Google云端平台：如何通过REST调用获取所有GCP资源中为特定身份分配的权限

如何解决Google云端平台：如何通过REST调用获取所有GCP资源中为特定身份分配的权限

GCP IAM：：在IAM中，访问资源的权限未直接授予最终用户。而是将权限分组为角色，然后将角色授予经过身份验证的成员。 IAM策略定义并强制向哪些成员授予什么角色，并且该策略附加到资源参考：https://cloud.google.com/iam/docs/overview

因此，基本上，对Google Cloud资源的访问控制由IAM策略管理。 IAM策略已附加到资源。

使用Cloud资源管理器API ，我们可以检索策略并检查分配给用户的权限，但这是以资源为中心的。可以检索组织，文件夹，项目等的策略。示例：https://cloud.google.com/resource-manager/reference/rest/v1/organizations/getIamPolicy

云资产清单：具有用于搜索所有IAM政策的API。使用Query Parameter，它为用户提供了一个过滤器，但它支持可在其上分配iam polciy的资源子集 API： https://cloud.google.com/asset-inventory/docs/reference/rest/v1/TopLevel/searchAllIamPolicies 参考：

问题： 是否有任何方法可以获取所有GCP资源中授予身份的所有权限，而不是检查每个资源的IAM策略？

基本上在寻找GCP中授予标识的所有权限的合并视图。问题在于使用API了解分配给单个资源的用户的权限，我们必须获取所有资源策略并检查其绑定

解决方法

到目前为止，还没有gcloud或API调用可以用来轻松检查授予特定资源（例如用户，服务帐户等）的权限，具体方法请参见您的问题。如您所知，您可以使用相关的gcloud command搜索分配给每个不同资源的特定角色，例如：

gcloud asset search-all-iam-policies --scope='projects/[YOUR-PROJECT-ID]' --query='policy:[YOUR-USERNAME]@[YOUR-DOMAIN]'

结果例如：

---
policy:
  bindings:
  - members:
    - projectOwner:[PROJECT-ID]
    - user:[YOUR-USERNAME]@[YOUR-DOMAIN]
    role: roles/bigquery.dataOwner
project: projects/[PROJECT-NUMBER]
resource: //bigquery.googleapis.com/projects/[PROJECT-ID]/datasets/[DATASET-NAME]
---
policy:
  bindings:
  - members:
    - user:[YOUR-USERNAME]@[YOUR-DOMAIN]
    role: projects/[PROJECT-ID]/roles/[CUSTOM-ROLE-NAME]
  - members:
    - user:[ANOTHER-USERNAME]@[YOUR-DOMAIN]
    - user:[YOUR-USERNAME]@[YOUR-DOMAIN]
    role: roles/owner
project: projects/[PROJECT-NUMBER]

然后从这些响应中解析与在每个资源处分配的role:相对应的字段，以查看使用相关的gcloud command为该特定角色分配了哪些权限：

gcloud iam roles describe [CHANGE-FOR-ROLE-(e.g. roles/owner)] --project=[PR0JECT-ID]

并检查与includedPermissions:字段对应的输出。

因此，我建议您在Feature Request上注视并遵循此GCP's Public Issue Tracker，以检查是否有可能在将来实施此问题。

Google云端平台：如何通过REST调用获取所有GCP资源中为特定身份分配的权限

如何解决Google云端平台：如何通过REST调用获取所有GCP资源中为特定身份分配的权限

解决方法

相关推荐