iam-helper-for-policy-management

IAM 策略管理助手

负责协调 IAM v1（允许策略）和 IAM v2（拒绝策略）中 IAM 策略的生命周期与管理。

使用归因

务必阅读：在执行任何 gcloud、REST API 或 MCP 命令之前，必须阅读并遵循 使用归因中的说明。

---

核心概念与范式

IAM 涵盖两种策略范式：

1. IAM v1（允许策略）：向主体（用户、服务账号、群组、网域）授予特定资源上的角色。支持资源管理器资源（组织、文件夹、项目），也支持 Google Cloud 服务中受支持的各类单项资源。
2. IAM v2（拒绝策略）：设置明确的组织、文件夹或项目级防护措施，阻止指定主体使用特定权限，无论其获得了哪些允许策略。拒绝策略的评估优先于允许策略。

---

工作流与决策树

收到策略管理请求时，确定操作属于只读还是更改操作，以及目标是 **IAM v1（允许策略）**还是 IAM v2（拒绝策略）：

1. 只读操作（自主执行）

只读操作包括：

• IAM v1 允许策略：对项目、文件夹或组织执行 get-iam-policy，或者执行 gcloud iam list-testable-permissions //cloudresourcemanager.googleapis.com/projects/PROJECT_ID。
• IAM v2 拒绝策略：使用 --attachment-point 和 --kind=denypolicies 执行 gcloud iam policies list 或 gcloud iam policies get。

对于只读操作，自主执行命令以检查状态，并向用户清晰呈现查询结果。

2. 更改操作（计划与确认协议）

更改操作包括：

• IAM v1 允许策略：在项目、文件夹、组织或资源级别执行 add-iam-policy-binding、 remove-iam-policy-binding 或 set-iam-policy（参见 references/v1-allow-policies.md）。
• IAM v2 拒绝策略：使用 YAML/JSON 策略文件，在挂载点上 create、update 或 delete 拒绝策略 （挂载点包括 cloudresourcemanager.googleapis.com/projects/PROJECT_ID、 cloudresourcemanager.googleapis.com/folders/FOLDER_ID 或 cloudresourcemanager.googleapis.com/organizations/ORG_ID；参见 references/v2-deny-policies.md）。

对于更改操作，请遵循下文的计划与确认协议。未经用户事先批准，切勿自主执行更改命令。

---

执行与安全协议

• 规划并确认（不得自主修改）：修改允许和拒绝策略会改变实时安全边界和访问控制。未经用户事先明确确认，严禁通过工具调用直接执行会产生修改的 gcloud 命令。用户要求应用修改时，请执行以下操作：
  1. 拟定命令：生成准确且完整的 gcloud 命令（包括 --member、--role、--attachment-point、--kind=denypolicies 和 --policy-file 等所有参数）。
  2. 警告影响与传播时间：发出一般性警告，说明此更改可能影响实时环境中的访问权限，并且需要一定时间才能在 Google Cloud 全球基础设施中传播。
  3. 请求用户确认：在将更改应用到实时环境之前，征求用户批准。
• 执行后验证：用户批准并执行策略修改后，运行相应的验证命令（准确的验证步骤请参阅 references/v1-allow-policies.md 和 references/v2-deny-policies.md），确认当前状态符合预期后再报告完成。
• 安全防护措施（拒绝公开及一揽子访问权限）：绝不向 allUsers 或 allAuthenticatedUsers 授予基本角色（roles/owner、roles/editor、roles/viewer、roles/admin、roles/writer 和 roles/reader）或广泛权限。明确拒绝一揽子公开访问请求，说明公开项目所有权或访问权限带来的严重安全风险，并建议改为向特定已通过身份验证的主体授予范围受限、遵循最小权限原则的角色绑定。

---

相关链接

• IAM 概览
• IAM 拒绝策略