Résoudre les problèmes liés aux autorisations IAM

Console

Pour résoudre les problèmes d'accès, procédez comme suit :

1. Dans la console Google Cloud, accédez à la page Policy Troubleshooter.

   Accéder à Policy Troubleshooter

2. Saisissez l'adresse e-mail du compte principal dont vous souhaitez vérifier l'accès.

3. Saisissez le nom de la ressource et l'autorisation à vérifier. Si vous ne connaissez pas le nom complet de la ressource ou l'autorisation, commencez à saisir du texte pour afficher les options de saisie semi-automatique.

4. Facultatif : pour vérifier plusieurs ressources et autorisations, sélectionnez Ajouter une autre paire et répétez l'étape précédente.

5. Cliquez sur Vérifier l'accès.

gcloud

Pour savoir pourquoi un compte principal dispose ou non d'une autorisation IAM, utilisez la commande gcloud policy-troubleshoot iam.

Avant d'utiliser les données de la commande ci-dessous, effectuez les remplacements suivants :

• EMAIL : adresse e-mail du compte principal dont vous souhaitez résoudre les problèmes d'autorisation.
• RESOURCE : ressource pour laquelle l'autorisation est accordée.
• PERMISSION : autorisation dont vous souhaitez résoudre les problèmes.

Exécutez la commande gcloud policy-résolution iam:

gcloud policy-troubleshoot iam RESOURCE --principal-email=EMAIL \
    --permission=PERMISSION

gcloud policy-troubleshoot iam RESOURCE --principal-email=EMAIL `
    --permission=PERMISSION

gcloud policy-troubleshoot iam RESOURCE --principal-email=EMAIL ^
    --permission=PERMISSION

Vous devriez obtenir un résultat semblable à celui-ci :

{
  "accessTuple": {
    "conditionContext": {
      "destination": {},
      "effectiveTags": [
        {
          "tagValue": "tagValues/281481941428044",
          "namespacedTagValue": "803434038361/env/dev",
          "tagKey": "tagKeys/281475994198094",
          "namespacedTagKey": "803434038361/env",
          "tagKeyParentName": "organizations/803434038361"
        }
      ],
      "request": {},
      "resource": {}
    },
    "fullResourceName": "//cloudresourcemanager.googleapis.com/projects/my-project",
    "permission": "compute.instances.get",
    "permissionFqdn": "compute.googleapis.com/instances.get",
    "principal": "[email protected]"
  },
  "allowPolicyExplanation": {
    "allowAccessState": "ALLOW_ACCESS_STATE_GRANTED",
    "explainedPolicies": [
      {
        "allowAccessState": "ALLOW_ACCESS_STATE_GRANTED",
        "bindingExplanations": [
          {
            "allowAccessState": "ALLOW_ACCESS_STATE_GRANTED",
            "combinedMembership": {
              "membership": "MEMBERSHIP_MATCHED",
              "relevance": "HEURISTIC_RELEVANCE_HIGH"
            },
            "memberships": {
              "user:[email protected]": {
                "membership": "MEMBERSHIP_MATCHED",
                "relevance": "HEURISTIC_RELEVANCE_HIGH"
              }
            },
            "relevance": "HEURISTIC_RELEVANCE_HIGH",
            "role": "roles/compute.viewer",
            "rolePermission": "ROLE_PERMISSION_INCLUDED",
            "rolePermissionRelevance": "HEURISTIC_RELEVANCE_HIGH"
          },
          {
            "allowAccessState": "ALLOW_ACCESS_STATE_NOT_GRANTED",
            "combinedMembership": {
              "membership": "MEMBERSHIP_NOT_MATCHED",
              "relevance": "HEURISTIC_RELEVANCE_NORMAL"
            },
            "memberships": {
              "user:[email protected]": {
                "membership": "MEMBERSHIP_NOT_MATCHED",
                "relevance": "HEURISTIC_RELEVANCE_NORMAL"
              }
            },
            "relevance": "HEURISTIC_RELEVANCE_NORMAL",
            "role": "roles/owner",
            "rolePermission": "ROLE_PERMISSION_INCLUDED",
            "rolePermissionRelevance": "HEURISTIC_RELEVANCE_HIGH"
          },
          {
            "allowAccessState": "ALLOW_ACCESS_STATE_NOT_GRANTED",
            "combinedMembership": {
              "membership": "MEMBERSHIP_MATCHED",
              "relevance": "HEURISTIC_RELEVANCE_NORMAL"
            },
            "memberships": {
              "user:[email protected]": {
                "membership": "MEMBERSHIP_MATCHED",
                "relevance": "HEURISTIC_RELEVANCE_NORMAL"
              }
            },
            "relevance": "HEURISTIC_RELEVANCE_NORMAL",
            "role": "roles/resourcemanager.organizationAdmin",
            "rolePermission": "ROLE_PERMISSION_NOT_INCLUDED",
            "rolePermissionRelevance": "HEURISTIC_RELEVANCE_NORMAL"
          }
        ],
        "fullResourceName": "//cloudresourcemanager.googleapis.com/projects/my-project",
        "policy": {
          "bindings": [
            {
              "members": [
                "user:[email protected]"
              ],
              "role": "roles/compute.viewer"
            },
            {
              "members": [
                "user:[email protected]"
              ],
              "role": "roles/owner"
            },
            {
              "members": [
                "user:[email protected]"
              ],
              "role": "roles/resourcemanager.organizationAdmin"
            },
          ],
          "etag": "BwX5/L9Vbg4=",
          "version": 3
        },
        "relevance": "HEURISTIC_RELEVANCE_HIGH"
      }
    ],
    "relevance": "HEURISTIC_RELEVANCE_NORMAL"
  },
  "denyPolicyExplanation": {
    "denyAccessState": "DENY_ACCESS_STATE_DENIED",
    "explainedResources": [
      {
        "denyAccessState": "DENY_ACCESS_STATE_DENIED",
        "explainedPolicies": [
          {
            "denyAccessState": "DENY_ACCESS_STATE_DENIED",
            "policy": {
              "createTime": "2023-04-18T07:15:47.702191Z",
              "displayName": "Deny compute instance get",
              "etag": "MTc3MDA1ODIyNjExNTMzMDg2NzI=",
              "kind": "DenyPolicy",
              "name": "policies/cloudresourcemanager.googleapis.com%2Fprojects%2F123456789012/denypolicies/deny-compute-get",
              "rules": [
                {
                  "denyRule": {
                    "deniedPrincipals": [
                      "principal://iam.googleapis.com/projects/-/serviceAccounts/[email protected]"
                    ],
                    "deniedPermissions": [
                      "compute.googleapis.com/instances.get"
                    ]
                  }
                }
              ],
              "uid": "77e93c80-b383-0027-268e-a52a608aa13d",
              "updateTime": "2023-04-18T07:15:47.702191Z",
            },
            "relevance": "HEURISTIC_RELEVANCE_HIGH",
            "ruleExplanations": [
              {
                "combinedDeniedPermission": {
                  "permissionMatchingState": "PERMISSION_PATTERN_MATCHED",
                  "relevance": "HEURISTIC_RELEVANCE_NORMAL"
                },
                "combinedDeniedPrincipal": {
                  "membership": "MEMBERSHIP_MATCHED",
                  "relevance": "HEURISTIC_RELEVANCE_NORMAL"
                },
                "combinedExceptionPermission": {
                  "permissionMatchingState": "PERMISSION_PATTERN_NOT_MATCHED",
                  "relevance": "HEURISTIC_RELEVANCE_NORMAL"
                },
                "combinedExceptionPrincipal": {
                  "membership": "MEMBERSHIP_NOT_MATCHED",
                  "relevance": "HEURISTIC_RELEVANCE_NORMAL"
                },
                "deniedPermissions": {
                  "compute.googleapis.com/instances.get": {
                    "permissionMatchingState": "PERMISSION_PATTERN_MATCHED",
                    "relevance": "HEURISTIC_RELEVANCE_NORMAL"
                  }
                },
                "deniedPrincipals": {
                  "principal://iam.googleapis.com/projects/-/serviceAccounts/[email protected]": {
                    "membership": "MEMBERSHIP_MATCHED",
                    "relevance": "HEURISTIC_RELEVANCE_NORMAL"
                  }
                },
                "denyAccessState": "DENY_ACCESS_STATE_DENIED",
                "relevance": "HEURISTIC_RELEVANCE_HIGH"
              }
            ]
          }
        ],
        "fullResourceName": "//cloudresourcemanager.googleapis.com/projects/123456789012",
        "relevance": "HEURISTIC_RELEVANCE_HIGH"
      }
    ],
    "permissionDeniable": true,
    "relevance": "HEURISTIC_RELEVANCE_HIGH"
  },
  "overallAccessState": "CANNOT_ACCESS"
}

