更新为 SUCCEEDED；否则，请更新为 FAILED：
```
gcloud recommender recommendations COMMAND \
    RECOMMENDATION_ID \
    --location=LOCATION \
    --recommender=google.iam.policy.Recommender \
    --project=PROJECT_ID \
    --format=FORMAT \
    --etag=ETAG \
    --state-metadata=STATE_METADATA
```
替换以下值：
- COMMAND：如果能够应用建议，请使用 mark-succeeded；如果无法应用建议，请使用 mark-failed。
- RECOMMENDATION_ID：建议的唯一标识符。此值显示在建议的 name 字段末尾。例如，如果 name 字段为 projects/example-project/locations/global/recommenders/google.iam.policy.Recommender/recommendations/fb927dc1-9695-4436-0000-f0f285007c0f，则建议 ID 为 fb927dc1-9695-4436-0000-f0f285007c0f。
- LOCATION：BigQuery 数据集所在的区域，例如 us 或 us-central1。
- PROJECT_ID：包含您的 BigQuery 数据集的 Google Cloud 项目的 ID。项目 ID 是字母数字字符串，例如 my-project。
- FORMAT：响应的格式。请使用 json 或 yaml。
- ETAG：建议中 etag 字段的值，例如 "dd0686e7136a4cbb"。请注意，该值可以包含引号。
- STATE_METADATA：可选。以英文逗号分隔的键值对，其中包含您对建议所选择的元数据。例如 --state-metadata=reviewedBy=alice,priority=high。元数据会替换建议中的 stateInfo.stateMetadata 字段。
例如，如果您将建议标记为成功，响应会显示建议处于 SUCCEEDED 状态。为清楚起见，此示例省略了大部分字段：
```
...
"priority": "P1",
"recommenderSubtype": "REMOVE_ROLE_BIGQUERY_DATASET",
"stateInfo": {
  "state": "SUCCEEDED"
}
...
```

REST

以下说明假定您已通过身份验证并设置了 GOOGLE_APPLICATION_CREDENTIALS 环境变量。

查看您的建议：

如需列出 BigQuery 数据集的所有可用建议，请使用 Recommender API 的 recommendations.list 方法。

在使用任何请求数据之前，请先进行以下替换：

PROJECT_ID：包含您的 BigQuery 数据集的 Google Cloud 项目的 ID。项目 ID 是字母数字字符串，如 my-project。
LOCATION：您的 BigQuery 数据集所在的区域，例如 us 或 us-central1。
PAGE_SIZE：可选。要从此请求返回的最大结果数。如果未指定，则服务器将决定要返回的结果数。如果建议的数量大于页面大小，则响应会包含用于检索下一页结果的分页令牌。
PAGE_TOKEN：可选。此方法之前的响应中返回的分页令牌。如果已指定，则建议列表将从上一个请求结束的位置开始。
PROJECT_ID：您的 Google Cloud 项目 ID。项目 ID 是字母数字字符串，例如 my-project。

HTTP 方法和网址：

GET https://recommender.googleapis.com/v1/projects/PROJECT_ID/locations/LOCATION/recommenders/google.iam.policy.Recommender/recommendations?filter=recommenderSubtype%20%3D%20REMOVE_ROLE_BIGQUERY_DATASET%20OR%20recommenderSubtype%20%3D%20REPLACE_ROLE_BIGQUERY_DATASET&pageSize=PAGE_SIZE&pageToken=PAGE_TOKEN

如需发送您的请求，请展开以下选项之一：

curl（Linux、macOS 或 Cloud Shell）

注意：以下命令假定您已通过运行 gcloud init 或 gcloud auth login，或使用 Cloud Shell（自动登录到 gcloud CLI）使用您的用户帐号登录了 gcloud CLI。您可以运行 gcloud auth list 来查看当前的活跃帐号。

执行以下命令：

curl -X GET \
     -H "Authorization: Bearer $(gcloud auth print-access-token)" \
     -H "x-goog-user-project: PROJECT_ID" \
     "https://recommender.googleapis.com/v1/projects/PROJECT_ID/locations/LOCATION/recommenders/google.iam.policy.Recommender/recommendations?filter=recommenderSubtype%20%3D%20REMOVE_ROLE_BIGQUERY_DATASET%20OR%20recommenderSubtype%20%3D%20REPLACE_ROLE_BIGQUERY_DATASET&pageSize=PAGE_SIZE&pageToken=PAGE_TOKEN"

