角色和權限

Cloud Asset Inventory 會使用 Identity and Access Management (IAM) 來進行存取權控制。呼叫者必須擁有所需權限，才能存取個別 Cloud Asset Inventory API 方法。

角色

如要取得處理資產中繼資料所需的權限，請要求管理員在組織、資料夾或專案中，授予您下列 IAM 角色：

• 如要查看資產中繼資料，請按照下列步驟操作：
  • Cloud Asset Viewer (roles/cloudasset.viewer)
  • 服務使用情形消費者 (roles/serviceusage.serviceUsageConsumer)
• 如要查看資產中繼資料及使用動態饋給，請按照下列步驟操作：
  • Cloud Asset Owner (roles/cloudasset.owner)
  • 服務使用情形消費者 (roles/serviceusage.serviceUsageConsumer)

如要進一步瞭解如何授予角色，請參閱「管理專案、資料夾和組織的存取權」。

這些預先定義的角色具備處理資產中繼資料所需的權限。如要查看確切的必要權限，請展開「Required permissions」(必要權限) 部分：

所需權限

如要使用資產中繼資料，必須具備下列權限：

• 如要查看資產中繼資料，請按照下列步驟操作：
  • cloudasset.assets.*
  • recommender.cloudAssetInsights.get
  • recommender.cloudAssetInsights.list
  • serviceusage.services.use
• 如要查看資產中繼資料及使用動態饋給，請按照下列步驟操作：
  • cloudasset.*
  • recommender.cloudAssetInsights.*
  • serviceusage.services.use

您或許還可透過自訂角色或其他預先定義的角色取得這些權限。

權限

下表列出呼叫者呼叫 Cloud Asset Inventory 中的各個 API 方法時所需的權限，或者透過使用 Cloud Asset Inventory 的 Google Cloud 工具 (如 Google Cloud 控制台或 gcloud CLI) 執行工作時所需的權限。

Cloud Asset 檢視者 (roles/cloudasset.viewer) 和 Cloud Asset 擁有者 (roles/cloudasset.owner) 角色包含許多這類權限。如果呼叫端已獲授權其中一個角色和「服務使用情形消費者」(roles/serviceusage.serviceUsageConsumer) 角色，可能已具備使用 Cloud Asset Inventory 的必要權限。

RPC

方法	所需權限
所有 API
所有 Cloud Asset Inventory 呼叫	所有 Cloud Asset Inventory 呼叫都需要 serviceusage.services.use 權限。
Inventory API
BatchGetAssetsHistory ExportAssets	視 內容類型而定，您需要下列其中一項權限： cloudasset.assets.exportAccessPolicy 使用 ACCESS_POLICY 內容類型時。 cloudasset.assets.exportIamPolicy 使用 IAM_POLICY 內容類型時。 cloudasset.assets.exportOrgPolicy 使用 ORG_POLICY 內容類型時。 cloudasset.assets.exportResource 使用 RESOURCE 內容類型時。 限制資源存取權 授予使用者 cloudasset.assets.exportResource 權限後，他們就能匯出所有資源類型。如要限制使用者可匯出的資源類型，可以改為授予每種資源類型的權限。舉例來說，您可以單獨授予 cloudasset.assets.exportComputeDisks 權限，只允許使用者匯出 compute.googleapis.com/Disk 資源類型。 這些細部權限僅適用於 RESOURCE 和未指定的 內容類型。 查看精細 cloudasset.assets.export* 權限清單。
ListAssets	視 內容類型而定，您需要下列其中一項權限： cloudasset.assets.listAccessPolicy cloudasset.assets.listIamPolicy cloudasset.assets.listOrgPolicy cloudasset.assets.listOSInventories cloudasset.assets.listResource 使用 RESOURCE 內容類型時。 限制資源存取權 授予使用者 cloudasset.assets.listResource 權限後，他們就能列出所有資源類型。如要限制使用者可列出的資源類型，可以改為授予每種資源類型的權限。舉例來說，您可以單獨授予 cloudasset.assets.listComputeDisks 權限，只允許使用者列出 compute.googleapis.com/Disk 資源類型。 這些細部權限僅適用於 RESOURCE 和未指定的 內容類型。 查看精細 cloudasset.assets.list* 權限清單。
Search API
SearchAllIamPolicies	cloudasset.assets.searchAllIamPolicies
SearchAllResources	cloudasset.assets.searchAllResources 如要搜尋資源擁有者擴充功能，也需要 cloudasset.assets.searchEnrichmentResourceOwners 。