REST

Pour savoir pourquoi un compte principal dispose ou non d'une autorisation IAM, utilisez la méthode iam.troubleshoot de l'API Policy Troubleshooter.

Avant d'utiliser les données de requête ci-dessous, effectuez les remplacements suivants:

• EMAIL : adresse e-mail du compte principal dont vous souhaitez résoudre les problèmes d'autorisation.
• RESOURCE : ressource pour laquelle l'autorisation est accordée.
• PERMISSION : autorisation dont vous souhaitez résoudre les problèmes.
• PROJECT_ID: ID du projet que vous souhaitez utiliser pour envoyer la requête. Les ID de projet sont des chaînes alphanumériques, telles que my-project.

Méthode HTTP et URL :

POST http://policytroubleshooter.googleapis.com/v3beta/iam:troubleshoot

Corps JSON de la requête :

{
  "accessTuple": {
    "principal": "EMAIL",
    "fullResourceName": "RESOURCE",
    "permission": "PERMISSION"
  }
}

Pour envoyer votre requête, développez l'une des options suivantes :

curl -X POST \
    -H "Authorization: Bearer $(gcloud auth print-access-token)" \
    -H "x-goog-user-project: PROJECT_ID" \
    -H "Content-Type: application/json; charset=utf-8" \
    -d @request.json \
    "http://policytroubleshooter.googleapis.com/v3beta/iam:troubleshoot"

$cred = gcloud auth print-access-token
$headers = @{ "Authorization" = "Bearer $cred"; "x-goog-user-project" = "PROJECT_ID" }

Invoke-WebRequest `
    -Method POST `
    -Headers $headers `
    -ContentType: "application/json; charset=utf-8" `
    -InFile request.json `
    -Uri "http://policytroubleshooter.googleapis.com/v3beta/iam:troubleshoot" | Select-Object -Expand Content

Vous devriez recevoir une réponse JSON de ce type :

