Probar los cambios de rol con Simulador de políticas

Consola

El recurso host es el proyecto, la carpeta o la organización que aparece en el selector de recursos.

Para cambiar el recurso host, elige otro proyecto, carpeta u organización en el selector de recursos.

gcloud

El recurso host es el proyecto de cuota actual. Para definir el proyecto de cuota, usa el comando gcloud auth application-default set-quota-project.

REST

Especificas manualmente el recurso de host cada vez que envías una solicitud. Consulta los detalles en la sección Simular un cambio de política de esta página.

Consola

En el siguiente ejemplo se muestra cómo simular un cambio en una política de permiso de un proyecto. Sin embargo, puedes simular un cambio en una política de permiso para cualquier recurso que tenga una política de permiso.

Edita los permisos de un principal y, en lugar de hacer clic en Guardar, haz clic en Probar cambios:

1. En la consola de Google Cloud , ve a la página Gestión de identidades y accesos.

   Ir a la página de gestión de identidades y accesos

2. Crea un cambio propuesto en la política de permisos editando los permisos de un principal:

   1. Busca el principal cuyo acceso quieras editar y haz clic en el botón Editar edit situado a la derecha.
   2. Edita el acceso de la cuenta principal añadiendo un nuevo rol o revocando o cambiando un rol ya asignado.

3. Para simular el cambio propuesto, haga clic en Probar cambios.

4. Después de unos minutos, la consola mostrará los resultados de la simulación como una lista de cambios de acceso. Google Cloud Consulta la sección Interpretar los resultados del simulador de políticas de esta página para obtener más información.

   

   

   Si no ha habido ningún cambio en el acceso entre la política de permiso actual y la política de permiso simulada, la consola Google Cloud no mostrará ningún cambio en el acceso.

gcloud

Para simular un cambio en una política de permiso, sigue el patrón de lectura, modificación y escritura, pero simula la política de permiso en lugar de escribirla.

1. Lee la política de permisos actual ejecutando el siguiente comando:

   gcloud resource-type get-iam-policy resource-id --format=format > filepath

   Sustituye los siguientes valores:

   • resource-type: el tipo de recurso para el que quieres simular una política de permiso. Por ejemplo, projects.
   • resource-id: el ID del recurso cuya política de permiso quieres simular. Por ejemplo, my-project.
   • format: el formato de la respuesta. Usa el valor json o yaml.
   • filepath: ruta a un nuevo archivo de salida para la política de permiso.

   Por ejemplo, el siguiente comando obtiene la política de permiso del proyecto my-project en formato JSON y la guarda en el directorio principal del usuario:

   gcloud projects get-iam-policy my-project --format=json > ~/policy.json

2. Modifica la política de permiso JSON o YAML devuelta por el comando get-iam-policy para reflejar los cambios que quieras simular.

   Hay varios tipos de cambios que puedes hacer en la política de permiso. Por ejemplo, puedes añadir o quitar un principal de una vinculación de rol, o quitar una vinculación de rol de la política de permiso.

3. Ejecuta el siguiente comando para simular el cambio en la política de permiso:

   gcloud iam simulator replay-recent-access \
       full-resource-name \
       filepath \
       --format=format

   Sustituye los siguientes valores:

   • full-resource-name: Nombre completo del recurso cuya política de permiso quieres simular.

     El nombre completo del recurso es un URI que consta del nombre del servicio y la ruta al recurso. Por ejemplo, si simulas una política de permiso para un proyecto, usarías //cloudresourcemanager.googleapis.com/projects/project- id, donde project-id es el ID del proyecto cuya política de permiso estás simulando.

     Para ver una lista de los formatos de nombres de recursos completos, consulta Nombres de recursos completos.

   • filepath: ruta al archivo que contiene la política de permiso modificada que quieres simular. Por ejemplo, ~/proposed_policy.json.

   • format: el formato de la respuesta. Por ejemplo, json o yaml.

   Después de varios minutos, el comando muestra una lista de resultados de repetición que explica cómo cambiaría el acceso de la entidad principal si se aplicara la política de permiso propuesta. En estos resultados también se indican los errores que se han producido durante la simulación, incluidos los que se deben a tipos de recursos no admitidos.

   Consulta la sección Interpretar los resultados del simulador de políticas de esta página para saber cómo leer los resultados. Para saber cómo guardar los resultados de la simulación en lugar de imprimirlos, consulta el artículo Guardar los resultados de una simulación.

