Gestire le associazioni di ruoli condizionali

Questo argomento descrive come aggiungere, modificare e rimuovere le associazioni di ruoli condizionali nei criteri di autorizzazione IAM (Identity and Access Management).

Prima di iniziare

• Abilita l'API IAM.

  Ruoli richiesti per abilitare le API

  Per abilitare le API, devi disporre dell'autorizzazione serviceusage.services.enable. Se hai creato il progetto, probabilmente disponi già di questa autorizzazione tramite il ruolo Proprietario (roles/owner). In caso contrario, puoi ottenere questa autorizzazione tramite il ruolo Amministratore utilizzo dei servizi (roles/serviceusage.serviceUsageAdmin). Scopri come concedere i ruoli.

  Abilitare l'API

• Leggi la panoramica delle condizioni IAM per comprendere le nozioni di base dei binding dei ruoli condizionali IAM.

• Consulta il riferimento agli attributi per scoprire i diversi attributi di condizione che possono essere utilizzati in un'espressione.

Ruoli obbligatori

Per gestire le associazioni di ruolo condizionali nel criterio di autorizzazione di una risorsa, devi disporre delle autorizzazioni per ottenere la risorsa e per ottenere e impostare il criterio di autorizzazione per la risorsa. Queste autorizzazioni hanno il seguente formato, in cui SERVICE è il nome del servizio proprietario della risorsa e RESOURCE_TYPE è il nome del tipo di risorsa a cui vuoi gestire l'accesso:

• SERVICE.RESOURCE_TYPE.get
• SERVICE.RESOURCE_TYPE.getIamPolicy
• SERVICE.RESOURCE_TYPE.setIamPolicy

Ad esempio, per gestire i binding dei ruoli condizionali nella policy di autorizzazione di un progetto, devi disporre delle seguenti autorizzazioni:

• resourcemanager.projects.get
• resourcemanager.projects.getIamPolicy
• resourcemanager.projects.setIamPolicy

Per ottenere le autorizzazioni richieste, chiedi all'amministratore di concederti un ruolo predefinito o personalizzato che includa le autorizzazioni. Ad esempio, l'amministratore potrebbe concederti il ruolo Amministratore sicurezza (roles/iam.securityAdmin), che include le autorizzazioni per ottenere quasi tutte le risorseGoogle Cloud e gestire i relativi criteri di autorizzazione.

Aggiungere un'associazione di ruoli condizionale a una policy

È possibile aggiungere associazioni di ruoli condizionali a policy di autorizzazione nuove o esistenti per controllare ulteriormente l'accesso alle risorse Google Cloud . Questa sezione mostra come aggiungere una semplice condizione basata sul tempo a una policy di autorizzazione esistente utilizzando la console Google Cloud , Google Cloud CLI e l'API REST.

Per aggiungere un'associazione di ruoli condizionale a una policy di autorizzazione esistente:

gcloud projects get-iam-policy project-id --format json > file-path

{
  "bindings": [
    {
      "members": [
        "user:my-user@example.com"
      ],
      "role": "roles/owner"
    },
    {
      "members": [
        "group:my-group@example.com"
      ],
      "role": "roles/iam.securityReviewer"
    }
  ],
  "etag": "BwWKmjvelug=",
  "version": 1
}

{
  "bindings": [
    {
      "members": [
        "user:my-user@example.com"
      ],
      "role": "roles/owner"
    },
    {
      "members": [
        "group:my-group@example.com"
      ],
      "role": "roles/iam.securityReviewer",
      "condition": {
          "title": "Expires_2019"