{
  "overallAccessState": "CANNOT_ACCESS",
  "accessTuple": {
    "principal": "[email protected]",
    "fullResourceName": "//cloudresourcemanager.googleapis.com/projects/my-project",
    "permission": "compute.instances.get",
    "permissionFqdn": "compute.googleapis.com/instances.get",
    "conditionContext": {
      "effectiveTags": [
        {
          "tagValue": "tagValues/281481941428044",
          "namespacedTagValue": "803434038361/env/dev",
          "tagKey": "tagKeys/281475994198094",
          "namespacedTagKey": "803434038361/env",
          "tagKeyParentName": "organizations/803434038361"
        }
      ]
    }
  },
  "allowPolicyExplanation": {
    "allowAccessState": "ALLOW_ACCESS_STATE_GRANTED",
    "explainedPolicies": [
      {
        "allowAccessState": "ALLOW_ACCESS_STATE_GRANTED",
        "fullResourceName": "//cloudresourcemanager.googleapis.com/projects/my-project",
        "bindingExplanations": [
          {
            "allowAccessState": "ALLOW_ACCESS_STATE_GRANTED",
            "role": "roles/compute.viewer",
            "rolePermission": "ROLE_PERMISSION_INCLUDED",
            "rolePermissionRelevance": "HEURISTIC_RELEVANCE_HIGH",
            "combinedMembership": {
              "membership": "MEMBERSHIP_MATCHED",
              "relevance": "HEURISTIC_RELEVANCE_HIGH"
            },
            "memberships": {
              "user:[email protected]": {
                "membership": "MEMBERSHIP_MATCHED",
                "relevance": "HEURISTIC_RELEVANCE_HIGH"
              }
            },
            "relevance": "HEURISTIC_RELEVANCE_HIGH"
          },
          {
            "allowAccessState": "ALLOW_ACCESS_STATE_NOT_GRANTED",
            "role": "roles/owner",
            "rolePermission": "ROLE_PERMISSION_INCLUDED",
            "rolePermissionRelevance": "HEURISTIC_RELEVANCE_HIGH",
            "combinedMembership": {
              "membership": "MEMBERSHIP_NOT_MATCHED",
              "relevance": "HEURISTIC_RELEVANCE_NORMAL"
            },
            "memberships": {
              "user:[email protected]": {
                "membership": "MEMBERSHIP_NOT_MATCHED",
                "relevance": "HEURISTIC_RELEVANCE_NORMAL"
              }
            },
            "relevance": "HEURISTIC_RELEVANCE_NORMAL"
          },
          {
            "allowAccessState": "ALLOW_ACCESS_STATE_NOT_GRANTED",
            "role": "roles/resourcemanager.organizationAdmin",
            "rolePermission": "ROLE_PERMISSION_NOT_INCLUDED",
            "rolePermissionRelevance": "HEURISTIC_RELEVANCE_NORMAL",
            "combinedMembership": {
              "membership": "MEMBERSHIP_MATCHED",
              "relevance": "HEURISTIC_RELEVANCE_NORMAL"
            },
            "memberships": {
              "user:[email protected]": {
                "membership": "MEMBERSHIP_MATCHED",
                "relevance": "HEURISTIC_RELEVANCE_NORMAL"
              }
            },
            "relevance": "HEURISTIC_RELEVANCE_NORMAL"
          }
        ],
        "relevance": "HEURISTIC_RELEVANCE_HIGH",
        "policy": {
          "version": 3,
          "etag": "BwX5/L9Vbg4=",
          "bindings": [
            {
              "role": "roles/compute.viewer",
              "members": [
                "user:[email protected]"
              ]
            },
            {
              "role": "roles/owner",
              "members": [
                "user:[email protected]"
              ]
            },
            {
              "role": "roles/resourcemanager.organizationAdmin",
              "members": [
                "user:[email protected]"
              ]
            },
          ]
        }
      }
    ],
    "relevance": "HEURISTIC_RELEVANCE_NORMAL"
  },
  "denyPolicyExplanation": {
    "denyAccessState": "DENY_ACCESS_STATE_DENIED",
    "explainedResources": [
      {
        "denyAccessState": "DENY_ACCESS_STATE_DENIED",
        "fullResourceName": "//cloudresourcemanager.googleapis.com/projects/123456789012",
        "explainedPolicies": [
          {
            "denyAccessState": "DENY_ACCESS_STATE_DENIED",
            "policy": {
              "name": "policies/cloudresourcemanager.googleapis.com%2Fprojects%2F123456789012/denypolicies/deny-compute-get",
              "uid": "77e93c80-b383-0027-268e-a52a608aa13d",
              "kind": "DenyPolicy",
              "displayName": "Deny compute instance get",
              "etag": "MTc3MDA1ODIyNjExNTMzMDg2NzI=",
              "createTime": "2023-04-18T07:15:47.702191Z",
              "updateTime": "2023-04-18T07:15:47.702191Z",
              "rules": [
                {
                  "denyRule": {
                    "deniedPrincipals": [
                      "principal://iam.googleapis.com/projects/-/serviceAccounts/[email protected]"
                    ],
                    "deniedPermissions": [
                      "compute.googleapis.com/instances.get"
                    ]
                  }
                }
              ]
            },
            "ruleExplanations": [
              {
                "denyAccessState": "DENY_ACCESS_STATE_DENIED",
                "combinedDeniedPermission": {
                  "permissionMatchingState": "PERMISSION_PATTERN_MATCHED",
                  "relevance": "HEURISTIC_RELEVANCE_NORMAL"
                },
                "deniedPermissions": {
                  "compute.googleapis.com/instances.get": {
                    "permissionMatchingState": "PERMISSION_PATTERN_MATCHED",
                    "relevance": "HEURISTIC_RELEVANCE_NORMAL"
                  }
                },
                "combinedExceptionPermission": {
                  "permissionMatchingState": "PERMISSION_PATTERN_NOT_MATCHED",
                  "relevance": "HEURISTIC_RELEVANCE_NORMAL"
                },
                "combinedDeniedPrincipal": {
                  "membership": "MEMBERSHIP_MATCHED",
                  "relevance": "HEURISTIC_RELEVANCE_NORMAL"
                },
                "deniedPrincipals": {
                  "principal://iam.googleapis.com/projects/-/serviceAccounts/[email protected]": {
                    "membership": "MEMBERSHIP_MATCHED",
                    "relevance": "HEURISTIC_RELEVANCE_NORMAL"
                  }
                },
                "combinedExceptionPrincipal": {
                  "membership": "MEMBERSHIP_NOT_MATCHED",
                  "relevance": "HEURISTIC_RELEVANCE_NORMAL"
                },
                "relevance": "HEURISTIC_RELEVANCE_HIGH"
              }
            ],
            "relevance": "HEURISTIC_RELEVANCE_HIGH"
          }
        ],
        "relevance": "HEURISTIC_RELEVANCE_HIGH"
      }
    ],
    "relevance": "HEURISTIC_RELEVANCE_HIGH",
    "permissionDeniable": true
  }
}