   A continuación se muestra una respuesta de ejemplo de una simulación de política de permiso que implica al usuario my-user@example.com. En este caso, si se aplicara el cambio propuesto, my-user@example.com podría perder los permisos resourcemanager.projects.list y resourcemanager.projects.get del proyecto my-project, y sin duda perdería el permiso resourcemanager.projects.update del proyecto my-project:

   [
     {
       "accessTuple": {
         "fullResourceName": "//cloudresourcemanager.googleapis.com/projects/my-project",
         "permission": "resourcemanager.projects.list",
         "principal": "my-user@example.com"
       },
       "diff": {
         "accessDiff": {
           "accessChange": "ACCESS_MAYBE_REVOKED",
           "baseline": {
             "accessState": "GRANTED"
           },
           "simulated": {
             "accessState": "UNKNOWN_INFO_DENIED",
             "errors": [
               {
                 "code": 7,
                 "details": [
                   {
                     "@type": "type.googleapis.com/google.rpc.ResourceInfo",
                     "description": "Missing permission to retrieve IAM policies above the resource in hierarchy.",
                     "resourceName": "//cloudresourcemanager.googleapis.com/projects/my-project",
                     "resourceType": "cloudresourcemanager.googleapis.com/projects"
                   }
                 ],
                 "message": "Missing permission to get relevant IAM policies."
               }
             ],
             "policies": [
               {
                 "access": "UNKNOWN_INFO_DENIED",
                 "policy": {}
               }
             ]
           }
         }
       },
       "lastSeenDate": {
         "day": 12,
         "month": 1,
         "year": 2021
       }
     },
     {
       "accessTuple": {
         "fullResourceName": "//cloudresourcemanager.googleapis.com/projects/my-project",
         "permission": "resourcemanager.projects.get",
         "principal": "my-user@example.com"
       },
       "diff": {
         "accessDiff": {
           "accessChange": "ACCESS_MAYBE_REVOKED",
           "baseline": {
             "accessState": "GRANTED"
           },
           "simulated": {
             "accessState": "UNKNOWN_INFO_DENIED",
             "errors": [
               {
                 "code": 7,
                 "details": [
                   {
                     "@type": "type.googleapis.com/google.rpc.ResourceInfo",
                     "description": "Missing permission to view group membership.",
                     "resourceName": "group:everyone@example.com",
                     "resourceType": "Google group"
                   }
                 ],
                 "message": "Missing permission to view group membership."
               },
               {
                 "code": 7,
                 "details": [
                   {
                     "@type": "type.googleapis.com/google.rpc.ResourceInfo",
                     "description": "Missing permission to retrieve IAM policies above the resource in hierarchy.",
                     "resourceName": "//cloudresourcemanager.googleapis.com/projects/my-project",
                     "resourceType": "cloudresourcemanager.googleapis.com/projects"
                   }
                 ],
                 "message": "Missing permission to get relevant IAM policies."
               }
             ],
             "policies": [
               {
                 "access": "UNKNOWN_INFO_DENIED",
                 "bindingExplanations": [
                   {
                     "access": "UNKNOWN_INFO_DENIED",
                     "memberships": {
                       "group:everyone@example.com": {
                         "membership": "MEMBERSHIP_UNKNOWN_INFO_DENIED"
                       }
                     },
                     "role": "roles/owner"
                   }
                 ],
                 "fullResourceName": "//cloudresourcemanager.googleapis.com/projects/my-project",
                 "policy": {
                   "bindings": [
                     {
                       "members": [
                         "group:everyone@example.com"
                       ],
                       "role": "roles/owner"
                     }
                   ],
                   "etag": "BwWgJSIInYA=",
                   "version": 3
                 }
               },
               {
                 "access": "UNKNOWN_INFO_DENIED",
                 "policy": {}
               }
             ]
           }
         }
       },
       "lastSeenDate": {
         "day": 10,
         "month": 1,
         "year": 2021
       }
     },
     {
       "accessTuple": {
         "fullResourceName": "//cloudresourcemanager.googleapis.com/projects/my-project",
         "permission": "resourcemanager.projects.update",
         "principal": "my-user@example.com"
       },
       "diff": {
         "accessDiff": {
           "accessChange": "ACCESS_REVOKED",
           "baseline": {
             "accessState": "GRANTED"
           },
           "simulated": {
             "accessState": "NOT_GRANTED"
           }
         }
       },
       "lastSeenDate": {
         "day": 15,
         "month": 1,
         "year": 2021
       }
     },
     {
       "accessTuple": {},
       "error": {
         "code": 12,
         "details": [
           {
             "@type": "type.googleapis.com/google.rpc.ErrorInfo",
             "domain": "policysimulator.googleapis.com",
             "metadata": {
               "permission": "storage.objects.create"
             },
             "reason": "UNSUPPORTED_RESOURCE"
           },
           {
             "@type": "type.googleapis.com/google.rpc.ErrorInfo",
             "domain": "policysimulator.googleapis.com",
             "metadata": {
               "permission": "storage.objects.setIamPolicy"
             },
             "reason": "UNSUPPORTED_RESOURCE"
           },
           {
             "@type": "type.googleapis.com/google.rpc.ErrorInfo",
             "domain": "policysimulator.googleapis.com",
             "metadata": {
               "permission": "storage.objects.delete"
             },
             "reason": "UNSUPPORTED_RESOURCE"
           },
           {
             "@type": "type.googleapis.com/google.rpc.ErrorInfo",
             "domain": "policysimulator.googleapis.com",
             "metadata": {
               "permission": "storage.objects.update"
             },
             "reason": "UNSUPPORTED_RESOURCE"
           },
           {
             "@type": "type.googleapis.com/google.rpc.ErrorInfo",
             "domain": "policysimulator.googleapis.com",
             "metadata": {
               "permission": "pubsub.topics.publish"
             },
             "reason": "UNSUPPORTED_RESOURCE"
           },
           {
             "@type": "type.googleapis.com/google.rpc.ErrorInfo",
             "domain": "policysimulator.googleapis.com",
             "metadata": {
               "permission": "storage.objects.list"
             },
             "reason": "UNSUPPORTED_RESOURCE"
           },
           {
             "@type": "type.googleapis.com/google.rpc.ErrorInfo",
             "domain": "policysimulator.googleapis.com",
             "metadata": {
               "permission": "storage.objects.getIamPolicy"
             },
             "reason": "UNSUPPORTED_RESOURCE"
           },
           {
             "@type": "type.googleapis.com/google.rpc.ErrorInfo",
             "domain": "policysimulator.googleapis.com",
             "metadata": {
               "permission": "storage.objects.get"
             },
             "reason": "UNSUPPORTED_RESOURCE"
           }
         ],
         "message": "Simulator does not yet support all resource types for 8 removed permissions."
       }
     }
   ]

