パッケージ google.iam.v1

インデックス

• AuditConfig（メッセージ）
• AuditLogConfig（メッセージ）
• AuditLogConfig.LogType（列挙型）
• Binding（メッセージ）
• GetIamPolicyRequest（メッセージ）
• Policy（メッセージ）
• SetIamPolicyRequest（メッセージ）
• TestIamPermissionsRequest（メッセージ）
• TestIamPermissionsResponse（メッセージ）

AuditConfig

サービスの監査構成を指定します。この構成により、ログに記録される権限タイプとロギングから除外される ID が決まります。AuditConfig には 1 つ以上の AuditLogConfig が必要です。

allServices と特定のサービスの両方に AuditConfig がある場合、このサービスには 2 つの AuditConfig のユニオンが使用されます。各 AuditConfig で指定された log_types が有効になり、各 AuditLogConfig の exempted_members が除外されます。

複数の AuditConfig を使用したポリシーの例:

{
  "audit_configs": [
    {
      "service": "allServices"
      "audit_log_configs": [
        {
          "log_type": "DATA_READ",
          "exempted_members": [
            "user:[e-mail]"
          ]
        },
        {
          "log_type": "DATA_WRITE",
        },
        {
          "log_type": "ADMIN_READ",
        }
      ]
    },
    {
      "service": "fooservice.googleapis.com"
      "audit_log_configs": [
        {
          "log_type": "DATA_READ",
        },
        {
          "log_type": "DATA_WRITE",
          "exempted_members": [
            "user:[e-mail]"
          ]
        }
      ]
    }
  ]
}

fooservice の場合、このポリシーを使用すると、DATA_READ、DATA_WRITE、ADMIN_READ のロギングが有効になります。また、DATA_READ ロギングから [e-mail] が除外され、DATA_WRITE ロギングから [e-mail] が除外されます。

項目
service	string 監査ロギングの対象となるサービスを指定します。たとえば、storage.googleapis.com、cloudsql.googleapis.com、allServices は、すべてのサービスを網羅する特別な値です。
audit_log_configs[]	AuditLogConfig 権限のタイプごとのロギングの構成。

AuditLogConfig

特定の権限タイプをロギングする場合の構成を指定します。次に例を示します。

{
  "audit_log_configs": [
    {
      "log_type": "DATA_READ",
      "exempted_members": [
        "user:[e-mail]"
      ]
    },
    {
      "log_type": "DATA_WRITE",
    }
  ]
}

DATA_READ と DATA_WRITE のロギングが有効になり、[e-mail] は DATA_READ のロギングから除外されます。

項目
log_type	LogType この構成で有効にするログタイプ。
exempted_members[]	string この権限タイプのロギングが発生しない ID を指定します。Binding.members と同じ形式にします。

LogType

ロギングを有効にする権限タイプの一覧です。管理者の書き込みは常にロギングされますが、設定はできません。

列挙型
LOG_TYPE_UNSPECIFIED	デフォルト。これを使用することはありません。
ADMIN_READ	管理者読み取り。例: CloudIAM getIamPolicy
DATA_WRITE	データ書き込み。例: CloudSQL Users create
DATA_READ	データ読み取り。例: CloudSQL Users list

Binding

members を role に関連付けます。

フィールド
role	string members に割り当てられている役割。たとえば、roles/viewer、roles/editor、roles/owner です（必須）。
members[]	string Cloud Platform リソースへのアクセスをリクエストする ID を指定します。members は次の値を取ることができます。 allUsers: Google アカウントの有無を問わず、インターネット上のすべてのユーザーを表す特別な識別子。 allAuthenticatedUsers: Google アカウントまたはサービス アカウントで認証されるすべてのユーザーを表す特別な識別子。 user:{emailid}: 特定の Google アカウントを表すメールアドレス。たとえば、[e-mail] です。 serviceAccount:{emailid}: サービス アカウントを表すメールアドレス。例: [e-mail]。 group:{emailid}: Google グループを表すメールアドレス。例: [e-mail]。 domain:{domain}: Google Apps ドメイン名。そのドメインのすべてのユーザーを表します。例: google.com または example.com。

GetIamPolicyRequest

GetIamPolicy メソッドに対するリクエスト メッセージ。

項目
resource	string 必須: ポリシーがリクエストされているリソース。このフィールドに適切な値については、オペレーション ドキュメントをご覧ください。

Policy

Identity and Access Management（IAM）ポリシーを定義します。アクセス制御ポリシーを Cloud Platform リソースに指定するのに用いられます。

Policy は bindings のリストです。binding は members のリストを role に結合し、メンバーはユーザー アカウント、Google グループ、Google ドメイン、およびサービス アカウントになることができるようになります。role は IAM で定義された権限の名前付きリストです。

JSON の例

{
  "bindings": [
    {
      "role": "roles/owner",
      "members": [
        "user:[e-mail]",
        "group:[e-mail]",
        "domain:google.com",
        "serviceAccount:[e-mail]"
      ]
    },
    {
      "role": "roles/viewer",
      "members": ["user:[e-mail]"]
    }
  ]
}

YAML の例

bindings:
- members:
  - user:[e-mail]
  - group:[e-mail]
  - domain:google.com
  - serviceAccount:[e-mail]
  role: roles/owner
- members:
  - user:[e-mail]
  role: roles/viewer

IAM とその機能については、IAM デベロッパー ガイドをご覧ください。

項目
version (deprecated)	int32 この項目は非推奨です。 非推奨
bindings[]	Binding members のリストを role に関連付けます。bindings にメンバーが存在しないとエラーになります。
audit_configs[]	AuditConfig このポリシーに対する Cloud Audit Logging の監査ログを指定します。
etag	bytes etag は、オプティミスティック同時実行制御でポリシーの同時更新による相互上書きを防ぐために使用されます。競合状態の発生を回避するため、システムのポリシー更新の読み込み・変更・書き込みサイクルで etag を活用することを強くおすすめします。etag は getIamPolicy へのレスポンスで返されます。その etag を setIamPolicy に対するリクエストに設定すれば、対応する変更が同じバージョンのポリシーに確実に適用されるようになります。 etag が setIamPolicy への呼び出しに含まれていない場合、既存のポリシーがそのまま上書きされます。

SetIamPolicyRequest

SetIamPolicy メソッドに対するリクエスト メッセージ。

項目
resource	string 必須: ポリシーが指定されているリソースが存在すること。このフィールドに適切な値については、オペレーション ドキュメントをご覧ください。
policy	Policy 必須: resource に適用する完全なポリシー。ポリシーのサイズは 10 KB 強に制限されています。空のポリシーは有効なポリシーですが、特定の Cloud Platform サービス（Projects など）では、これらが拒否される場合があります。
update_mask	FieldMask 省略可能: 変更するポリシー フィールドを指定する FieldMask。マスク内のフィールドのみが変更されます。マスクが指定されていない場合、次のデフォルト マスクが使用されます。パス: bindings, etag。このフィールドは、Cloud IAM のみが使用します。

TestIamPermissionsRequest

TestIamPermissions メソッドに対するリクエスト メッセージ。

項目
resource	string 必須: ポリシーの詳細がリクエストされているリソース。このフィールドに適切な値については、オペレーション ドキュメントをご覧ください。
permissions[]	string resource に対して確認する権限のセット。ワイルドカード付きの権限（「*」や「storage.*」など）は使用できません。詳細については、IAM の概要を参照してください。

TestIamPermissionsResponse

TestIamPermissions メソッドに対するレスポンス メッセージ。

フィールド
permissions[]	string 呼び出し元が許可されている TestPermissionsRequest.permissions のサブセット。