如何在谷歌云平台（GCP）中跨服务（API）、资源类型和项目列出、查找或搜索iam策略？

Question

在Google Cloud Platform（GCP）中，您只能通过调用getIamPolicy（在GCCloud中获取IAM策略）来获取特定资源的IAM策略。

是否有方法列出、搜索、列出、搜索或查找跨资源、服务或项目的IAM策略？

这是回答以下问题所必需的：

• 服务号有什么角色？
• 哪些资源是公开共享的？
• 策略是否包含已删除的用户？
• 用户离开我的公司后，是否仍然出现在任何策略中？
• 用户是否具有给定角色？

Answer 1

可以使用search ch-all-iam策略跨服务、资源类型、项目、文件夹或组织中的项目搜索所有IAM策略。

要浏览编号为123的项目中的策略（请注意，仅支持列出的资源类型的策略）：

gcloud asset search-all-iam-policies --scope=projects/123

谁在我的组织中扮演所有者的角色？

gcloud asset search-all-iam-policies --scope=organizations/456 --query="policy:roles/owner"

谁可以在我的组织中更改项目IAM策略？

--query='policy.role.permissions:resourcemanager.projects.setIamPolicy'

帐户有哪些角色？

--query="policy:[e-mail]"

哪些资源是公开共享的？

--query="policy:(allUsers OR allAuthenticatedUsers)"

保单中是否有已删除的帐户？

--query="policy:deleted"

[e-mail]出现在任何保单中吗？

--query="policy:[e-mail]"

做[e-mail]拥有所有者角色吗？

--query="policy:(roles/owner [e-mail])"

如何找到给定资源类型（如项目）的所有IAM策略？

--query="policy:roles/owner resource://cloudresourcemanager.googleapis.com/projects"

是否有任何gmail帐户拥有角色所有者？

`--query="policy:(roles/owner *gmail*)"

可以将范围更改为文件夹或项目。

要使用该命令，您必须：

>

启用云资产API，以及

拥有cloudasset。资产SearchAlleAmpolicies权限范围，包括在以下角色中：

• 角色/云资产。观众
• 角色/云资产。所有者
• 角色/观众
• 角色/编辑
• 角色/所有者

文档：

• 更多示例：https://cloud.google.com/asset-inventory/docs/searching-iam-policies-samples
• 指南：https://cloud.google.com/asset-inventory/docs/searching-iam-policies
• API参考：https://cloud.google.com/asset-inventory/docs/reference/rest/v1p1beta1/iamPolicies/searchAll
• 可搜索资源类型：https://cloud.google.com/asset-inventory/docs/supported-asset-types#searchable_asset_types