Ruoli e autorizzazioni

Cloud Asset Inventory utilizza Identity and Access Management (IAM) per il controllo degli accessi. Ogni metodo dell'API Cloud Asset Inventory richiede che il chiamante disponga delle autorizzazioni necessarie.

Ruoli

Per ottenere le autorizzazioni necessarie per lavorare con i metadati degli asset, chiedi all'amministratore di concederti i seguenti ruoli IAM nell'organizzazione, nella cartella o nel progetto:

• Per visualizzare i metadati della risorsa:
  • Visualizzatore Cloud Asset (roles/cloudasset.viewer)
  • Consumer Service Usage (roles/serviceusage.serviceUsageConsumer)
• Per visualizzare i metadati delle risorse e lavorare con i feed:
  • Proprietario asset Cloud (roles/cloudasset.owner)
  • Consumer Service Usage (roles/serviceusage.serviceUsageConsumer)

Per saperne di più sulla concessione dei ruoli, consulta Gestisci l'accesso a progetti, cartelle e organizzazioni.

Questi ruoli predefiniti contengono le autorizzazioni necessarie per lavorare con i metadati degli asset. Per vedere quali sono esattamente le autorizzazioni richieste, espandi la sezione Autorizzazioni obbligatorie:

Autorizzazioni obbligatorie

Per lavorare con i metadati degli asset sono necessarie le seguenti autorizzazioni:

• Per visualizzare i metadati della risorsa:
  • cloudasset.assets.*
  • recommender.cloudAssetInsights.get
  • recommender.cloudAssetInsights.list
  • serviceusage.services.use
• Per visualizzare i metadati delle risorse e lavorare con i feed:
  • cloudasset.*
  • recommender.cloudAssetInsights.*
  • serviceusage.services.use

Potresti anche ottenere queste autorizzazioni con ruoli personalizzati o altri ruoli predefiniti.

Autorizzazioni

La tabella seguente elenca le autorizzazioni di cui il chiamante deve disporre per chiamare ciascun metodo API in Cloud Asset Inventory o per eseguire attività utilizzando gli strumenti Google Cloud che utilizzano Cloud Asset Inventory, come la console Google Cloud o gcloud CLI.

I ruoli Visualizzatore di asset cloud (roles/cloudasset.viewer) e Proprietario asset cloud (roles/cloudasset.owner) includono molte di queste autorizzazioni. Se al chiamante è stato concesso uno di questi ruoli e il ruolo Consumer servizi (roles/serviceusage.serviceUsageConsumer), potrebbe già disporre delle autorizzazioni necessarie per utilizzare Cloud Asset Inventory.

RPC

Metodo	Autorizzazioni obbligatorie
Tutte le API
Tutte le chiamate di Cloud Asset Inventory	Tutte le chiamate Cloud Asset Inventory richiedono l'autorizzazione serviceusage.services.use.
API Inventory
BatchGetAssetsHistory ExportAssets	Una delle seguenti autorizzazioni, a seconda del tipo di contenuti: cloudasset.assets.exportAccessPolicy Quando utilizzi il tipo di contenuti ACCESS_POLICY. cloudasset.assets.exportIamPolicy Quando utilizzi il tipo di contenuti IAM_POLICY. cloudasset.assets.exportOrgPolicy Quando utilizzi il tipo di contenuti ORG_POLICY. cloudasset.assets.exportResource Quando utilizzi il tipo di contenuti RESOURCE. Limitazione dell'accesso alle risorse La concessione dell'autorizzazione cloudasset.assets.exportResource a un utente gli consente di esportare tutti i tipi di risorse. Per limitare i tipi di risorse che un utente può esportare, puoi concedere autorizzazioni per ogni tipo di risorsa. Ad esempio, puoi concedere l'autorizzazione cloudasset.assets.exportComputeDisks da sola per consentire a un utente di esportare solo il tipo di risorsa compute.googleapis.com/Disk. Queste autorizzazioni granulari si applicano solo a RESOURCE e ai tipi di contenuti non specificati. Visualizza l'elenco delle autorizzazioni granulari cloudasset.assets.export*.
ListAssets	Una delle seguenti autorizzazioni, a seconda del tipo di contenuti: cloudasset.assets.listAccessPolicy cloudasset.assets.listIamPolicy cloudasset.assets.listOrgPolicy cloudasset.assets.listOSInventories cloudasset.assets.listResource Quando utilizzi il tipo di contenuti RESOURCE. Limitazione dell'accesso alle risorse La concessione dell'autorizzazione cloudasset.assets.listResource a un utente gli consente di elencare tutti i tipi di risorse. Per limitare i tipi di risorse che un utente può elencare, puoi concedere autorizzazioni per ogni tipo di risorsa. Ad esempio, puoi concedere l'autorizzazione cloudasset.assets.listComputeDisks da sola per consentire a un utente di elencare solo il tipo di risorsa compute.googleapis.com/Disk. Queste autorizzazioni granulari si applicano solo a RESOURCE e ai tipi di contenuti non specificati. Visualizza l'elenco delle autorizzazioni granulari cloudasset.assets.list*.
API di ricerca
SearchAllIamPolicies	cloudasset.assets.searchAllIamPolicies
SearchAllResources	cloudasset.assets.searchAllResources Devi disporre anche di cloudasset.assets.searchEnrichmentResourceOwners se cerchi l'arricchimento del proprietario della risorsa.