PowerShell (Windows)

注意：以下命令假定您已通过运行 gcloud init 或 gcloud auth login 使用您的用户帐号登录 gcloud CLI。您可以运行 gcloud auth list 来查看当前的活跃帐号。

执行以下命令：

$cred = gcloud auth print-access-token
$headers = @{ "Authorization" = "Bearer $cred"; "x-goog-user-project" = "PROJECT_ID" }

Invoke-WebRequest `
    -Method GET `
    -Headers $headers `
    -Uri "https://recommender.googleapis.com/v1/projects/PROJECT_ID/locations/LOCATION/recommenders/google.iam.policy.Recommender/recommendations?filter=recommenderSubtype%20%3D%20REMOVE_ROLE_BIGQUERY_DATASET%20OR%20recommenderSubtype%20%3D%20REPLACE_ROLE_BIGQUERY_DATASET&pageSize=PAGE_SIZE&pageToken=PAGE_TOKEN" | Select-Object -Expand Content

响应类似于以下示例。在此示例中，对项目“my-project”(projectEditor:my-project) 具有 Editor 角色的所有用户均具有数据集“dataset-1”的 BigQuery Data Editor 角色 (roles/bigquery.dataEditor)。不过，在过去 90 天内未使用过此角色。因此，角色建议建议您撤消该角色：

{
  "recommendations": [
    {
      "name": "projects/1069248613794/locations/us/recommenders/google.iam.policy.Recommender/recommendations/0e9831fe-6810-476b-b14d-2b64bda17288",
      "description": "This role has not been used during the observation window.",
      "lastRefreshTime": "2024-02-02T08:00:00Z",
      "primaryImpact": {
        "category": "SECURITY",
        "securityProjection": {
          "details": {
            "revokedIamPermissionsCount": 37
          }
        }
      },
      "content": {
        "operationGroups": [
          {
            "operations": [
              {
                "action": "remove",
                "resourceType": "bigquery.googleapis.com/Dataset",
                "resource": "//bigquery.googleapis.com/projects/my-project/datasets/dataset-1",
                "path": "/iamPolicy/bindings/*/members/*",
                "pathFilters": {
                  "/iamPolicy/bindings/*/condition/expression": "",
                  "/iamPolicy/bindings/*/members/*": "projectEditor:my-project",
                  "/iamPolicy/bindings/*/role": "roles/bigquery.dataEditor"
                }
              }
            ]
          }
        ],
        "overview": {
          "resource": "//bigquery.googleapis.com/projects/my-project/datasets/dataset-1",
          "member": "projectEditor:my-project",
          "removedRole": "roles/bigquery.dataEditor",
          "addedRoles": [],
          "minimumObservationPeriodInDays": "0"
        }
      },
      "stateInfo": {
        "state": "ACTIVE"
      },
      "etag": "\"d008ad3780bad5e0\"",
      "recommenderSubtype": "REMOVE_ROLE_BIGQUERY_DATASET",
      "associatedInsights": [
        {
          "insight": "projects/1069248613794/locations/us/insightTypes/google.iam.policy.Insight/insights/984eccca-0241-472f-baab-2557dd0d7282"
        }
      ],
      "priority": "P4",
      "targetResources": [
        "//bigquery.googleapis.com/projects/my-project/datasets/dataset-1"
      ]
    }
  ]
}

仔细查看每项建议，并思考它将如何改变主账号对 Google Cloud 资源的访问权限。如需了解如何通过 REST API 查看建议，请参阅本页面上的查看建议。

如需应用建议，请执行以下操作：

将建议标记为 CLAIMED：

如需将建议标记为 CLAIMED，以防止在采纳建议时更改建议，请使用 Recommender API 的 recommendations.markClaimed 方法。

