Contrôler les accès aux ressources de l'organisation avec IAM

Identity and Access Management (IAM) est une solution proposée parGoogle Cloud qui vous permet d'attribuer un accès précis à des ressources Google Cloud spécifiques et empêche tout accès non souhaité à d'autres ressources. IAM vous permet d'adopter le principe de sécurité du moindre privilège afin de n'accorder que l'accès nécessaire à vos ressources.

Grâce à IAM, vous pouvez contrôler qui (utilisateurs) a accès (rôles) à quelles ressources en définissant des stratégies d'autorisation. Les stratégies d'autorisation attribuent des rôles spécifiques à un utilisateur pour lui accorder certaines autorisations.

Cette page décrit les rôles IAM disponibles sur la ressource d'organisation et explique comment créer et gérer des stratégies d'autorisation pour les ressources d'organisation à l'aide de l'API Cloud Resource Manager. Pour en savoir plus, consultez Gérer l'accès aux projets, aux dossiers et aux organisations.

Autorisations et rôles

Pour contrôler l'accès aux ressources, Google Cloud exige que les comptes effectuant des requêtes API disposent de rôles IAM appropriés. Les rôles IAM incluent des autorisations permettant aux utilisateurs d'effectuer des actions spécifiques sur les ressourcesGoogle Cloud . Par exemple, l'autorisation resourcemanager.organizations.get permet à un utilisateur d'obtenir des détails sur la ressource de son organisation.

Vous n'accordez pas directement des autorisations aux utilisateurs, mais vous leur attribuez des rôles auxquels sont associées une ou plusieurs autorisations.

Vous pouvez attribuer un ou plusieurs rôles sur la même ressource.

Utiliser des rôles prédéfinis

Le tableau suivant répertorie les rôles que vous pouvez attribuer pour accéder aux propriétés d'une ressource d'organisation, la description de ces rôles et les autorisations qu'ils procurent.

Créer des rôles personnalisés

• Les autorisations de type obtenir/répertorier, telles que resourcemanager.projects.get/list, doivent toujours être accordées en tant que paire.
• Lorsque le rôle personnalisé inclut les autorisations folders.list et folders.get, il doit également inclure projects.list et projects.get.
• Notez que l'autorisation setIamPolicy pour les ressources d'organisation, de dossier et de projet permet à l'utilisateur d'accorder toutes les autres autorisations, et doit donc être attribuée avec précaution.

Afficher les accès existants pour une ressource d'organisation

Vous pouvez afficher les rôles attribués à un utilisateur pour une ressource d'organisation en obtenant la stratégie d'autorisation de cette ressource. Vous pouvez afficher la stratégie d'autorisation pour une ressource d'organisation à l'aide de la console Google Cloud , de la Google Cloud CLI ou de la méthode getIamPolicy().

gcloud alpha organizations get-iam-policy <var>ORGANIZATION_ID</var> --format json >
<var>FILENAME.JSON</var>

bindings:
- members:
- user:testuser1@gcp-test.com
role: roles/editor
- members:
- user:admin@gcp-test.com
role:roles/resourcemanager.organizationAdmin
- members:
- user:testuser2@gcp-test.com
role: roles/resourcemanager.projectCreator
etag": "BwU1aRxWk30="

POST
https://cloudresourcemanager.googleapis.com/v3/organizations/12345:getIamPolicy

{
    "bindings": [
    {
        "role": "roles/resourcemanager.organizationAdmin",
        "members": [
        "user:email1@gmail.com"
    ]
    },
    {
        "role": "roles/resourcemanager.projectCreator",
        "members": [
            "user:email2@gmail.com",
            "user:email3@gmail.com",
            "serviceAccount:my-other-app@appspot.gserviceaccount.com"
        ]
    }
    ]
    "etag": "BwUjHYKHHiQ="
}

crm = discovery.build(
    'cloudresourcemanager', 'v3', http=creds.authorize(httplib2.Http()))
policy = crm.organizations().getIamPolicy(
    resource=flags.organizationId, body={}).execute()
print json.dumps(policy, indent=2)

Accorder l'accès à une ressource d'organisation

Les administrateurs d'organisation peuvent attribuer des rôles IAM aux membres de l'équipe pour leur permettre d'accéder aux ressources et aux API de cette organisation. Vous pouvez attribuer des rôles à l'adresse e-mail d'un compte utilisateur, à un groupe Google, à un compte de service ou à un domaine G Suite. Vous pouvez attribuer des rôles à l'aide de la console Google Cloud , de la gcloud CLI ou de la méthode setIamPolicy().

{
    "bindings": [
    {
        "members": [
            "user:testuser1@gcp-test.com"
        ],
        "role": "roles/editor"
    },
    {
        "members":