Console

La page de résultats contient les informations suivantes :

• Détails de l'évaluation
• Détails de la règle, qui contient les éléments suivants :
  • État de l'accès
  • Règle de refus
  • Autoriser la stratégie

Détails de l'évaluation

La section Détails de l'évaluation contient un résumé de l'accès que vous corrigez, y compris le compte principal, la ressource et l'autorisation spécifiés. Si vous dépannez plusieurs paires d'autorisations de ressources, vous pouvez utiliser la liste Accéder à l'évaluation pour passer de l'une à l'autre.

Détails des règles

La section Détails des règles décrit l'impact des règles d'autorisation et de refus pertinentes sur l'accès du compte principal.

Les règles d'autorisation et de refus suivantes s'appliquent:

• La stratégie d'autorisation de la ressource
• Les règles de refus de la ressource, le cas échéant
• Les stratégies d'autorisation du projet, du dossier et de l'organisation parent de la ressource, le cas échéant
• Les stratégies de refus du projet, du dossier et de l'organisation parent de la ressource, le cas échéant

Les stratégies d'autorisation et de refus des projets, dossiers et organisations parents sont pertinentes en raison de l'héritage des stratégies. Lorsque vous associez une stratégie d'autorisation ou de refus à un projet, un dossier ou une organisation, cette stratégie s'applique également à toutes les ressources de ce projet, ce dossier ou cette organisation.

Par exemple, si une stratégie de refus pour une organisation indique qu'un compte principal ne peut pas utiliser une autorisation spécifique, le compte principal ne peut utiliser cette autorisation sur aucune ressource de l'organisation. Cette règle s'applique même si les dossiers et les projets de cette organisation sont associés à des stratégies de refus plus permissives ou à des stratégies d'autorisation qui accordent cette autorisation au compte principal.

De même, si une stratégie d'autorisation pour un projet accorde une autorisation spécifique à un compte principal, celui-ci dispose de cette autorisation pour n'importe quelle ressource du projet, à condition que cette autorisation ne lui soit pas refusée.

La section Détails de la règle contient les sections suivantes:

• État de l'accès
• Règle de refus
• Autoriser la stratégie

État de l'accès

La section État de l'accès contient un bref résumé de l'accès du compte principal en fonction des stratégies d'autorisation et de refus IAM pertinentes. Ce résumé inclut l'impact des stratégies d'autorisation et de refus, ainsi que le résultat final de l'accès basé sur les stratégies d'autorisation et de refus pertinentes.

Règle de refus

Dans la section Règle de refus, vous pouvez afficher toutes les règles de refus pertinentes, identifier celles qui refusent l'accès au compte principal et comprendre pourquoi une règle de refus refuse ou n'interdit pas l'autorisation via le compte principal.

Le volet Ressources avec des règles de refus liste toutes les règles de refus pertinentes, organisées en fonction des ressources auxquelles elles sont associées. À côté de chaque règle de refus se trouve une évaluation des accès. Cette évaluation ne s'applique qu'à cette règle de refus. Elle ne reflète aucun accès depuis les règles héritées. Si vous n'êtes pas autorisé à afficher la stratégie de refus d'une ressource, la liste des ressources n'inclut pas cette ressource ni ses règles de refus.

Pour afficher les règles de refus pertinentes qui s'y trouvent, cliquez sur l'une d'elles. Pour afficher toutes les règles de refus des stratégies de refus d'une ressource, cliquez sur la ressource concernée. Les règles de refus apparaissent dans le volet Règles de refus. Ce volet contient un tableau de toutes les règles de refus, y compris le compte principal interrogé ou l'autorisation pour la ressource ou la stratégie de refus que vous avez sélectionnée.

La colonne Accès indique si la règle de refus refuse le compte principal. Pour en savoir plus sur la règle de refus, cliquez sur Voir la règle de refus sur la ligne de cette règle.

