Jerarquía de recursos, organización, carpetas y proyectos

Google Cloud ordena sus recursos en una jerarquía: la organización es la raíz (se corresponde con un dominio de la empresa), las carpetas agrupan proyectos y otras carpetas, y el proyecto es la unidad donde viven los recursos (máquinas, buckets, bases de datos). Un proyecto puede colgar de una carpeta o directamente de la organización.

Los permisos se heredan hacia abajo. La política de permisos efectiva de un recurso es la unión de la política que tiene puesta y de las de todos sus ancestros: lo concedido arriba se suma a lo concedido abajo. Un nivel inferior puede añadir permisos, pero no puede quitar los que vienen de arriba. Si algo ya no debe llegar, se corrige en el nivel donde se concedió. Existen además políticas de denegación, que se evalúan antes que las de permiso y se adjuntan a organización, carpeta o proyecto, pero esta sala trabaja solo con las de permiso.

La consecuencia para quien revisa es práctica: mirar solo la política de un proyecto da una imagen incompleta; hay que subir por el árbol y sumar.

Abre el laboratorio. En el escritorio está la exportación del inventario de Cerámicas Tacuara. Empieza por el archivo arbol-de-recursos.txt: cada línea con sangría es un hijo de la línea de arriba. Los proyectos sin carpeta son un caso a vigilar: reciben solo lo concedido en la organización, pero también suelen escaparse de los controles que se aplican por carpeta.

El proyecto tcr-portal-pruebas está dentro de dos carpetas anidadas. Lo que cada una concede le llega. Los roles básicos (owner, editor, viewer) son los más amplios de Google Cloud: editor permite modificar casi todos los recursos del proyecto, no solo leerlos.

Abre las políticas de las carpetas y busca la que concede el rol editor.

Para saber quién llega a un proyecto hay que sumar las políticas de los cuatro niveles que lo afectan: organización, carpeta Desarrollo, carpeta de contratistas y el propio proyecto, y contar principales distintos. Un principal es un usuario, un grupo o una cuenta de servicio; un grupo cuenta como uno. Si el mismo principal aparece en dos niveles, es el mismo.

El dueño del proyecto de portal de pruebas descubre que los contratistas tienen más acceso del necesario y edita la política de su proyecto para quitarlos. Al volver a revisar, siguen teniendo acceso.