google-cloud-platform - 如何在谷歌云平台 (GCP) 中跨服务 (API)、资源类型和项目列出、查找或搜索 iam 策略？

Question

在 Google Cloud Platform (GCP) 中，您只能通过调用 getIamPolicy(gcloud 中的 get-iam-policy)来获取特定资源的 IAM 策略。

是否可以列出、搜索、列出、搜索或查找跨资源、服务或项目的 IAM 策略？

这是回答以下问题所必需的:

服务帐号有哪些角色？

哪些资源是公开共享的？

策略是否包含已删除的用户？

用户离开我公司后是否仍会出现在任何政策中？

用户是否具有给定的角色？

Answer 1

您可以使用 search-all-iam-policies 跨服务、资源类型、项目、文件夹或组织内的项目搜索所有 IAM 策略。
要浏览编号为 123 的项目中的策略(请注意，仅支持 listed resource types 的策略):

gcloud asset search-all-iam-policies --scope=projects/123

谁在我的组织中拥有所有者角色？

gcloud asset search-all-iam-policies --scope=organizations/456 --query="policy:roles/owner"

谁可以更改我组织中的项目 IAM 策略？

--query='policy.role.permissions:resourcemanager.projects.setIamPolicy'

账户有哪些角色？

--query="policy:123-compute@developer.gserviceaccount.com"

哪些资源是公开共享的？

--query="policy:(allUsers OR allAuthenticatedUsers)"

策略中是否有已删除的帐户？

--query="policy:deleted"

amy@bar.com 是否出现在任何政策中？

--query="policy:amy@bar.com"

amy@bar.com 是否具有所有者角色？

--query="policy:(roles/owner amy@bar.com)"

如何查找给定资源类型(例如项目)的所有 IAM 策略？

--query="policy:roles/owner resource://cloudresourcemanager.googleapis.com/projects"

是否有任何 Gmail 帐户具有所有者角色？

`--query="policy:(roles/owner *gmail*)"

您可以将范围更改为文件夹或项目。
要使用该命令，您必须:

启用 Cloud Asset API ，和

对作用域拥有 cloudasset.assets.searchAllIamPolicies 权限，包括在这些角色中:

角色/cloudasset.viewer

角色/cloudasset.owner

角色/观众

角色/编辑

角色/所有者

文档:

更多 gcloud 示例:https://cloud.google.com/asset-inventory/docs/searching-iam-policies-samples

指南:https://cloud.google.com/asset-inventory/docs/searching-iam-policies

API 引用:https://cloud.google.com/asset-inventory/docs/reference/rest/v1p1beta1/iamPolicies/searchAll

可搜索的资源类型:https://cloud.google.com/asset-inventory/docs/supported-asset-types#searchable_asset_types