ресурс google_kms_crypto_key_iam_bindings

[править на GitHub]

Этот ресурс устарел. Используйте вместо него google_kms_crypto_key_iam_policy

Используйте google_kms_crypto_key_iam_bindings ресурс аудита InSpec для проверки свойств всех или группы фильтрованных связей IAM GCP KMS Crypto Key.

Синтаксис

Блок google_kms_crypto_key_iam_bindings ресурса собирает связи IAM GCP KMS Crypto Key, а затем проверяет эту группу.

describe google_kms_crypto_key_iam_bindings(crypto_key_url: 'projects/project/locations/europe-west2/keyRings/key-ring/cryptoKeys/key-name') do
  it { should exist }
end

Используйте этот ресурс InSpec для перечисления ролей и проверки их подробно, используя google_kms_key_ring_iam_binding.

google_kms_crypto_key_iam_bindings(crypto_key_url: 'projects/project/locations/europe-west2/keyRings/key-ring/cryptoKeys/key-name').iam_binding_roles.each do |iam_binding_role|
  describe google_kms_crypto_key_iam_binding(crypto_key_url:  'projects/project/locations/europe-west2/keyRings/key-ring/cryptoKeys/key-name',  role: "roles/owner") do
    it { should exist }
    its('members') {should include 'user:someuser@domain.com' }
  end
end

Примеры

В следующих примерах показано, как использовать этот ресурс аудита InSpec.

Проверка, что доступно не более заданного числа ролей связей IAM для криптоключа

describe google_kms_crypto_key_iam_bindings(crypto_key_url: 'projects/project/locations/europe-west2/keyRings/key-ring/cryptoKeys/key-name') do
  its('count') { should be <= 100}
end

Проверка, что ожидаемая связь IAM доступна для криптоключа

describe google_kms_crypto_key_iam_bindings(crypto_key_url: 'projects/project/locations/europe-west2/keyRings/key-ring/cryptoKeys/key-name') do
  its('iam_binding_roles') { should include "roles/storage.admin" }
end

Проверка, что определённая роль отсутствует, используя фильтрацию множественного ресурса

describe google_kms_crypto_key_iam_bindings(crypto_key_url: 'projects/project/locations/europe-west2/keyRings/key-ring/cryptoKeys/key-name').where(iam_binding_role: "roles/iam.securityReviewer") do
  it { should_not exist }
end

Критерии фильтрации

Этот ресурс поддерживает следующие критерии фильтрации: iam_binding_role. Это можно использовать с where, как в блоке, так и как метод.

Свойства

• iam_binding_roles - массив строк ролей google_kms_crypto_key_iam_binding, например, ["roles/compute.admin", "roles/owner"]

Разрешения GCP

Убедитесь, что служба Cloud Key Management Service (KMS) API включена в проекте, где находится ресурс, по ссылке.