管理條件式角色繫結

本主題說明如何在 Identity and Access Management (IAM) 允許政策中，新增、修改及移除條件式角色繫結。

事前準備

• 如果尚未啟用，請啟用 IAM API。

  啟用 API 時所需的角色

  如要啟用 API，您必須具備 serviceusage.services.enable 權限。如果您建立了專案，可能已透過「擁有者」角色 (roles/owner) 取得這項權限。否則，您可以透過「服務使用情形管理員」角色 (roles/serviceusage.serviceUsageAdmin) 取得這項權限。瞭解如何授予角色。

  啟用 API

• 請參閱 IAM 條件總覽，瞭解 IAM 條件式角色繫結的基本概念。

• 請參閱屬性參考資料，瞭解可在運算式中使用的不同條件屬性。

必要的角色

如要管理資源允許政策中的條件式角色繫結，您必須具備取得資源的權限，以及取得和設定資源允許政策的權限。這些權限的格式如下，其中 SERVICE 是擁有資源的服務名稱，RESOURCE_TYPE 則是您要管理存取權的資源類型名稱：

• SERVICE.RESOURCE_TYPE.get
• SERVICE.RESOURCE_TYPE.getIamPolicy
• SERVICE.RESOURCE_TYPE.setIamPolicy

舉例來說，如要在專案的允許政策中管理條件式角色繫結，您需要下列權限：

• resourcemanager.projects.get
• resourcemanager.projects.getIamPolicy
• resourcemanager.projects.setIamPolicy

如要取得必要權限，請要求管理員授予您包含這些權限的預先定義或自訂角色。舉例來說，管理員可以授予您安全管理員角色 (roles/iam.securityAdmin)，這個角色具備權限，可取得幾乎所有Google Cloud 資源，並管理這些資源的允許政策。

在政策中新增條件式角色繫結

您可以在新的或現有的允許政策中新增條件式角色繫結，進一步控管 Google Cloud 資源的存取權。本節說明如何使用 Google Cloud 控制台、Google Cloud CLI 和 REST API，在現有的允許政策中新增簡單的時間條件。

如要在現有的允許政策中新增條件式角色繫結，請按照下列步驟操作：

gcloud projects get-iam-policy project-id --format json > file-path

{
  "bindings": [
    {
      "members": [
        "user:my-user@example.com"
      ],
      "role": "roles/owner"
    },
    {
      "members": [
        "group:my-group@example.com"
      ],
      "role": "roles/iam.securityReviewer"
    }
  ],
  "etag": "BwWKmjvelug=",
  "version": 1
}

{
  "bindings": [
    {
      "members":