Policy

Identity and Access Management (IAM) 政策，用於指定 Google Cloud 資源的存取權控管。

Policy 是 bindings 的集合。binding 會將一或多個 members 或主體繫結至單一 role。主體可以是使用者帳戶、服務帳戶、Google 群組和網域 (例如 G Suite)。role 是具名的權限清單，每個 role 都可以是 IAM 預先定義的角色，或是使用者建立的自訂角色。

對於某些類型的 Google Cloud 資源，binding 也可以指定 condition，這是邏輯運算式，只有在運算式評估結果為 true 時，才允許存取資源。條件可根據要求、資源或兩者的屬性新增限制。如要瞭解哪些資源的 IAM 政策支援條件，請參閱 IAM 說明文件。

JSON 範例：

    {
      "bindings": [
        {
          "role": "roles/resourcemanager.organizationAdmin",
          "members": [
            "user:[e-mail]",
            "group:[e-mail]",
            "domain:google.com",
            "serviceAccount:[e-mail]"
          ]
        },
        {
          "role": "roles/resourcemanager.organizationViewer",
          "members": [
            "user:[e-mail]"
          ],
          "condition": {
            "title": "expirable access",
            "description": "Does not grant access after Sep 2020",
            "expression": "request.time < timestamp('2020-10-01T00:00:00.000Z')",
          }
        }
      ],
      "etag": "BwWWja0YfJA=",
      "version": 3
    }

YAML 範例：

    bindings:
    - members:
      - user:[e-mail]
      - group:[e-mail]
      - domain:google.com
      - serviceAccount:[e-mail]
      role: roles/resourcemanager.organizationAdmin
    - members:
      - user:[e-mail]
      role: roles/resourcemanager.organizationViewer
      condition:
        title: expirable access
        description: Does not grant access after Sep 2020
        expression: request.time < timestamp('2020-10-01T00:00:00.000Z')
    etag: BwWWja0YfJA=
    version: 3

如需 IAM 及其功能的說明，請參閱 IAM 說明文件。

JSON 表示法
{ "version": integer, "bindings": [ { object (Binding) } ], "etag": string }

欄位
version	integer 指定政策格式。 有效值為 0、1 和 3。如果要求指定無效值，系統會拒絕要求。 凡是會影響條件式角色繫結的作業，都必須指定版本 3。這項規定適用於下列作業： 取得包含條件式角色繫結的政策 在政策中新增條件角色繫結 變更政策中的條件式角色繫結 從包含條件的政策中移除任何角色繫結 (無論是否包含條件) 重要事項：如果您使用 IAM 條件，每次呼叫 setIamPolicy 時，都必須加入 etag 欄位。如果省略這個欄位，IAM 允許您以版本 1 政策覆寫版本 3 政策，且版本 3 政策中的所有條件都會遺失。 如果政策不含任何條件，對該政策執行的作業可以指定任何有效版本，或將欄位留空。 如要瞭解哪些資源的 IAM 政策支援條件，請參閱 IAM 說明文件。
bindings[]	object (Binding) 將 members 清單或主體與 role 建立關聯。(選用) 您可以指定 condition，決定 bindings 的套用方式和時間。每個 bindings 至少必須包含一個主體。 Policy 中的 bindings 最多可參照 1,500 個主體，其中最多 250 個主體可以是 Google 群組。每個主體例項都會計入這些限制。舉例來說，如果 bindings 將 50 個不同的角色授予 user:[e-mail]，但未授予任何其他主體，則您可以在 Policy 中將另外 1,450 個主體新增至 bindings。
etag	string (bytes format) etag 用於開放式並行控制，有助防止政策在同時更新時相互覆寫。強烈建議系統在讀取-修改-寫入週期中使用 etag 執行政策更新，以避免發生競爭狀況：系統會在 getIamPolicy 的回應中傳回 etag，並將該 etag 放入 setIamPolicy 的要求中，確保變更會套用至相同版本的政策。 重要事項：如果您使用 IAM 條件，每次呼叫 setIamPolicy 時，都必須加入 etag 欄位。如果省略這個欄位，IAM 允許您以版本 1 政策覆寫版本 3 政策，且版本 3 政策中的所有條件都會遺失。 Base64 編碼字串。