Ressourcenattribute für IAM Conditions

Dieses Thema enthält eine Liste von Werten, die für Ressourcenattribute in einer Bedingung verwendet werden können. Dazu gehören Stringwerte für Ressourcendienst, Ressourcentyp und das Format von Strings für Ressourcennamen.

Mit Ressourcenattributen können Sie den Bereich der durch eine Rollenbindung gewährten Berechtigungen ändern. Wenn eine Rolle Berechtigungen enthält, die für verschiedene Arten von Ressourcen gelten, kann über eine Bedingung eine Teilmenge der Rollenberechtigungen basierend auf Ressourcendienst, Ressourcentyp und Ressourcenname gewährt werden.

Ressourcenattribute sind für die auf dieser Seite aufgeführten Dienste und Ressourcentypen von Google Cloud verfügbar. Andere Dienste und Ressourcentypen erkennen keine Ressourcenattribute.

Weitere Informationen zu IAM Conditions (Identity and Access Management) finden Sie in den folgenden Abschnitten:

Ressourcendienstwerte

In der folgenden Tabelle sind die Werte aufgeführt, die das Attribut "Ressourcendienst" enthalten kann.

Ressourcendienstwert REST-Referenz
bigquery.googleapis.com API-Referenz
bigqueryreservation.googleapis.com API-Referenz
cloudkms.googleapis.com API-Referenz
cloudresourcemanager.googleapis.com API-Referenz
compute.googleapis.com API-Referenz
dns.googleapis.com API-Referenz
logging.googleapis.com API-Referenz
networksecurity.googleapis.com API-Referenz
storage.googleapis.com API-Referenz

Ressourcentypwerte

In der folgenden Tabelle sind die Werte aufgeführt, die das Attribut "Ressourcentyp" enthalten kann.

Ressourcentypwert Referenz
bigquery.googleapis.com/Dataset Weitere Informationen
bigquery.googleapis.com/Model Weitere Informationen
bigquery.googleapis.com/Routine Weitere Informationen
bigquery.googleapis.com/Table Weitere Informationen
bigqueryreservation.googleapis.com/Assignment Weitere Informationen
bigqueryreservation.googleapis.com/BiReservation Weitere Informationen
bigqueryreservation.googleapis.com/CapacityCommitment Weitere Informationen
bigqueryreservation.googleapis.com/Location Weitere Informationen
bigqueryreservation.googleapis.com/Reservation Weitere Informationen
cloud.googleapis.com/Location1 Weitere Informationen
cloudkms.googleapis.com/CryptoKey Weitere Informationen
cloudkms.googleapis.com/CryptoKeyVersion Weitere Informationen
cloudkms.googleapis.com/KeyRing Weitere Informationen
cloudresourcemanager.googleapis.com/Project Weitere Informationen
compute.googleapis.com/BackendService Weitere Informationen
compute.googleapis.com/Disk Weitere Informationen
compute.googleapis.com/Firewall Weitere Informationen
compute.googleapis.com/ForwardingRule Weitere Informationen
compute.googleapis.com/GlobalForwardingRule Weitere Informationen
compute.googleapis.com/Image Weitere Informationen
compute.googleapis.com/Instance Weitere Informationen
compute.googleapis.com/InstanceTemplate Weitere Informationen
compute.googleapis.com/Snapshot Weitere Informationen
compute.googleapis.com/TargetHttpProxy Weitere Informationen
compute.googleapis.com/TargetHttpsProxy Weitere Informationen
compute.googleapis.com/TargetSslProxy Weitere Informationen
compute.googleapis.com/TargetTcpProxy Weitere Informationen
dns.googleapis.com/ResourceRecordSet Weitere Informationen
logging.googleapis.com/LogBucket Weitere Informationen
logging.googleapis.com/LogView Weitere Informationen
networksecurity.googleapis.com/AddressGroup Weitere Informationen
networksecurity.googleapis.com/FirewallEndpoint Weitere Informationen
networksecurity.googleapis.com/FirewallEndpointAssociation Weitere Informationen
networksecurity.googleapis.com/InterceptDeployment Weitere Informationen
networksecurity.googleapis.com/InterceptDeploymentGroup Weitere Informationen
networksecurity.googleapis.com/InterceptEndpointGroup Weitere Informationen
networksecurity.googleapis.com/InterceptEndpointGroupAssociation Weitere Informationen
networksecurity.googleapis.com/MirroringDeployment Weitere Informationen
networksecurity.googleapis.com/MirroringDeploymentGroup Weitere Informationen
networksecurity.googleapis.com/MirroringEndpointGroup Weitere Informationen
networksecurity.googleapis.com/MirroringEndpointGroupAssociation Weitere Informationen
networksecurity.googleapis.com/SecurityProfile Weitere Informationen
networksecurity.googleapis.com/SecurityProfileGroup Weitere Informationen
storage.googleapis.com/Bucket Weitere Informationen
storage.googleapis.com/Folder Weitere Informationen
storage.googleapis.com/ManagedFolder Weitere Informationen
storage.googleapis.com/Object Weitere Informationen

1 Der Cloud Key Management Service verwendet diesen Ressourcentyp als übergeordnetes Element von Schlüsselbundressourcen.