   Si no ha habido ningún cambio en el acceso entre la política de permiso actual y la política de permiso simulada, el comando imprime No access changes found in the replay.

REST

Para simular un cambio en una política de permiso, sigue el patrón de lectura, modificación y escritura, pero, en lugar de escribir la política de permiso, crea y ejecuta una simulación.

1. Lee la política de permiso del recurso.

   Para obtener la política de permisos de un proyecto, usa el método projects.getIamPolicy de la API Resource Manager.

   Antes de usar los datos de la solicitud, haz las siguientes sustituciones:

   • PROJECT_ID: tu ID de proyecto Google Cloud . Los IDs de proyecto son cadenas alfanuméricas, como my-project.
   • POLICY_VERSION: la versión de la política que se va a devolver. En las solicitudes se debe especificar la versión de la política más reciente, que es la versión 3. Consulta Especificar una versión de la política al obtener una política para obtener más información.

   Método HTTP y URL:

   POST https://cloudresourcemanager.googleapis.com/v1/projects/PROJECT_ID:getIamPolicy

   Cuerpo JSON de la solicitud:

   {
     "options": {
       "requestedPolicyVersion": POLICY_VERSION
     }
   }
   

   Para enviar tu solicitud, despliega una de estas opciones:

   curl (Linux, macOS o Cloud Shell)

   Guarda el cuerpo de la solicitud en un archivo llamado request.json y ejecuta el siguiente comando:

   curl -X POST \
        -H "Authorization: Bearer $(gcloud auth print-access-token)" \
        -H "Content-Type: application/json; charset=utf-8" \
        -d @request.json \
        "https://cloudresourcemanager.googleapis.com/v1/projects/PROJECT_ID:getIamPolicy"

   PowerShell (Windows)

   Guarda el cuerpo de la solicitud en un archivo llamado request.json y ejecuta el siguiente comando:

   $cred = gcloud auth print-access-token
   $headers = @{ "Authorization" = "Bearer $cred" }
   
   Invoke-WebRequest `
       -Method POST `
       -Headers $headers `
       -ContentType: "application/json; charset=utf-8" `
       -InFile request.json `
       -Uri "https://cloudresourcemanager.googleapis.com/v1/projects/PROJECT_ID:getIamPolicy" | Select-Object -Expand Content

   Explorador de APIs (navegador)

   Copia el cuerpo de la solicitud y abre la página de referencia del método. El panel Explorador de APIs se abre en la parte derecha de la página. Puedes interactuar con esta herramienta para enviar solicitudes. Pega el cuerpo de la solicitud en esta herramienta, rellena los campos obligatorios y haz clic en Ejecutar.