在使用任何请求数据之前，请先进行以下替换：
- PROJECT_ID：包含您的 BigQuery 数据集的 Google Cloud 项目的 ID。项目 ID 是字母数字字符串，如 my-project。
- LOCATION：BigQuery 数据集所在的区域，例如 us 或 us-central1。
- RECOMMENDATION_ID：建议的唯一标识符。此值显示在建议的 name 字段末尾。例如，如果 name 字段为 projects/example-project/locations/global/recommenders/google.iam.policy.Recommender/recommendations/fb927dc1-9695-4436-0000-f0f285007c0f，则建议 ID 为 fb927dc1-9695-4436-0000-f0f285007c0f。
- ETAG：建议中 etag 字段的值，例如 "dd0686e7136a4cbb"。使用反斜杠可转义引号，例如 "\"df7308cca9719dcc\""。
- STATE_METADATA：可选。包含键值对的对象，其中包含您对建议所选择的元数据。例如 {"reviewedBy": "alice", "priority": "high"}。元数据会替换建议中的 stateInfo.stateMetadata 字段。
HTTP 方法和网址：
```
POST https://recommender.googleapis.com/v1/projects/PROJECT_ID/locations/LOCATION/recommenders/google.iam.policy.Recommender/recommendations/RECOMMENDATION_ID:markClaimed
```
请求 JSON 正文：
```
{
  "etag": "ETAG",
  "stateMetadata": {
    "STATE_METADATA"
  }
}
```
如需发送您的请求，请展开以下选项之一：
curl（Linux、macOS 或 Cloud Shell）

注意：以下命令假定您已通过运行 gcloud init 或 gcloud auth login，或使用 Cloud Shell（自动登录到 gcloud CLI）使用您的用户帐号登录了 gcloud CLI。您可以运行 gcloud auth list 来查看当前的活跃帐号。

将请求正文保存在名为 request.json 的文件中，然后执行以下命令：
```
curl -X POST \
     -H "Authorization: Bearer $(gcloud auth print-access-token)" \
     -H "x-goog-user-project: PROJECT_ID" \
     -H "Content-Type: application/json; charset=utf-8" \
     -d @request.json \
     "https://recommender.googleapis.com/v1/projects/PROJECT_ID/locations/LOCATION/recommenders/google.iam.policy.Recommender/recommendations/RECOMMENDATION_ID:markClaimed"
```
PowerShell (Windows)

注意：以下命令假定您已通过运行 gcloud init 或 gcloud auth login 使用您的用户帐号登录 gcloud CLI。您可以运行 gcloud auth list 来查看当前的活跃帐号。

将请求正文保存在名为 request.json 的文件中，然后执行以下命令：
```
$cred = gcloud auth print-access-token
$headers = @{ "Authorization" = "Bearer $cred"; "x-goog-user-project" = "PROJECT_ID" }

Invoke-WebRequest `
    -Method POST `
    -Headers $headers `
    -ContentType: "application/json; charset=utf-8" `
    -InFile request.json `
    -Uri "https://recommender.googleapis.com/v1/projects/PROJECT_ID/locations/LOCATION/recommenders/google.iam.policy.Recommender/recommendations/RECOMMENDATION_ID:markClaimed" | Select-Object -Expand Content
```
响应会显示 CLAIMED 状态的建议，如以下示例所示。为清楚起见，此示例省略了大部分字段：
```
...
"stateInfo": {
  "state": "CLAIMED"
},
"etag": "\"7caf4103d7669e12\"",
"recommenderSubtype": "REMOVE_ROLE_BIGQUERY_DATASET",
...
```
获取项目的允许政策，然后修改允许政策，以反映建议。
如果能够应用建议，请将建议的状态更新为 SUCCEEDED；否则，请更新为 FAILED：
SUCCEEDED

如需将建议标记为 SUCCEEDED，以表明您能够采纳该建议，请使用 Recommender API 的 recommendations.markSucceeded 方法。