REST

方法	所需權限
所有 API
所有 Cloud Asset Inventory 呼叫	所有 Cloud Asset Inventory 呼叫都需要 serviceusage.services.use 權限。
Inventory API
batchGetAssetsHistory exportAssets	視 內容類型而定，您需要下列其中一項權限： cloudasset.assets.exportAccessPolicy 使用 ACCESS_POLICY 內容類型時。 cloudasset.assets.exportIamPolicy 使用 IAM_POLICY 內容類型時。 cloudasset.assets.exportOrgPolicy 使用 ORG_POLICY 內容類型時。 cloudasset.assets.exportResource 使用 RESOURCE 內容類型時。 限制資源存取權 授予使用者 cloudasset.assets.exportResource 權限後，他們就能匯出所有資源類型。如要限制使用者可匯出的資源類型，可以改為授予每種資源類型的權限。舉例來說，您可以單獨授予 cloudasset.assets.exportComputeDisks 權限，只允許使用者匯出 compute.googleapis.com/Disk 資源類型。 這些細部權限僅適用於 RESOURCE 和未指定的 內容類型。 查看精細 cloudasset.assets.export* 權限清單。
assets.list	視 內容類型而定，您需要下列其中一項權限： cloudasset.assets.listAccessPolicy cloudasset.assets.listIamPolicy cloudasset.assets.listOrgPolicy cloudasset.assets.listOSInventories cloudasset.assets.listResource 使用 RESOURCE 內容類型時。 限制資源存取權 授予使用者 cloudasset.assets.listResource 權限後，他們就能列出所有資源類型。如要限制使用者可列出的資源類型，可以改為授予每種資源類型的權限。舉例來說，您可以單獨授予 cloudasset.assets.listComputeDisks 權限，允許使用者只列出 compute.googleapis.com/Disk 資源類型。 這些細部權限僅適用於 RESOURCE 和未指定的 內容類型。 查看精細 cloudasset.assets.list* 權限清單。
Search API
searchAllIamPolicies	cloudasset.assets.searchAllIamPolicies
searchAllResources	cloudasset.assets.searchAllResources 如要搜尋資源擁有者擴充功能，也需要 cloudasset.assets.searchEnrichmentResourceOwners 。

gcloud

定位聲明	所需權限
所有 API
所有 Cloud Asset Inventory 呼叫	所有 Cloud Asset Inventory 呼叫都需要 serviceusage.services.use 權限。
Inventory API
export get-history	視 內容類型而定，您需要下列其中一項權限： cloudasset.assets.exportAccessPolicy 使用 ACCESS_POLICY 內容類型時。 cloudasset.assets.exportIamPolicy 使用 IAM_POLICY 內容類型時。 cloudasset.assets.exportOrgPolicy 使用 ORG_POLICY 內容類型時。 cloudasset.assets.exportResource 使用 RESOURCE 內容類型時。 限制資源存取權 授予使用者 cloudasset.assets.exportResource 權限後，他們就能匯出所有資源類型。如要限制使用者可匯出的資源類型，可以改為授予每種資源類型的權限。舉例來說，您可以單獨授予 cloudasset.assets.exportComputeDisks 權限，只允許使用者匯出 compute.googleapis.com/Disk 資源類型。 這些細部權限僅適用於 RESOURCE 和未指定的 內容類型。 查看精細 cloudasset.assets.export* 權限清單。
list	視 內容類型而定，您需要下列其中一項權限： cloudasset.assets.listAccessPolicy cloudasset.assets.listIamPolicy cloudasset.assets.listOrgPolicy cloudasset.assets.listOSInventories cloudasset.assets.listResource 使用 RESOURCE 內容類型時。 限制資源存取權 授予使用者 cloudasset.assets.listResource 權限後，他們就能列出所有資源類型。如要限制使用者可列出的資源類型，可以改為授予每種資源類型的權限。舉例來說，您可以單獨授予 cloudasset.assets.listComputeDisks 權限，只允許使用者列出 compute.googleapis.com/Disk 資源類型。 這些細部權限僅適用於 RESOURCE 和未指定的 內容類型。 查看精細 cloudasset.assets.list* 權限清單。
Search API
search-all-iam-policies	cloudasset.assets.searchAllIamPolicies
search-all-resources	cloudasset.assets.searchAllResources 如要搜尋資源擁有者擴充功能，也需要 cloudasset.assets.searchEnrichmentResourceOwners 。

控制台

Google Cloud 控制台會使用 SearchAllResources API 要求資料。如要在 Google Cloud 控制台中使用 Cloud Asset Inventory，請授予下列權限：

• cloudasset.assets.searchAllResources
• serviceusage.services.use