   Deberías recibir una respuesta JSON similar a la siguiente:

   {
     "version": 1,
     "etag": "BwWKmjvelug=",
     "bindings": [
       {
         "role": "roles/owner",
         "members": [
           "user:project-owner@example.com"
         ]
       },
       {
         "role": "roles/iam.securityReviewer",
         "members": [
           "user:fatima@example.com"
         ]
       }
     ]
   }
   

2. Modifica la política de permiso devuelta para reflejar los cambios que quieras simular.

   Hay varios tipos de cambios que puedes hacer en la política de permiso. Por ejemplo, puedes añadir o quitar un principal de una vinculación de rol, o quitar una vinculación de rol de la política de permiso.

3. Crea una simulación o una repetición con la política de permitir modificada.

   Para crear una repetición de un proyecto, una carpeta o una organización, usa el método replays.create de la API Policy Simulator.

   Antes de usar los datos de la solicitud, haz las siguientes sustituciones:

   • HOST_RESOURCE_TYPE: el tipo de recurso que alojará la repetición. Este valor debe ser projects, folders o organizations.
   • HOST_RESOURCE_ID: el ID del recurso host, por ejemplo, my-project.

   • TARGET_FULL_RESOURCE_NAME: Nombre completo del recurso cuya política quieres simular. Este recurso puede ser cualquier recurso que acepte políticas de gestión de identidades y accesos y no tiene por qué estar relacionado con el recurso host de ninguna manera.

     El nombre completo del recurso es un URI que consta del nombre del servicio y de la ruta al recurso. Por ejemplo, si simulas una política de un proyecto, usarías //cloudresourcemanager.googleapis.com/projects/PROJECT_ID, donde PROJECT_ID es el ID del proyecto cuya política estás simulando.

     Para ver una lista completa de los formatos de nombres de recursos, consulta Nombres de recursos completos.

   • POLICY: la política que quieres simular. Para ver un ejemplo de una política, consulta la referencia de la política.

     Para simular varias políticas, incluya varios pares "OBJECT_FULL_RESOURCE_NAME" : POLICY en el cuerpo de la solicitud.

   • PROJECT_ID: tu ID de proyecto Google Cloud . Los IDs de proyecto son cadenas alfanuméricas, como my-project.

   Método HTTP y URL:

   POST https://policysimulator.googleapis.com/v1/HOST_RESOURCE_TYPE/HOST_RESOURCE_ID/locations/global/replays

   Cuerpo JSON de la solicitud:

   {
     "config": {
       "policyOverlay": {
         "TARGET_FULL_RESOURCE_NAME" : POLICY
       }
     }
   }
   

   Para enviar tu solicitud, despliega una de estas opciones:

   curl (Linux, macOS o Cloud Shell)

   Guarda el cuerpo de la solicitud en un archivo llamado request.json y ejecuta el siguiente comando:

   curl -X POST \
        -H "Authorization: Bearer $(gcloud auth print-access-token)" \
        -H "x-goog-user-project: PROJECT_ID" \
        -H "Content-Type: application/json; charset=utf-8" \
        -d @request.json \
        "https://policysimulator.googleapis.com/v1/HOST_RESOURCE_TYPE/HOST_RESOURCE_ID/locations/global/replays"

   PowerShell (Windows)

   Guarda el cuerpo de la solicitud en un archivo llamado request.json y ejecuta el siguiente comando:

   $cred = gcloud auth print-access-token
   $headers = @{ "Authorization" = "Bearer $cred"; "x-goog-user-project" = "PROJECT_ID" }
   
   Invoke-WebRequest `
       -Method POST `
       -Headers $headers `
       -ContentType: "application/json; charset=utf-8" `
       -InFile request.json `
       -Uri "https://policysimulator.googleapis.com/v1/HOST_RESOURCE_TYPE/HOST_RESOURCE_ID/locations/global/replays" | Select-Object -Expand Content

   Explorador de APIs (navegador)

   Copia el cuerpo de la solicitud y abre la página de referencia del método. El panel Explorador de APIs se abre en la parte derecha de la página. Puedes interactuar con esta herramienta para enviar solicitudes. Pega el cuerpo de la solicitud en esta herramienta, rellena los campos obligatorios y haz clic en Ejecutar.

   La respuesta contiene el nombre de una operación que representa tu repetición:

   {
     "name": "operations/6de23e63-f61a-4b8c-b502-34d717d2d7f8",
     "metadata": {
       "type_url": "type.googleapis.com/google.cloud.policysimulator.v1.ReplayOperationMetadata"
     }
   }
   

4. Consulta el método operations.get hasta que se complete la repetición.

   Para sondear una operación, te recomendamos que invoques repetidamente el método operations.get hasta que la respuesta incluya el campo "done": true y un campo name con el nombre de la repetición completada. Usa un tiempo de espera exponencial truncado para introducir un retraso entre cada solicitud.

