Propagação da alteração de acesso

No IAM, as alterações de acesso, como a concessão de uma função ou a recusa de uma autorização, são eventualmente consistentes. Isto significa que as alterações de acesso demoram algum tempo a serem propagadas no sistema. Entretanto, as alterações de acesso recentes podem não ser eficazes em todos os locais. Por exemplo, os principais podem continuar a usar uma função revogada recentemente ou uma autorização recusada recentemente. Em alternativa, podem não conseguir usar uma função concedida recentemente ou uma autorização que, até há pouco tempo, lhes era recusada.

O tempo que uma alteração de acesso demora a propagar-se depende da forma como faz a alteração de acesso:

Método Exemplos Tempo de propagação

Altere uma política

Altere o acesso de um principal editando uma política de permissão ou negação.

Ao fazer alterações às políticas, não pode exceder os limites do número de responsáveis permitidos numa política.

  • Edita a política de autorização da sua organização para conceder a um principal a função de administrador da organização (roles/resourcemanager.organizationAdmin).
  • Edita uma política de negação ao nível da organização para negar a um principal a autorização cloudresourcemanager.googleapis.com/projects.setIamPolicy.
Normalmente, 2 minutos, potencialmente 7 minutos ou mais

Altere a associação de um grupo

Altere o acesso de um principal adicionando-o ou removendo-o de um grupo Google incluído numa política de autorização ou recusa.

  • Tem um grupo, org-admins@example.com, ao qual foi atribuída a função de administrador da organização na sua organização. Adiciona um principal ao grupo para lhe atribuir a função de administrador da organização.
  • Tem um grupo, eng@example.com, ao qual foi recusada a autorização cloudresourcemanager.googleapis.com/projects.setIamPolicy ao nível da organização. Adiciona um principal ao grupo para lhe negar a autorização cloudresourcemanager.googleapis.com/projects.setIamPolicy.
Normalmente, vários minutos, potencialmente horas ou mais

Altere a associação de um grupo aninhado

Altere o acesso de um principal adicionando-o ou removendo-o de um grupo aninhado cujo grupo principal esteja incluído numa política de permissão ou negação.

  • Tem um grupo, admins@example.com, ao qual é atribuída a função de visualizador de etiquetas (roles/resourcemanager.tagViewer) na sua organização. Este grupo é composto por vários outros grupos, incluindo org-admins@example.com. Adiciona um principal ao grupo org-admins@example.com para lhe atribuir a função de visitante de etiquetas.
  • Tem um grupo, eng@example.com, ao qual foi recusada a autorização cloudresourcemanager.googleapis.com/projects.setIamPolicy ao nível da organização. Este grupo é composto por vários outros grupos, incluindo eng-prod@example.com. Adiciona um principal ao grupo eng-prod@example.com para lhe negar a autorização cloudresourcemanager.googleapis.com/projects.setIamPolicy.
Normalmente, vários minutos, potencialmente horas ou mais

Tenha também em atenção os seguintes detalhes sobre a forma como as alterações de membros do grupo são propagadas:

  • Em geral, a adição de um principal a um grupo propaga-se mais rapidamente do que a remoção de um principal de um grupo.
  • Em geral, as alterações de associação a grupos propagam-se mais rapidamente do que as alterações de associação a grupos aninhados.

Pode usar estas estimativas de tempo de propagação para determinar a forma como modifica o acesso dos diretores.