在使用任何请求数据之前，请先进行以下替换：
- PROJECT_ID：包含您的 BigQuery 数据集的 Google Cloud 项目的 ID。项目 ID 是字母数字字符串，如 my-project。
- LOCATION：BigQuery 数据集所在的区域，例如 us 或 us-central1。
- RECOMMENDATION_ID：建议的唯一标识符。此值显示在建议的 name 字段末尾。例如，如果 name 字段为 projects/example-project/locations/global/recommenders/google.iam.policy.Recommender/recommendations/fb927dc1-9695-4436-0000-f0f285007c0f，则建议 ID 为 fb927dc1-9695-4436-0000-f0f285007c0f。
- ETAG：建议中 etag 字段的值，例如 "dd0686e7136a4cbb"。使用反斜杠可转义引号，例如 "\"df7308cca9719dcc\""。
- STATE_METADATA：可选。包含键值对的对象，其中包含您对建议所选择的元数据。例如 {"reviewedBy": "alice", "priority": "high"}。元数据会替换建议中的 stateInfo.stateMetadata 字段。
HTTP 方法和网址：
```
POST https://recommender.googleapis.com/v1/projects/PROJECT_ID/locations/LOCATION/recommenders/google.iam.policy.Recommender/recommendations/RECOMMENDATION_ID:markSucceeded
```
请求 JSON 正文：
```
{
  "etag": "ETAG",
  "stateMetadata": {
    "STATE_METADATA"
  }
}
```
如需发送您的请求，请展开以下选项之一：
curl（Linux、macOS 或 Cloud Shell）

注意：以下命令假定您已通过运行 gcloud init 或 gcloud auth login，或使用 Cloud Shell（自动登录到 gcloud CLI）使用您的用户帐号登录了 gcloud CLI。您可以运行 gcloud auth list 来查看当前的活跃帐号。

将请求正文保存在名为 request.json 的文件中，然后执行以下命令：
curl -X POST \
-H "Authorization: Bearer $(gcloud auth print-access-token)" \
-H "x-goog-user-project: PROJECT_ID" \
-H "Content-Type: application/json; charset=utf-8" \
-d @request.json \
"https://recommender.googleapis.com/v1/projects/PROJECT_ID/locations/LOCATION/recommenders/google.iam.policy.Recommender/recommendations/RECOMMENDATION_ID:markSucceeded"
PowerShell (Windows)

注意：以下命令假定您已通过运行 gcloud init 或 gcloud auth login 使用您的用户帐号登录 gcloud CLI。您可以运行 gcloud auth list 来查看当前的活跃帐号。

将请求正文保存在名为 request.json 的文件中，然后执行以下命令：
$cred = gcloud auth print-access-token
$headers = @{ "Authorization" = "Bearer $cred"; "x-goog-user-project" = "PROJECT_ID" }

Invoke-WebRequest `
-Method POST `
-Headers $headers `
-ContentType: "application/json; charset=utf-8" `
-InFile request.json `
-Uri "https://recommender.googleapis.com/v1/projects/PROJECT_ID/locations/LOCATION/recommenders/google.iam.policy.Recommender/recommendations/RECOMMENDATION_ID:markSucceeded" | Select-Object -Expand Content
响应会显示 SUCCEEDED 状态的建议，如以下示例所示。为清楚起见，此示例省略了大部分字段：
```
...
"stateInfo": {
  "state": "SUCCEEDED"
},
"etag": "\"7caf4103d7669e12\"",
"recommenderSubtype": "REMOVE_ROLE_BIGQUERY_DATASET",
...
```
FAILED

如需将建议标记为 FAILED，以表明您无法采纳该建议，请使用 Recommender API 的 recommendations.markFailed 方法。

在使用任何请求数据之前，请先进行以下替换：
- PROJECT_ID：包含您的 BigQuery 数据集的 Google Cloud 项目的 ID。项目 ID 是字母数字字符串，如 my-project。
- LOCATION：BigQuery 数据集所在的区域，例如 us 或 us-central1。
- RECOMMENDATION_ID：建议的唯一标识符。此值显示在建议的 name 字段末尾。例如，如果 name 字段为 projects/example-project/locations/global/recommenders/google.iam.policy.Recommender/recommendations/fb927dc1-9695-4436-0000-f0f285007c0f，则建议 ID 为 fb927dc1-9695-4436-0000-f0f285007c0f。
- ETAG：建议中 etag 字段的值，例如 "dd0686e7136a4cbb"。使用反斜杠可转义引号，例如 "\"df7308cca9719dcc\""。
- STATE_METADATA：可选。包含键值对的对象，其中包含您对建议所选择的元数据。例如 {"reviewedBy": "alice", "priority": "high"}。元数据会替换建议中的 stateInfo.stateMetadata 字段。
HTTP 方法和网址：
```
POST https://recommender.googleapis.com/v1/projects/PROJECT_ID/locations/LOCATION/recommenders/google.iam.policy.Recommender/recommendations/RECOMMENDATION_ID:markFailed
```
请求 JSON 正文：
```
{
  "etag": "ETAG",
  "stateMetadata": {
    "STATE_METADATA"
  }
}
```
如需发送您的请求，请展开以下选项之一：
curl（Linux、macOS 或 Cloud Shell）