   Para obtener el estado de una repetición, usa el método operations.get de la API Policy Simulator.

   Antes de usar los datos de la solicitud, haz las siguientes sustituciones:

   • OPERATION_NAME: el nombre de una operación de repetición, incluido el prefijo operations. Copia este valor del campo name de una respuesta replays.create. Por ejemplo: operations/6de23e63-f61a-4b8c-b502-34d717d2d7f8
   • PROJECT_ID: tu ID de proyecto Google Cloud . Los IDs de proyecto son cadenas alfanuméricas, como my-project.

   Método HTTP y URL:

   GET https://policysimulator.googleapis.com/v1/OPERATION_NAME

   Para enviar tu solicitud, despliega una de estas opciones:

   curl (Linux, macOS o Cloud Shell)

   Ejecuta el comando siguiente:

   curl -X GET \
        -H "Authorization: Bearer $(gcloud auth print-access-token)" \
        -H "x-goog-user-project: PROJECT_ID" \
        "https://policysimulator.googleapis.com/v1/OPERATION_NAME"

   PowerShell (Windows)

   Ejecuta el comando siguiente:

   $cred = gcloud auth print-access-token
   $headers = @{ "Authorization" = "Bearer $cred"; "x-goog-user-project" = "PROJECT_ID" }
   
   Invoke-WebRequest `
       -Method GET `
       -Headers $headers `
       -Uri "https://policysimulator.googleapis.com/v1/OPERATION_NAME" | Select-Object -Expand Content

   Explorador de APIs (navegador)

   Abre la página de referencia del método. El panel Explorador de APIs se abre en la parte derecha de la página. Puedes interactuar con esta herramienta para enviar solicitudes. Rellena los campos obligatorios y haz clic en Ejecutar.

   Las operaciones en curso devuelven una respuesta como la siguiente:

   {
     "name": "operations/42083b6b-3788-41b9-ae39-e97d7615a22d",
     "metadata": {
       "@type": "type.googleapis.com/google.cloud.policysimulator.v1.ReplayOperationMetadata",
       "startTime": "2021-01-15T05:34:14.732Z"
     }
   }
   

   Las operaciones completadas devuelven una respuesta como la siguiente:

   {
     "name": "operations/89ab4892-9605-4c84-aedb-4fce4fc5195b",
     "metadata": {
       "@type": "type.googleapis.com/google.cloud.policysimulator.v1.ReplayOperationMetadata",
       "startTime": "2021-01-15T05:40:15.922Z"
     },
     "done": true,
     "response": {
       "@type": "type.googleapis.com/google.cloud.policysimulator.v1.Replay",
       "replay": {
         "name": "projects/my-project/locations/global/replays/89ab4892-9605-4c84-aedb-4fce4fc5195b",
         "state": SUCCEEDED,
         "config": {},
         "resultsSummary": {
           "logCount": 1319,
           "unchangedCount": 1169,
           "differenceCount": 149,
           "errorCount": 1,
           "oldestDate": {
             "year": 2020,
             "month": 10,
             "day": 15
           },
           "newestDate": {
             "year": 2021,
             "month": 1,
             "day": 12
           }
         }
       }
     }
   }
   

5. Obtener los resultados de la repetición.

   Para obtener los resultados de una repetición, usa el método replays.results.list de la API Policy Simulator.

   Antes de usar los datos de la solicitud, haz las siguientes sustituciones:

   • REPLAY_NAME: el nombre de la repetición de la que quieras obtener resultados. Copia este valor del campo response.replay.name de una respuesta operations.get. Incluya los prefijos de tipo de recurso y de ubicación. Por ejemplo, "projects/my-project/locations/global/replays/89ab4892-9605-4c84-aedb-4fce4fc5195b"
   • PAGE_SIZE: opcional. Número máximo de resultados que se devolverán en esta solicitud. Si no se especifica, el servidor determinará el número de resultados que se devolverán. Si el número de resultados es mayor que el tamaño de página, la respuesta contiene un token de paginación que puedes usar para obtener la siguiente página de resultados.
   • PAGE_TOKEN: opcional. El token de paginación devuelto en una respuesta anterior de este método. Si se especifica, la lista de resultados empezará donde terminó la solicitud anterior.
   • PROJECT_ID: tu ID de proyecto Google Cloud . Los IDs de proyecto son cadenas alfanuméricas, como my-project.