Autoriser la stratégie

Dans la section Stratégie d'autorisation, vous pouvez parcourir toutes les stratégies d'autorisation pertinentes, identifier les liaisons de rôles qui accordent l'accès au compte principal, et comprendre pourquoi une liaison de rôle accorde ou non l'autorisation au compte principal.

Le volet Ressources répertorie la ressource spécifiée et ses ancêtres. À côté de chaque ressource se trouve une évaluation des accès. Cette évaluation ne s'applique qu'à la stratégie d'autorisation de cette ressource et ne reflète aucun accès depuis les règles héritées. Si vous n'êtes pas autorisé à afficher la stratégie d'autorisation d'une ressource, la liste des ressources n'inclut pas cette ressource.

Pour afficher les liaisons de rôles pertinentes dans la stratégie d'autorisation d'une ressource, et savoir comment elles accordent ou non l'autorisation au compte principal, cliquez sur la ressource. Les liaisons de la stratégie d'autorisation apparaissent dans le volet Les liaisons de rôles.

Le volet Role liaisons (Liaisons de rôles) contient une table de liaisons de rôles dans la stratégie d'autorisation de la ressource sélectionnée. Par défaut, la table ne contient que les liaisons de rôles qui incluent un rôle doté de l'autorisation spécifiée. Si le compte principal n'a pas d'accès, le tableau affiche également les liaisons de rôles avec des rôles personnalisés modifiables. Pour afficher toutes les liaisons de rôles, décochez la case Afficher uniquement les liaisons pertinentes.

La colonne Accès indique si la liaison de rôle accorde l'autorisation au compte principal. Pour en savoir plus sur la liaison de rôle, cliquez sur Afficher les détails de la liaison sur la ligne de cette liaison.

gcloud

La réponse contient quatre sections principales: une description du tuple d'accès dans la requête, les résultats de l'évaluation de la règle d'autorisation, les résultats de l'évaluation de la règle de refus et l'état d'accès global.

• accessTuple: description du tuple d'accès dans la requête, y compris le contexte de condition que vous avez fourni. Cette section contient également un résumé des tags qui s'appliquent à la ressource.

• allowPolicyExplanation: résumé indiquant si les stratégies d'autorisation appropriées accordent l'autorisation au compte principal, suivie d'une liste de stratégies d'autorisation et de leurs liaisons de rôles.

  Pour chaque stratégie d'autorisation, la réponse répertorie toutes les liaisons de rôles dans la stratégie et les évalue en fonction des critères suivants:

  • Indique si la liaison inclut l'autorisation.
  • Indique si la liaison inclut le compte principal.
  • Indique si les conditions de la liaison, le cas échéant, sont remplies.

  La réponse affiche ensuite le texte JSON complet de la stratégie d'autorisation.

• denyPolicyExplanation: indique si les stratégies de refus pertinentes refusent l'autorisation au compte principal, suivie d'une liste de ressources contenant les stratégies de refus. Pour chaque ressource, la réponse liste toutes les stratégies de refus associées à la ressource.

  Pour chaque stratégie de refus, la réponse affiche les métadonnées de la stratégie, répertorie les règles de refus, puis évalue chaque règle en fonction des critères suivants:

  • Indique si la règle de refus inclut l'autorisation.
  • Indique si l'autorisation est répertoriée en tant qu'exception dans la règle de refus.
  • Indique si la règle de refus inclut le compte principal.
  • Indique si le compte principal est listé en tant qu'exception dans la règle de refus.
  • Indique les conditions de la règle de refus, le cas échéant.

• overallAccessState: indique si le compte principal peut utiliser l'autorisation spécifiée pour accéder à la ressource spécifiée, en fonction des règles d'autorisation et de refus appropriées.

  Les règles d'autorisation et de refus suivantes s'appliquent:

  • La stratégie d'autorisation de la ressource
  • Les règles de refus de la ressource, le cas échéant
  • Les stratégies d'autorisation du projet, du dossier et de l'organisation parent de la ressource, le cas échéant
  • Les stratégies de refus du projet, du dossier et de l'organisation parent de la ressource, le cas échéant

  Les stratégies d'autorisation et de refus des projets, dossiers et organisations parents sont pertinentes en raison de l'héritage des stratégies. Lorsque vous associez une stratégie d'autorisation ou de refus à un projet, un dossier ou une organisation, cette stratégie s'applique également à toutes les ressources de ce projet, ce dossier ou cette organisation.

  Par exemple, si une stratégie de refus pour une organisation indique qu'un compte principal ne peut pas utiliser une autorisation spécifique, le compte principal ne peut utiliser cette autorisation sur aucune ressource de l'organisation. Cette règle s'applique même si les dossiers et les projets de cette organisation sont associés à des stratégies de refus plus permissives ou à des stratégies d'autorisation qui accordent cette autorisation au compte principal.

  De même, si une stratégie d'autorisation pour un projet accorde une autorisation spécifique à un compte principal, celui-ci dispose de cette autorisation pour n'importe quelle ressource du projet, à condition que cette autorisation ne lui soit pas refusée.

De nombreux objets de la réponse comportent également un champ relevance. La valeur de ce champ indique dans quelle mesure cet objet contribue à l'état d'accès global. Le champ relevance peut avoir les valeurs suivantes:

• HEURISTIC_RELEVANCE_HIGH: indique que l'objet a un impact important sur le résultat. En d'autres termes, la suppression de l'objet modifiera probablement l'état d'accès global. Par exemple, une liaison de rôle qui accorde au compte principal l'autorisation spécifiée aura cette valeur de pertinence.

