如何从 iam 用户 GCP 中识别不同的域答案

【问题标题】：how to identify different domains from iam users GCP如何从 iam 用户 GCP 中识别不同的域
【发布时间】：2021-06-14 16:27:20
【问题描述】：

我们有一个场景，在我们的 gcp 项目中，除了 @gmail.com 之外，我们有几个具有不同电子邮件 ID 域的 iam 用户，现在我们需要将其限制为仅向 @gmail.com 用户授予访问权限。

首先，我们需要从我们的项目中识别所有现有的非@gmail.com 用户并将其删除。

我们使用以下过滤器从 iam-users 中识别所有 @gmail.com 用户。

gcloud projects get-iam-policy <project id> --flatten="bindings[].members" --format="table(bindings.members)" --filter="@gmail.com"

同样，我们需要在我们的项目中过滤掉所有具有其他电子邮件域的 iam 用户

【问题讨论】：

标签： google-cloud-platform google-iam google-cloud-iam

【解决方案1】：

您不能否定过滤器。您需要获取所有成员并使用 grep -v 删除 gmail.com

# With IAM on project
gcloud projects get-iam-policy <project id> --flatten="bindings[].members" --format="table(bindings.members)" | sort | uniq | grep -v gmail.com

# With asset inventory
gcloud asset search-all-iam-policies --flatten="policy.bindings[].members" --format="table(policy.bindings.members)" | sort | uniq | grep -v gmail.com

资产清单很棒，因为它还可以找到在资源级别授予的帐户，而不仅仅是在项目级别。一切都取决于您的需求。

【讨论】：

【解决方案2】：

除了转到您的 IAM 页面之外，还不确定如何识别所有这些，但关于 GCP 文档下方的域限制。

资源管理器提供域限制约束，可在组织策略中使用，以限制基于域的资源共享。此约束允许您限制允许在身份和访问管理策略中使用的身份集。

您可以在此处查看指南：Restricting identities by domain

【讨论】：