Format der Ressourcennamen

In der folgenden Tabelle sind die Formate jedes Typs des Attributs "Ressourcenname" aufgeführt.

Ressourcenreferenz Vorlage für das Ressourcennamenformat
BigQuery-Datasets projects/project-id/datasets/dataset-id
BigQuery-Modelle projects/project-id/datasets/dataset-id/models/model-id
BigQuery-Routinen projects/project-id/datasets/dataset-id/routines/routine-id
BigQuery-Tabellen projects/project-id/datasets/dataset-id/tables/table-id
Aufgaben der BigQuery Reservation API projects/project-id/locations/location-id/reservations/reservation-id/assignments/assignment-id
BI-Reservierungen der BigQuery Reservation API projects/project-id/locations/location-id/biReservation
Kapazitätszusicherungen der BigQuery Reservation API projects/project-id/locations/location-id/capacityCommitments/capacity-commitment-id
Standorte der BigQuery Reservation API projects/project-id/locations/location-id
Reservierungen der BigQuery Reservation API projects/project-id/locations/location-id/reservations/reservation-id
Adressgruppen für Cloud NGFW projects/project-number/locations/location/addressGroups/address-group-name
organizations/organization-id/locations/location/addressGroups/address-group-name
Firewall-Endpunkte von Cloud NGFW projects/project-number/locations/location/firewallEndpoints/firewall-endpoint-id
organizations/organization-id/locations/location/firewallEndpoints/firewall-endpoint-id
Cloud NGFW-Firewall-Endpunktverknüpfungen projects/project-number/locations/location/firewallEndpointAssociations/firewall-endpoint-association-id
Sicherheitsprofilgruppen der Cloud NGFW1 projects/project-number/locations/location/securityProfileGroups/security-profile-group-id
Sicherheitsprofile für Cloud NGFW1 projects/project-number/locations/location/securityProfiles/security-profile-id
Abfangbereitstellungsgruppen für die Netzwerksicherheits-Integration projects/project-number/locations/location/interceptDeploymentGroups/intercept-deployment-group-id
Abfangbereitstellungen für die Netzwerksicherheits-Integration projects/project-number/locations/location/interceptDeployments/intercept-deployment-id
Verknüpfungen von Abfang-Endpunktgruppen für die Netzwerksicherheits-Integration projects/project-number/locations/location/interceptEndpointGroupAssociations/intercept-endpoint-group-association-id
Abfangendpunktgruppen für die Netzwerksicherheits-Integration projects/project-number/locations/location/interceptEndpoints/intercept-endpoint-group-id
Spiegel-Bereitstellungsgruppen für die Netzwerksicherheits-Integration projects/project-number/locations/location/mirroringDeploymentGroups/mirroring-deployment-group-id
Spiegelungsbereitstellungen für die Netzwerksicherheits-Integration projects/project-number/locations/location/mirroringDeployments/mirroring-deployment-id
Verknüpfungen von Spiegelungs-Endpunktgruppen für die Netzwerksicherheits-Integration projects/project-number/locations/location/mirroringEndpointGroupAssociations/mirroring-endpoint-group-association-id
Spiegelungs-Endpunktgruppen für die Netzwerksicherheits-Integration projects/project-number/locations/location/mirroringEndpoints/mirroring-endpoint-group-id
Cloud Key Management Service-Kryptoschlüssel projects/project-id/locations/location-id/keyRings/keyring-id/cryptoKeys/cryptokey-id
Cloud Key Management Service-Kryptoschlüsselversionen projects/project-id/locations/location-id/keyRings/keyring-id/cryptoKeys/cryptokey-id/cryptoKeyVersions/cryptokeyversion-id
Cloud Key Management Service-Schlüsselbunde projects/project-id/locations/location-id/keyRings/keyring-id
Cloud Logging-Log-Buckets projects/project-id/locations/location-id/buckets/bucket-id
Cloud Logging-Logansichten projects/project-id/locations/location-id/buckets/bucket-id/views/view-id
Cloud Storage-Buckets2 projects/_/buckets/bucket-name
Cloud Storage-Ordner in Buckets mit aktiviertem hierarchischen Namespace2, 3 projects/_/buckets/bucket-name/folders/folder-name
Verwaltete Ordner in Cloud Storage2, 4 projects/_/buckets/bucket-name/managedFolders/managed-folder-name
Cloud Storage-Objekte2, 5 projects/_/buckets/bucket-name/objects/object-name
Globale Backend-Dienste von Compute Engine projects/project-id/global/backendServices/backend-service-id
Regionale Back-End-Dienste von Compute Engine projects/project-id/regions/region-id/backendServices/backend-service-id
Compute Engine-Firewalls projects/project-id/global/firewalls/firewall-id
Globale Weiterleitungsregeln für Compute Engine projects/project-id/global/forwardingRules/forwarding-rule-id
Regionale Weiterleitungsregeln für Compute Engine projects/project-id/regions/region-id/forwardingRules/forwarding-rule-id
Compute Engine-Images projects/project-id/global/images/image-id
Compute Engine-Instanzvorlagen projects/project-id/global/instanceTemplates/instance-template-id
Compute Engine-Instanzen projects/project-id/zones/zone-id/instances/instance-id
Regionale nichtflüchtige Speicher von Compute Engine projects/project-id/regions/region-id/disks/disk-id
Zonale nichtflüchtige Speicher von Compute Engine projects/project-id/zones/zone-id/disks/disk-id
Compute Engine-Snapshots projects/project-id/global/snapshots/snapshot-id
Globale Ziel-HTTP-Proxys von Compute Engine projects/project-id/global/targetHttpProxies/target-http-proxy-id
Regionale Ziel-HTTP-Proxys von Compute Engine projects/project-id/regions/region-id/targetHttpProxies/target-http-proxy-id
Globale Ziel-HTTPS-Proxys von Compute Engine projects/project-id/global/targetHttpsProxies/target-https-proxy-id
Regionale Ziel-HTTPS-Proxys von Compute Engine projects/project-id/regions/region-id/targetHttpsProxies/target-https-proxy-id
Ziel-SSL-Proxys von Compute Engine projects/project-id/global/targetSslProxies/target-ssl-proxy-id
Ziel-TCP-Proxys von Compute Engine projects/project-id/global/targetTcpProxies/target-tcp-proxy-id
Cloud DNS-Ressourceneintragssätze projects/project-id/managedZones/zone-id/rrsets/rrset-name/rrset-type
Resource Manager-Organisationen organizations/organization-name