• HEURISTIC_RELEVANCE_NORMAL: indique que l'objet a un impact limité sur le résultat. En d'autres termes, la suppression de l'objet ne modifiera probablement pas l'état d'accès global. Par exemple, une règle de refus qui ne contient pas l'autorisation ou le compte principal aurait cette valeur de pertinence.

REST

La réponse contient quatre sections principales: l'état d'accès global, une description du tuple d'accès dans la requête, les résultats de l'évaluation de la règle d'autorisation et les résultats de l'évaluation de la règle de refus.

• overallAccessState: indique si le compte principal peut utiliser l'autorisation spécifiée pour accéder à la ressource spécifiée, en fonction des règles d'autorisation et de refus appropriées.

  Les règles d'autorisation et de refus suivantes s'appliquent:

  • La stratégie d'autorisation de la ressource
  • Les règles de refus de la ressource, le cas échéant
  • Les stratégies d'autorisation du projet, du dossier et de l'organisation parent de la ressource, le cas échéant
  • Les stratégies de refus du projet, du dossier et de l'organisation parent de la ressource, le cas échéant

  Les stratégies d'autorisation et de refus des projets, dossiers et organisations parents sont pertinentes en raison de l'héritage des stratégies. Lorsque vous associez une stratégie d'autorisation ou de refus à un projet, un dossier ou une organisation, cette stratégie s'applique également à toutes les ressources de ce projet, ce dossier ou cette organisation.

  Par exemple, si une stratégie de refus pour une organisation indique qu'un compte principal ne peut pas utiliser une autorisation spécifique, le compte principal ne peut utiliser cette autorisation sur aucune ressource de l'organisation. Cette règle s'applique même si les dossiers et les projets de cette organisation sont associés à des stratégies de refus plus permissives ou à des stratégies d'autorisation qui accordent cette autorisation au compte principal.

  De même, si une stratégie d'autorisation pour un projet accorde une autorisation spécifique à un compte principal, celui-ci dispose de cette autorisation pour n'importe quelle ressource du projet, à condition que cette autorisation ne lui soit pas refusée.

• accessTuple: description du tuple d'accès dans la requête, y compris le contexte de condition que vous avez fourni. Cette section contient également un résumé des tags qui s'appliquent à la ressource.

• allowPolicyExplanation: résumé indiquant si les stratégies d'autorisation appropriées accordent l'autorisation au compte principal, suivie d'une liste de stratégies d'autorisation et de leurs liaisons de rôles.

  Pour chaque stratégie d'autorisation, la réponse répertorie toutes les liaisons de rôles dans la stratégie et les évalue en fonction des critères suivants:

  • Indique si la liaison inclut l'autorisation.
  • Indique si la liaison inclut le compte principal.
  • Indique si les conditions de la liaison, le cas échéant, sont remplies.

  La réponse affiche ensuite le texte JSON complet de la stratégie d'autorisation.

• denyPolicyExplanation: indique si les stratégies de refus pertinentes refusent l'autorisation au compte principal, suivie d'une liste de ressources contenant les stratégies de refus. Pour chaque ressource, la réponse liste toutes les stratégies de refus associées à la ressource.

  Pour chaque stratégie de refus, la réponse affiche les métadonnées de la stratégie, répertorie les règles de refus, puis évalue chaque règle en fonction des critères suivants:

  • Indique si la règle de refus inclut l'autorisation.
  • Indique si l'autorisation est répertoriée en tant qu'exception dans la règle de refus.
  • Indique si la règle de refus inclut le compte principal.
  • Indique si le compte principal est listé en tant qu'exception dans la règle de refus.
  • Indique les conditions de la règle de refus, le cas échéant.

De nombreux objets de la réponse comportent également un champ relevance. La valeur de ce champ indique dans quelle mesure cet objet contribue à l'état d'accès global. Le champ relevance peut avoir les valeurs suivantes:

• HEURISTIC_RELEVANCE_HIGH: indique que l'objet a un impact important sur le résultat. En d'autres termes, la suppression de l'objet modifiera probablement l'état d'accès global. Par exemple, une liaison de rôle qui accorde au compte principal l'autorisation spécifiée aura cette valeur de pertinence.

• HEURISTIC_RELEVANCE_NORMAL: indique que l'objet a un impact limité sur le résultat. En d'autres termes, la suppression de l'objet ne modifiera probablement pas l'état d'accès global. Par exemple, une règle de refus qui ne contient pas l'autorisation ou le compte principal aurait cette valeur de pertinence.

Console

Pour résoudre les problèmes liés aux liaisons de rôles conditionnelles et aux règles de refus, procédez comme suit:

1. Dans la console Google Cloud, accédez à la page Explorateur de journaux.

   Accédez à l'explorateur de journaux.

2. Si le titre de la page est Legacy Logs Viewer (Ancienne version de la visionneuse de journaux), cliquez sur la liste déroulante Upgrade (Mettre à niveau) et sélectionnez Upgrade to new Logs Explorer (Mettre à niveau vers le nouvel explorateur de journaux).