   Método HTTP y URL:

   GET https://policysimulator.googleapis.com/v1/REPLAY_NAME/results?pageSize=page-size&pageToken=PAGE_TOKEN

   Para enviar tu solicitud, despliega una de estas opciones:

   curl (Linux, macOS o Cloud Shell)

   Ejecuta el comando siguiente:

   curl -X GET \
        -H "Authorization: Bearer $(gcloud auth print-access-token)" \
        -H "x-goog-user-project: PROJECT_ID" \
        "https://policysimulator.googleapis.com/v1/REPLAY_NAME/results?pageSize=page-size&pageToken=PAGE_TOKEN"

   PowerShell (Windows)

   Ejecuta el comando siguiente:

   $cred = gcloud auth print-access-token
   $headers = @{ "Authorization" = "Bearer $cred"; "x-goog-user-project" = "PROJECT_ID" }
   
   Invoke-WebRequest `
       -Method GET `
       -Headers $headers `
       -Uri "https://policysimulator.googleapis.com/v1/REPLAY_NAME/results?pageSize=page-size&pageToken=PAGE_TOKEN" | Select-Object -Expand Content

   Explorador de APIs (navegador)

   Abre la página de referencia del método. El panel Explorador de APIs se abre en la parte derecha de la página. Puedes interactuar con esta herramienta para enviar solicitudes. Rellena los campos obligatorios y haz clic en Ejecutar.

   La respuesta contiene una lista de resultados que explican cómo cambiaría el acceso de la principal si se aplicara la política propuesta. En estos resultados también se indican los errores que se han producido durante la simulación, sobre todo los que se deben a tipos de recursos no admitidos.

   Consulta el artículo Interpretar los resultados del simulador de políticas de esta página para saber cómo leer los resultados.

   A continuación, se muestra un ejemplo de respuesta de una simulación de política que implica al usuario my-user@example.com. En este caso, si se aplicara el cambio propuesto, my-user@example.com resourcemanager.projects.list y resourcemanager.projects.getmy-project ya no tendrían los permisos resourcemanager.projects.update en el proyecto my-project:

   {
     "replayResults": [
       {
         "accessTuple": {
           "fullResourceName": "//cloudresourcemanager.googleapis.com/projects/my-project",
           "permission": "resourcemanager.projects.list",
           "principal": "my-user@example.com"
         },
         "lastSeenDate": {
           "day": 27,
           "month": 3,
           "year": 2020
         },
         "diff": {
           "accessDiff": {
             "accessChange": "ACCESS_MAYBE_REVOKED",
             "baseline": {
               "accessState": "GRANTED"
             },
             "simulated": {
               "accessState": "UNKNOWN_INFO_DENIED",
               "errors": [
                 {
                   "code": 7,
                   "message": "Missing permission to get relevant IAM policies.",
                   "details": [
                     {
                       "@type": "type.googleapis.com/google.rpc.ResourceInfo",
                       "description": "Missing permission to retrieve IAM policies above the resource in hierarchy.",
                       "resourceName": "//cloudresourcemanager.googleapis.com/projects/my-project",
                       "resourceType": "cloudresourcemanager.googleapis.com/projects"
                     }
                   ]
                 }
               ],
               "policies": [
                 {
                   "access": "UNKNOWN_INFO_DENIED",
                   "policy": {}
                 }
               ]
             }
           }
         }
       },
       {
         "accessTuple": {
           "fullResourceName": "//cloudresourcemanager.googleapis.com/projects/my-project",
           "permission": "resourcemanager.projects.get",
           "principal": "my-user@example.com"
         },
         "lastSeenDate": {
           "day": 27,
           "month": 3,
           "year": 2020
         },
         "diff": {
           "accessDiff": {
             "accessChange": "ACCESS_MAYBE_REVOKED",
             "baseline": {
               "accessState": "GRANTED"
             },
             "simulated": {
               "accessState": "UNKNOWN_INFO_DENIED",
               "errors": [
                 {
                   "code": 7,
                   "message": "Missing permission to view group membership.",
                   "details": [
                     {
                       "@type": "type.googleapis.com/google.rpc.ResourceInfo",
                       "description": "Missing permission to view group membership.",
                       "resourceName": "group:everyone@example.com",
                       "resourceType": "Google group"
                     }
                   ]
                 },
                 {
                   "code": 7,
                   "message": "Missing permission to get relevant IAM policies.",
                   "details": [
                     {
                       "@type": "type.googleapis.com/google.rpc.ResourceInfo",
                       "description": "Missing permission to retrieve IAM policies above the resource in hierarchy.",
                       "resourceName": "//cloudresourcemanager.googleapis.com/projects/my-project",
                       "resourceType": "cloudresourcemanager.googleapis.com/projects"
                     }
                   ]
                 }
               ],
               "policies": [
                 {
                   "access": "UNKNOWN_INFO_DENIED",
                   "bindingExplanations": [
                     {
                       "access": "UNKNOWN_INFO_DENIED",
                       "memberships": {
                         "group:everyone@example.com": {
                           "membership": "MEMBERSHIP_UNKNOWN_INFO_DENIED"
                         }
                       },
                       "role": "roles/owner"
                     }
                   ],
                   "fullResourceName": "//cloudresourcemanager.googleapis.com/projects/my-project",
                   "policy": {
                     "bindings": [
                       {
                         "members": [
                           "group:everyone@example.com"
                         ],
                         "role": "roles/owner"
                       }
                     ],
                     "etag": "BwWgJSIInYA=",
                     "version": 3
                   }
                 },
                 {
                   "access": "UNKNOWN_INFO_DENIED",
                   "policy": {}
                 }
               ]
             }
           }
         }
       },
       {
         "accessTuple": {
           "fullResourceName": "//cloudresourcemanager.googleapis.com/projects/my-project",
           "permission": "resourcemanager.projects.update",
           "principal": "my-user@example.com"
         },
         "lastSeenDate": {
           "day": 27,
           "month": 3,
           "year": 2020
         },
         "diff": {
           "accessDiff": {
             "accessChange": "ACCESS_REVOKED",
             "baseline": {
               "accessState": "GRANTED"
             },
             "simulated": {
               "accessState": "NOT_GRANTED"
             }
           }
         }
       },
       {
         "accessTuple": {},
         "error": {
           "code": 12,
           "message": "Simulator does not yet support all resource types for 8 removed permissions.",
           "details": [
             {
               "@type": "type.googleapis.com/google.rpc.Status",
               "code": 12,
               "message": "Simulator does not yet support all resource types for 8 removed permissions.",
               "details": [
                 {
                   "@type": "type.googleapis.com/google.rpc.ErrorInfo",
                   "domain": "policysimulator.googleapis.com",
                   "metadata": {
                     "permission": "storage.objects.create"
                   },
                   "reason": "UNSUPPORTED_RESOURCE"
                 },
                 {
                   "@type": "type.googleapis.com/google.rpc.ErrorInfo",
                   "domain": "policysimulator.googleapis.com",
                   "metadata": {
                     "permission": "storage.objects.setIamPolicy"
                   },
                   "reason": "UNSUPPORTED_RESOURCE"
                 },
                 {
                   "@type": "type.googleapis.com/google.rpc.ErrorInfo",
                   "domain": "policysimulator.googleapis.com",
                   "metadata": {
                     "permission": "storage.objects.delete"
                   },
                   "reason": "UNSUPPORTED_RESOURCE"
                 },
                 {
                   "@type": "type.googleapis.com/google.rpc.ErrorInfo",
                   "domain": "policysimulator.googleapis.com",
                   "metadata": {
                     "permission": "storage.objects.update"
                   },
                   "reason": "UNSUPPORTED_RESOURCE"
                 },
                 {
                   "@type": "type.googleapis.com/google.rpc.ErrorInfo",
                   "domain": "policysimulator.googleapis.com",
                   "metadata": {
                     "permission": "pubsub.topics.publish"
                   },
                   "reason": "UNSUPPORTED_RESOURCE"
                 },
                 {
                   "@type": "type.googleapis.com/google.rpc.ErrorInfo",
                   "domain": "policysimulator.googleapis.com",
                   "metadata": {
                     "permission": "storage.objects.list"
                   },
                   "reason": "UNSUPPORTED_RESOURCE"
                 },
                 {
                   "@type": "type.googleapis.com/google.rpc.ErrorInfo",
                   "domain": "policysimulator.googleapis.com",
                   "metadata": {
                     "permission": "storage.objects.getIamPolicy"
                   },
                   "reason": "UNSUPPORTED_RESOURCE"
                 },
                 {
                   "@type": "type.googleapis.com/google.rpc.ErrorInfo",
                   "domain": "policysimulator.googleapis.com",
                   "metadata": {
                     "permission": "storage.objects.get"
                   },
                   "reason": "UNSUPPORTED_RESOURCE"
                 }
               ]
             }
           ]
         }
       }
     ],
     "nextPageToken": "AWukk3zjv80La+chWx6WNt7X8czGPLtP792gRpkNVEV/URZ/VdWzxmuJKr"
   }
   

   Si no ha habido ningún cambio en el acceso entre la política de permiso actual y la política de permiso simulada, la solicitud devuelve una lista vacía ({}).