1 IAM-Bedingungen unterstützen nur Cloud NGFW-Ressourcen auf Projektebene. Cloud NGFW-Ressourcen auf Organisationsebene werden nicht unterstützt.

2 Bei Cloud Storage enthalten Ressourcennamen einen Unterstrich (_) anstelle einer Projekt-ID. Sie können den Unterstrich nicht durch eine Projekt-ID, einen Projektnamen oder eine Projektnummer ersetzen.

3 Verwenden Sie den gesamten Ordnernamen, einschließlich Schrägstrichen.

4 Verwenden Sie den gesamten Namen des verwalteten Ordners, einschließlich Schrägstrichen.

5 Verwenden Sie den gesamten Objektnamen, einschließlich Schrägstrichen.

Ressourcen-Tags

Sie können Tags an Organisationen, Projekte und Ordner anhängen. Jede Google Cloud -Ressource kann Tags von diesen übergeordneten Ressourcen übernehmen.

Sie können verschiedene Arten von IDs verwenden, um auf Tag-Schlüssel und -Werte zu verweisen:

  • Eine permanente ID, die global eindeutig ist und nicht wiederverwendet werden kann. Ein Tag-Schlüssel könnte beispielsweise die permanente ID tagKeys/123456789012 und ein Tag-Wert die permanente ID tagValues/567890123456 haben.
  • Kurzname: Der Kurzname für jeden Schlüssel muss innerhalb des Projekts oder der Organisation, in der der Schlüssel definiert ist, eindeutig sein. Der Kurzname für jeden Wert muss für den zugehörigen Schlüssel eindeutig sein. Ein Tag-Schlüssel könnte beispielsweise den Kurznamen env und ein Tag-Wert den Kurznamen prod haben.
  • Ein Namespace-Name, der die numerische ID Ihrer Organisation oder die ID des Projekts zum Kurznamen eines Tag-Schlüssels hinzufügt. Ein für eine Organisation erstellter Tag-Schlüssel könnte beispielsweise den Namespace-Namen 123456789012/env haben. Informationen zum Abrufen Ihrer Organisations-ID finden Sie unter Organisations-ID der Ressource abrufen. Ein für ein Projekt erstellter Tag-Schlüssel könnte den Namespace-Namen myproject/env haben. Informationen zum Abrufen Ihrer Projekt-ID finden Sie unter Projekte identifizieren.

Die spezifischen Kennzeichnungen hängen von den Tag-Schlüsseln und -Werten ab, die Sie für Ihre Organisation erstellt haben. Informationen zum Auflisten der verfügbaren Tag-Schlüssel und -Werte finden Sie unter Tag-Schlüssel auflisten und Tag-Werte auflisten.