注意：以下命令假定您已通过运行 gcloud init 或 gcloud auth login，或使用 Cloud Shell（自动登录到 gcloud CLI）使用您的用户帐号登录了 gcloud CLI。您可以运行 gcloud auth list 来查看当前的活跃帐号。

将请求正文保存在名为 request.json 的文件中，然后执行以下命令：
curl -X POST \
-H "Authorization: Bearer $(gcloud auth print-access-token)" \
-H "x-goog-user-project: PROJECT_ID" \
-H "Content-Type: application/json; charset=utf-8" \
-d @request.json \
"https://recommender.googleapis.com/v1/projects/PROJECT_ID/locations/LOCATION/recommenders/google.iam.policy.Recommender/recommendations/RECOMMENDATION_ID:markFailed"
PowerShell (Windows)

注意：以下命令假定您已通过运行 gcloud init 或 gcloud auth login 使用您的用户帐号登录 gcloud CLI。您可以运行 gcloud auth list 来查看当前的活跃帐号。

将请求正文保存在名为 request.json 的文件中，然后执行以下命令：
$cred = gcloud auth print-access-token
$headers = @{ "Authorization" = "Bearer $cred"; "x-goog-user-project" = "PROJECT_ID" }

Invoke-WebRequest `
-Method POST `
-Headers $headers `
-ContentType: "application/json; charset=utf-8" `
-InFile request.json `
-Uri "https://recommender.googleapis.com/v1/projects/PROJECT_ID/locations/LOCATION/recommenders/google.iam.policy.Recommender/recommendations/RECOMMENDATION_ID:markFailed" | Select-Object -Expand Content
响应会显示 FAILED 状态的建议，如以下示例所示。为清楚起见，此示例省略了大部分字段：
```
...
"stateInfo": {
  "state": "FAILED"
},
"etag": "\"7caf4103d7669e12\"",
"recommenderSubtype": "REMOVE_ROLE_BIGQUERY_DATASET",
...
```

了解建议

每条建议都包含可帮助您了解提出该建议原因的信息。

如需详细了解建议的各个字段，请参阅 Recommendation 参考文档。

如要查看此建议基于的权限使用情况，请查看与建议相关的政策数据分析。这些数据分析在 associatedInsights 字段中列出。如需查看与建议相关的政策数据分析，请执行以下操作：

复制关联数据分析的 ID。该 ID 是 insight 字段中 insights/ 后面的所有内容。例如，如果 insight 字段为 projects/123456789012/locations/us/insightTypes/google.iam.policy.Insight/insights/7849add9-73c0-419e-b169-42b3671173fb，则数据分析 ID 为 7849add9-73c0-419e-b169-42b3671173fb。
按照说明使用您复制的数据分析 ID 来获取政策数据分析。

后续步骤

详细了解 Recommender。
了解如何允许对 BigQuery 数据集进行政策数据分析。

查看和应用针对 BigQuery 数据集的角色建议

准备工作

所需 IAM 角色

所需权限

查看和应用建议

gcloud

REST

curl（Linux、macOS 或 Cloud Shell）

PowerShell (Windows)

curl（Linux、macOS 或 Cloud Shell）

PowerShell (Windows)

`SUCCEEDED`

curl（Linux、macOS 或 Cloud Shell）

PowerShell (Windows)

`FAILED`

curl（Linux、macOS 或 Cloud Shell）

PowerShell (Windows)

了解建议

后续步骤