使用 Policy Simulator 測試角色變更

控制台

以下範例示範如何模擬專案的允許政策變更。不過，您可以模擬變更任何具有允許政策的資源。

編輯主體的權限，然後按一下「測試變更」，不要點選「儲存」：

1. 前往 Google Cloud 控制台的「IAM」(身分與存取權管理) 頁面。

   前往「IAM」頁面

2. 編輯現有主體的權限，為允許政策建立提議的變更：

   1. 找出要編輯存取權的主體，然後按一下右側的「編輯」edit 按鈕。
   2. 新增角色，或撤銷/變更現有角色，即可編輯主體的存取權。

3. 如要模擬建議的變更，請按一下「測試變更」。

4. 幾分鐘後， Google Cloud 控制台會顯示模擬結果，列出存取權變更。詳情請參閱本頁面的「瞭解 Policy Simulator 結果」。

   

   

   如果現有允許政策與模擬允許政策的存取權沒有變更， Google Cloud 控制台就不會顯示任何存取權變更。

gcloud

如要模擬允許政策的變更，請按照「讀取 - 修改 - 寫入」模式操作，但請模擬允許政策，而不是寫入政策。

1. 執行下列指令，讀取目前的允許政策：

   gcloud resource-type get-iam-policy resource-id --format=format > filepath

   替換下列值：

   • resource-type：您要模擬允許政策的資源類型。例如：projects。
   • resource-id：要模擬允許政策的資源 ID。例如：my-project。
   • format：回應格式。請使用 json 或 yaml 值。
   • filepath：允許政策的新輸出檔案路徑。

   舉例來說，以下指令會以 JSON 格式取得專案 my-project 的允許政策，並將其儲存至使用者的主目錄：

   gcloud projects get-iam-policy my-project --format=json > ~/policy.json

2. 修改 get-iam-policy 指令傳回的 JSON 或 YAML 允許政策，反映您要模擬的變更。

   您可以對允許政策進行多種變更，舉例來說，您可以從角色繫結新增或移除主體，也可以從允許政策移除角色繫結。

3. 執行下列指令，模擬允許政策的變更：

   gcloud iam simulator replay-recent-access \
       full-resource-name \
       filepath \
       --format=format

   替換下列值：

   • full-resource-name：要模擬允許政策的資源完整資源名稱。

     完整資源名稱是 URI，由服務名稱和資源路徑組成。舉例來說，如果您要模擬專案的允許政策，請使用 //cloudresourcemanager.googleapis.com/projects/project- id，其中 project-id 是要模擬允許政策的專案 ID。

     如需完整資源名稱格式清單，請參閱「完整資源名稱」。

   • filepath：包含要模擬的已修改允許政策的檔案路徑。例如：~/proposed_policy.json。

   • format：回應格式。例如 json 或 yaml。

   幾分鐘後，這項指令會列印重播結果清單，說明套用提議的允許政策後，主體的存取權會如何變更。這些結果也會列出模擬期間發生的任何錯誤，包括因不支援的資源類型而發生的錯誤。

   如要瞭解如何解讀結果，請參閱本頁的「瞭解政策模擬器結果」。如要瞭解如何儲存模擬結果而非列印，請參閱儲存模擬結果。

   以下是允許政策模擬的範例回應，其中涉及使用者 my-user@example.com。在這種情況下，如果套用建議的變更，my-user@example.com 可能會失去專案 my-project 的 resourcemanager.projects.list 和 resourcemanager.projects.get 權限，且一定會失去專案 my-project 的 resourcemanager.projects.update 權限：

   [
     {
       "accessTuple": {
         "fullResourceName": "//cloudresourcemanager.googleapis.com/projects/my-project",
         "permission": "resourcemanager.projects.list",
         "principal": "my-user@example.com"
       },
       "diff": {
         "accessDiff": {
           "accessChange": "ACCESS_MAYBE_REVOKED",
           "baseline": {
             "accessState": "GRANTED"
           },
           "simulated": {
             "accessState": "UNKNOWN_INFO_DENIED",
             "errors": [
               {
                 "code": 7,
                 "details": [
                   {
                     "@type": "type.googleapis.com/google.rpc.ResourceInfo",
                     "description": "Missing permission to retrieve IAM policies above the resource in hierarchy.",
                     "resourceName": "//cloudresourcemanager.googleapis.com/projects/my-project",
                     "resourceType": "cloudresourcemanager.googleapis.com/projects"
                   }
                 ],
                 "message": "Missing permission to get relevant IAM policies."
               }
             ],
             "policies": [
               {
                 "access": "UNKNOWN_INFO_DENIED",
                 "policy": {}
               }
             ]
           }
         }
       },
       "lastSeenDate": {
         "day": 12,
         "month": 1,
         "year": 2021
       }
     },
     {
       "accessTuple": {
         "fullResourceName": "//cloudresourcemanager.googleapis.com/projects/my-project",
         "permission": "resourcemanager.projects.get",
         "principal": "my-user@example.com"
       },
       "diff": {
         "accessDiff": {
           "accessChange": "ACCESS_MAYBE_REVOKED",
           "baseline": {
             "accessState": "GRANTED"
           },
           "simulated": {
             "accessState": "UNKNOWN_INFO_DENIED",
             "errors": [
               {
                 "code": 7,
                 "details": [
                   {
                     "@type": "type.googleapis.com/google.rpc.ResourceInfo",
                     "description": "Missing permission to view group membership.",
                     "resourceName": "group:everyone@example.com",
                     "resourceType": "Google group"
                   }
                 ],
                 "message": "Missing permission to view group membership."
               },
               {
                 "code": 7,
                 "details": [
                   {
                     "@type": "type.googleapis.com/google.rpc.ResourceInfo",
                     "description": "Missing permission to retrieve IAM policies above the resource in hierarchy.",
                     "resourceName": "//cloudresourcemanager.googleapis.com/projects/my-project",
                     "resourceType": "cloudresourcemanager.googleapis.com/projects"
                   }
                 ],
                 "message": "Missing permission to get relevant IAM policies."
               }
             ],
             "policies": [
               {
                 "access": "UNKNOWN_INFO_DENIED",
                 "bindingExplanations": [
                   {
                     "access": "UNKNOWN_INFO_DENIED",
                     "memberships": {
                       "group:everyone@example.com": {
                         "membership": "MEMBERSHIP_UNKNOWN_INFO_DENIED"
                       }
                     },
                     "role": "roles/owner"
                   }
                 ],
                 "fullResourceName": "//cloudresourcemanager.googleapis.com/projects/my-project",
                 "policy": {
                   "bindings": [
                     {
                       "members": [
                         "group:everyone@example.com"
                       ],
                       "role": "roles/owner"
                     }
                   ],
                   "etag": "BwWgJSIInYA=",
                   "version": 3
                 }
               },
               {
                 "access": "UNKNOWN_INFO_DENIED",
                 "policy": {}
               }
             ]
           }
         }
       },
       "lastSeenDate"