Consola

En la página de resultados del simulador de políticas se muestran los resultados de la simulación en varias secciones:

• Cambios en la política: en esta sección se muestra el recurso cuya política de permisos quieres modificar, los roles que quieres quitar y los roles que quieres añadir.

  

  

  Esta sección también contiene un botón Ver diferencias de la política. Si haces clic en este botón, podrás ver cómo es la política de permisos del recurso antes y después de los cambios propuestos.

  

  

• Cambios en los permisos: esta sección contiene el número de permisos que se han quitado y añadido, que describen cómo cambiarían los permisos de la entidad si aplicaras los cambios propuestos. Estos recuentos de permisos se calculan comparando los permisos de los roles actuales de la principal con los permisos de los roles propuestos de la principal, sin tener en cuenta los roles heredados.

  

  

  Esta sección también contiene un botón Ver diferencias de permisos. Si haces clic en este botón, podrás ver una comparación de los permisos de los roles actual y propuesto del principal.

• Cambios en el acceso en los últimos 90 días: en esta sección se muestran los intentos de acceso de los últimos 90 días que tienen resultados diferentes en la política de permiso propuesta y en la política de permiso actual. En esta sección se incluye un resumen de los cambios de acceso y una tabla con resultados más detallados.

  El resumen de los cambios de acceso muestra el número de cada tipo de cambio de acceso, el número de errores y resultados desconocidos, y el número de intentos de acceso que tienen el mismo resultado en la política de permiso propuesta y en la política de permiso actual. El resumen también muestra cuántos permisos no se han podido simular. Para obtener más información, consulta la sección Errores de esta página.

  

  

  Esta sección también contiene una tabla de cambios de acceso. En esta tabla se muestra cada intento de acceso de los últimos 90 días que tiene un resultado diferente en la política de permiso propuesta y en la política de permiso actual. Cada entrada incluye el recurso al que el principal intentaba acceder, la fecha de la solicitud, el principal que realiza la solicitud, el permiso de la solicitud y el estado del acceso en la política de permiso propuesta en comparación con el estado del acceso en la política de permiso actual.

  

  

  Hay varios tipos de cambios de acceso:

  Cambio en el acceso	Detalles
  Acceso revocado	La entidad de seguridad tenía acceso con la política de permiso actual, pero ya no lo tendrá después del cambio propuesto.
  Acceso potencialmente revocado	Este resultado puede producirse por los siguientes motivos: La entidad tenía acceso según la política de permiso actual, pero su acceso según la política de permiso propuesta es desconocido. El acceso de la entidad de seguridad según la política de permiso actual es desconocido, pero no tendrá acceso después del cambio propuesto.
  Acceso adquirido	La entidad principal no tenía acceso con la política de permiso actual, pero sí lo tendrá después del cambio propuesto.
  Acceso potencialmente adquirido	Este resultado puede producirse por los siguientes motivos: El director no tenía acceso según la política de permiso actual, pero su acceso después del cambio propuesto es desconocido. El acceso de la entidad de seguridad según la política de permiso actual es desconocido, pero tendrá acceso después del cambio propuesto.
  Acceso desconocido	El acceso de la entidad de seguridad según la política de permiso actual y la propuesta es desconocido, y los cambios propuestos pueden afectar al acceso de la entidad de seguridad.
  Error	Se ha producido un error durante la simulación.

  Para ver más detalles sobre un cambio de acceso, haz clic en él. Se abrirá el panel Detalles del cambio en el acceso, que muestra información adicional sobre el cambio en el acceso, como el acceso actual de la cuenta principal, el acceso propuesto y más detalles sobre el resultado del cambio.

  

  

gcloud

Cuando usas el comando replay-recent-access, la respuesta de gcloud CLI contiene una lista de replayResults.

Cada resultado de repetición describe un intento de acceso cuyo resultado habría sido diferente si la política de permiso propuesta hubiera estado vigente en el momento del intento. Por ejemplo, el siguiente resultado de la repetición muestra que my-user@example.com usó el permiso resourcemanager.projects.update en el pasado para realizar una acción en el proyecto my-project. Sin embargo, si se hubiera aplicado la política de permiso propuesta, se les habría denegado el acceso.

{
  "accessTuple": {
    "fullResourceName": "//cloudresourcemanager.googleapis.com/projects/my-project",
    "permission": "resourcemanager.projects.update",
    "principal": "my-user@example.com"
  },
  "lastSeenDate": {
    "day": 15,
    "month": 1,
    "year": 2021
  },
  "diff": {
    "accessDiff": {
      "baseline": {
        "accessState": "GRANTED"