3. Pour n'afficher que les journaux d'audit des activités d'administration et des accès aux données, saisissez la requête suivante dans le générateur de requêtes, puis cliquez sur Exécuter la requête :

   logName=("RESOURCE_TYPE/RESOURCE_ID/logs/cloudaudit.googleapis.com%2Factivity" OR "RESOURCE_TYPE/RESOURCE_ID/logs/cloudaudit.googleapis.com%2Fdata_access")
   

   Remplacez les valeurs suivantes :

   • RESOURCE_TYPE : type de ressource pour lequel vous souhaitez répertorier les journaux d'audit. Utilisez projects, folders ou organizations.
   • RESOURCE_ID : ID de votre ressource.

4. Recherchez l'entrée du journal d'audit qui correspond à la requête que vous souhaitez résoudre. Pour découvrir comment rechercher des entrées de journal spécifiques à l'aide de l'explorateur de journaux, consultez la page Utiliser l'explorateur de journaux.

5. Dans la colonne Résumé de l'entrée de journal, cliquez sur IAM, puis sur Résoudre un problème d'accès.

   Policy Troubleshooter utilise les informations de l'entrée de journal pour résoudre les problèmes d'accès, puis affiche les résultats. Le contexte supplémentaire est indiqué dans les détails de l'évaluation sous Contexte de la condition. Pour afficher les détails du contexte, cliquez sur Afficher le contexte de la condition. Pour en savoir plus sur la page de résultats de Policy Troubleshooter, consultez la section Résoudre les problèmes d'accès sur cette page.

6. Facultatif: Pour résoudre une autre requête impliquant des liaisons de rôles conditionnelles et des règles de refus, revenez à la page de l'explorateur de journaux et répétez les étapes précédentes.

gcloud

Pour résoudre les problèmes liés aux liaisons de rôles conditionnelles et aux règles de refus, exécutez la commande gcloud policy-troubleshoot iam.

Avant d'utiliser les données de la commande ci-dessous, effectuez les remplacements suivants :

• EMAIL: adresse e-mail du compte principal pour lequel vous souhaitez résoudre les autorisations.
• RESOURCE: ressource pour laquelle l'autorisation est accordée.
• PERMISSION: autorisation que vous souhaitez dépanner.
• DESTINATION_IP : facultatif. Adresse IP de destination de la requête à utiliser lors de la vérification des liaisons de rôles conditionnelles. Exemple : 198.1.1.1.
• DESTINATION_PORT : facultatif. Port de destination de la requête à utiliser lors de la vérification des liaisons de rôles conditionnelles. Exemple : "8080".
• REQUEST_TIME : facultatif. Horodatage de la requête à utiliser lors de la vérification des liaisons de rôles conditionnelles. Indiquez un code temporel au format RFC 3339 (par exemple, 2099-02-01T00:00:00Z).
• RESOURCE_NAME : facultatif. Valeur du nom de ressource à utiliser lors de la vérification des liaisons de rôles conditionnelles. Pour obtenir la liste des formats de noms de ressources acceptés, consultez la section Format du nom de ressource.
• RESOURCE_SERVICE : facultatif. Valeur du service de ressources à utiliser lors de la vérification des liaisons de rôles conditionnelles. Pour obtenir la liste des noms de service acceptés, consultez la section Valeurs de service de ressources.
• RESOURCE_TYPE : facultatif. Pour obtenir la liste des types de ressources acceptés, consultez la section Valeurs de type de ressource.

Exécutez la commande gcloud policy-résolution iam:

gcloud policy-troubleshoot iam RESOURCE --principal-email=EMAIL \
    --permission=PERMISSION --destination-ip=DESTINATION_IP \
    --destination-port=DESTINATION_PORT --request-time=REQUEST_TIME \
    --resource-name=RESOURCE_NAME --resource-service=RESOURCE_SERVICE \
    --resource-type=RESOURCE_TYPE

gcloud policy-troubleshoot iam RESOURCE --principal-email=EMAIL `
    --permission=PERMISSION --destination-ip=DESTINATION_IP `
    --destination-port=DESTINATION_PORT --request-time=REQUEST_TIME `
    --resource-name=RESOURCE_NAME --resource-service=RESOURCE_SERVICE `
    --resource-type=RESOURCE_TYPE

gcloud policy-troubleshoot iam RESOURCE --principal-email=EMAIL ^
    --permission=PERMISSION --destination-ip=DESTINATION_IP ^
    --destination-port=DESTINATION_PORT --request-time=REQUEST_TIME ^
    --resource-name=RESOURCE_NAME --resource-service=RESOURCE_SERVICE ^
    --resource-type=RESOURCE_TYPE

La réponse contient une explication de l'accès du compte principal. Pour chaque règle de liaison et de refus de rôle avec une condition, la réponse inclut un champ conditionExplanation décrivant si la condition prend la valeur "true" ou "false" en fonction du contexte de condition que vous avez fourni.

Par exemple, voici une évaluation d'une liaison de rôle avec une condition spécifiant le type de ressource et le service de ressources:

...
{
  "allowAccessState": "ALLOW_ACCESS_STATE_GRANTED",
  "combinedMembership": {
    "membership": "MEMBERSHIP_MATCHED",
    "relevance": "HEURISTIC_RELEVANCE_HIGH"
  },
  "condition": {
    "expression": " resource.type \u003d\u003d \"compute.googleapis.com/Instance\" \u0026\u0026 resource.service \u003d\u003d \"compute.googleapis.com\"",
    "title": "Compute instances only",
    "description": "Condition that limits permissions to only Compute instances"
  },
  "conditionExplanation": {
    "evaluationStates": [{
      "end": 51,
      "start": 1,
      "value": true
    }, {
      "end": 99,
      "start": 55,
      "value": true
    }],
    "value": true,
  },
  "memberships": {
    "user:[email protected]": {
      "membership": "MEMBERSHIP_MATCHED",
      "relevance": "HEURISTIC_RELEVANCE_HIGH"
    }
  },
  "relevance": "HEURISTIC_RELEVANCE_HIGH",
  "role": "roles/compute.viewer",
  "rolePermission": "ROLE_PERMISSION_INCLUDED",
  "rolePermissionRelevance": "HEURISTIC_RELEVANCE_HIGH"
}
...

