问题标签 [google-cloud-resource-manager]

我想知道我在 GCP 中当前项目的组织 ID。

gcloud projects describe PROJECT_ID将显示parent哪个可以是组织，但如果父级是 a folder，则不会出现组织 ID。

我可以使用 来递归文件夹的父层次结构gcloud resource-manager folders describe FOLDER_ID，但这很麻烦。如果我没有组织级别的权限也是不可能的。

然而，我确实可以访问组织 ID：gcloud organizations list显示几个组织，但不是它们与项目的映射。

我怎样才能做到这一点？

我正在尝试学习 python SDK 来帮助我管理我的谷歌云平台资源。有人可以帮我理解。我从 Google API 获得了以下代码片段。
此代码单独工作。假设我想列出我组织中的所有角色，或者列出特定项目的角色，我应该在哪里做以及如何做？

非常感谢您提前。

在 Google Cloud Platform (GCP) 中，您只能通过调用 getIamPolicy（gcloud 中的 get-iam-policy）来获取特定资源的 IAM 策略。

是否可以跨资源、服务或项目列出、搜索、列出、搜索或查找 IAM 策略？

这需要回答以下问题：

• 服务帐号有哪些角色？
• 哪些资源是公开共享的？
• 策略是否包含已删除的用户？
• 用户离开我的公司后是否仍会出现在任何政策中？
• 用户是否具有给定的角色？

在 Google Cloud Platform (GCP) 中，您可以使用列表 API 或命令来列出给定项目中给定服务中给定类型的资源，例如 BigQuery 数据集或计算实例。

但是如何跨类型、服务甚至项目查找或搜索资源？

我使用资源管理器 API 创建新的 Google Cloud 项目。就我现在而言，需要传递项目 ID。至少它没有在REST API中标记为“可选”，如果我尝试使用名称创建一个新项目，它也会失败。

但是，根据 Google Cloud Resource Manager 文档，项目 ID 中不能使用一些限制词：

某些词被限制在项目 ID 中使用。如果您在项目名称中使用限制字词，例如 google 或 ssl，则生成的项目 ID 将不包含这些字词。https://cloud.google.com/resource-manager/docs/creating-managing-projects

现在，这发生了几次，例如“demo”似乎也是一个受限词。

有人知道限制词列表吗？

我正在尝试创建一个 cron 服务，用于为开发团队清理（删除计费和删除）GCP 上的一堆项目和资源文件夹。理想情况下，我想使用云功能来做到这一点，因为它是轻量级的，但是，我似乎找不到任何允许删除 FOLDER 的客户端库。有没有人能够找到任何客户端库来做到这一点？

我正在考虑的其他选择是：

• 在调用 gcloud 命令的容器中创建 Cloud Run cron 服务（如 https://cloud.google.com/sdk/gcloud/reference/resource-manager/folders/create）。
• 从云函数调用 GCP Rest API 到资源管理器 APIS。

我正在寻找一种以编程方式列出组织内的 Google Cloud 项目的方法。我正在尝试使用服务帐户导出的 json 凭据以这种方式实现这样的目的：

我发现的问题是我总是得到一个空洞的回应。即使我为服务帐户分配了所有者的角色。根据文档，我可以使用roles/ resourcemanager.organizationAdmin我也设置但没有运气的。我使用创建 CloudResourceManagement api 对象getApplicationDefault。

但是，如果我这样做gcloud beta auth application-default login会触发浏览器中的身份验证流程并与作为组织所有者的用户进行身份验证，这将起作用并列出我拥有的所有项目。

任何人都可以向我解释我应该怎么做才能存储一个可以模仿他的用户所有者的适当凭证？我已经将服务帐户设置为 Owner 角色，理论上它实际上可以访问所有资源，但仍然没有运气。

我正在尝试使用projects.list资源管理器 API 中的方法列出我在 GCP 中拥有的所有项目，但我无法确定要使用的访问令牌。

假设我有三个项目：

• My Project 44572
• Testing
• My First Project

当我使用该projects.list方法时，它应该给我这样的输出：

但是，如果我使用通过使用服务帐户获得的访问令牌，我将My Project 44572得到以下输出：

那么，我应该使用什么访问令牌才能获得组织下的所有项目？

GCP IAM：在 IAM 中，访问资源的权限不会直接授予最终用户。相反，权限被分组到角色中，并且角色被授予经过身份验证的成员。IAM 策略定义并强制执行哪些角色被授予哪些成员，并且此策略附加到资源参考：https ://cloud.google.com/iam/docs/overview

所以基本上，谷歌云资源的访问控制是由 IAM 策略管理的。IAM 策略附加到资源。

使用云资源管理器 API，我们可以检索策略并检查分配给用户的权限，但它是以资源为中心的。可以检索组织、文件夹、项目等的策略。示例：https ://cloud.google.com/resource-manager/reference/rest/v1/organizations/getIamPolicy

云资产清单：有一个 API 来搜索所有 iam 策略。使用查询参数，它有一个用户过滤器，但它支持可以为 iam polciy 分配 API 的资源子集： https ://cloud.google.com/asset-inventory/docs/reference/rest/v1/TopLevel/ searchAllIamPolicies 参考：

• https://cloud.google.com/asset-inventory/docs/supported-asset-types
• https://cloud.google.com/iam/docs/resource-types-with-policies

问题： 有没有办法在所有 GCP 资源中获取授予身份的所有权限，而不是检查每个资源的 IAM 政策？

基本上是在 GCP 中寻找授予身份的所有权限的综合视图。问题是为了理解分配给单个资源上的用户的权限，使用 API，我们必须获取所有资源策略并检查它们的绑定

用户名@gmail.com可以从 GCP 控制台创建新项目。用户具有 OWNER/Project Billing Manager 角色，但在尝试从 CLI 创建新项目时，它显示：

我在这里错过了其他角色吗？任何人都可以提出解决方案。