REST

Pour résoudre les problèmes liés aux liaisons de rôles conditionnelles et aux règles de refus, utilisez la méthode iam.troubleshoot de l'API Policy Troubleshooter.

Avant d'utiliser les données de requête ci-dessous, effectuez les remplacements suivants:

• EMAIL: adresse e-mail du compte principal pour lequel vous souhaitez résoudre les autorisations.
• RESOURCE: ressource pour laquelle l'autorisation est accordée.
• PERMISSION: autorisation que vous souhaitez dépanner.
• DESTINATION_IP : facultatif. Adresse IP de destination de la requête à utiliser lors de la vérification des liaisons de rôles conditionnelles. Exemple : 198.1.1.1.
• DESTINATION_PORT : facultatif. Port de destination de la requête à utiliser lors de la vérification des liaisons de rôles conditionnelles. Exemple : "8080".
• REQUEST_TIME : facultatif. Horodatage de la requête à utiliser lors de la vérification des liaisons de rôles conditionnelles. Indiquez un code temporel au format RFC 3339 (par exemple, 2099-02-01T00:00:00Z).
• RESOURCE_NAME : facultatif. Valeur du nom de ressource à utiliser lors de la vérification des liaisons de rôles conditionnelles. Pour obtenir la liste des formats de noms de ressources acceptés, consultez la section Format du nom de ressource.
• RESOURCE_SERVICE : facultatif. Valeur du service de ressources à utiliser lors de la vérification des liaisons de rôles conditionnelles. Pour obtenir la liste des noms de service acceptés, consultez la section Valeurs de service de ressources.
• RESOURCE_TYPE : facultatif. Pour obtenir la liste des types de ressources acceptés, consultez la section Valeurs de type de ressource.

Méthode HTTP et URL :

POST http://policytroubleshooter.googleapis.com/v3beta/iam:troubleshoot

Corps JSON de la requête :

{
  "accessTuple": {
    "principal": "EMAIL",
    "fullResourceName": "RESOURCE",
    "permission": "PERMISSION",
    "conditionContext": {
      "destination": {
        "ip": DESTINATION_IP,
        "port": DESTINATION_PORT
      },
      "request": {
        "receiveTime": REQUEST_TIME
      },
      "resource": {
        "name": RESOURCE_NAME,
        "service": RESOURCE_SERVICE,
        "type": RESOURCE_TYPE
      }
    }
  }
}

Pour envoyer votre requête, développez l'une des options suivantes :

curl -X POST \
    -H "Authorization: Bearer $(gcloud auth print-access-token)" \
    -H "x-goog-user-project: PROJECT_ID" \
    -H "Content-Type: application/json; charset=utf-8" \
    -d @request.json \
    "http://policytroubleshooter.googleapis.com/v3beta/iam:troubleshoot"

$cred = gcloud auth print-access-token
$headers = @{ "Authorization" = "Bearer $cred"; "x-goog-user-project" = "PROJECT_ID" }

Invoke-WebRequest `
    -Method POST `
    -Headers $headers `
    -ContentType: "application/json; charset=utf-8" `
    -InFile request.json `
    -Uri "http://policytroubleshooter.googleapis.com/v3beta/iam:troubleshoot" | Select-Object -Expand Content

La réponse contient une explication de l'accès du compte principal. Pour chaque règle de liaison et de refus de rôle avec une condition, la réponse inclut un champ conditionExplanation décrivant si la condition prend la valeur "true" ou "false" en fonction du contexte de condition que vous avez fourni.

Par exemple, voici une évaluation d'une liaison de rôle avec une condition spécifiant le type de ressource et le service de ressources:

...
{
  "allowAccessState": "ALLOW_ACCESS_STATE_GRANTED",
  "role": "roles/compute.viewer",
  "rolePermission": "ROLE_PERMISSION_INCLUDED",
  "rolePermissionRelevance": "HEURISTIC_RELEVANCE_HIGH",
  "combinedMembership": {
    "membership": "MEMBERSHIP_MATCHED",
    "relevance": "HEURISTIC_RELEVANCE_HIGH"
  },
  "memberships": {
    "user:[email protected]": {
      "membership": "MEMBERSHIP_MATCHED",
      "relevance": "HEURISTIC_RELEVANCE_HIGH"
    }
  },
  "relevance": "HEURISTIC_RELEVANCE_HIGH",
  "condition": {
    "expression": " resource.type \u003d\u003d \"compute.googleapis.com/Instance\" \u0026\u0026 resource.service \u003d\u003d \"compute.googleapis.com\"",
    "title": "Compute instances only",
    "description": "Condition that limits permissions to only Compute instances"
  },
  "conditionExplanation": {
    "value": true,
    "evaluationStates": [{
      "start": 1,
      "end": 51,
      "value": true
    }, {
      "start": 55,
      "end": 99,
      "value": true
    }]
  }
}
...