REST

Metodo	Autorizzazioni obbligatorie
Tutte le API
Tutte le chiamate di Cloud Asset Inventory	Tutte le chiamate Cloud Asset Inventory richiedono l'autorizzazione serviceusage.services.use.
API Inventory
batchGetAssetsHistory exportAssets	Una delle seguenti autorizzazioni, a seconda del tipo di contenuti: cloudasset.assets.exportAccessPolicy Quando utilizzi il tipo di contenuti ACCESS_POLICY. cloudasset.assets.exportIamPolicy Quando utilizzi il tipo di contenuti IAM_POLICY. cloudasset.assets.exportOrgPolicy Quando utilizzi il tipo di contenuti ORG_POLICY. cloudasset.assets.exportResource Quando utilizzi il tipo di contenuti RESOURCE. Limitazione dell'accesso alle risorse La concessione dell'autorizzazione cloudasset.assets.exportResource a un utente gli consente di esportare tutti i tipi di risorse. Per limitare i tipi di risorse che un utente può esportare, puoi concedere autorizzazioni per ogni tipo di risorsa. Ad esempio, puoi concedere l'autorizzazione cloudasset.assets.exportComputeDisks da sola per consentire a un utente di esportare solo il tipo di risorsa compute.googleapis.com/Disk. Queste autorizzazioni granulari si applicano solo a RESOURCE e ai tipi di contenuti non specificati. Visualizza l'elenco delle autorizzazioni granulari cloudasset.assets.export*.
assets.list	Una delle seguenti autorizzazioni, a seconda del tipo di contenuti: cloudasset.assets.listAccessPolicy cloudasset.assets.listIamPolicy cloudasset.assets.listOrgPolicy cloudasset.assets.listOSInventories cloudasset.assets.listResource Quando utilizzi il tipo di contenuti RESOURCE. Limitazione dell'accesso alle risorse La concessione dell'autorizzazione cloudasset.assets.listResource a un utente gli consente di elencare tutti i tipi di risorse. Per limitare i tipi di risorse che un utente può elencare, puoi concedere autorizzazioni per ogni tipo di risorsa. Ad esempio, puoi concedere l'autorizzazione cloudasset.assets.listComputeDisks da sola per consentire a un utente di elencare solo il tipo di risorsa compute.googleapis.com/Disk. Queste autorizzazioni granulari si applicano solo a RESOURCE e ai tipi di contenuti non specificati. Visualizza l'elenco delle autorizzazioni granulari cloudasset.assets.list*.
API di ricerca
searchAllIamPolicies	cloudasset.assets.searchAllIamPolicies
searchAllResources	cloudasset.assets.searchAllResources Devi disporre anche di cloudasset.assets.searchEnrichmentResourceOwners se cerchi l'arricchimento del proprietario della risorsa.

gcloud

Dichiarazione di posizionamento	Autorizzazioni obbligatorie
Tutte le API
Tutte le chiamate di Cloud Asset Inventory	Tutte le chiamate Cloud Asset Inventory richiedono l'autorizzazione serviceusage.services.use.
API Inventory
export get-history	Una delle seguenti autorizzazioni, a seconda del tipo di contenuti: cloudasset.assets.exportAccessPolicy Quando utilizzi il tipo di contenuti ACCESS_POLICY. cloudasset.assets.exportIamPolicy Quando utilizzi il tipo di contenuti IAM_POLICY. cloudasset.assets.exportOrgPolicy Quando utilizzi il tipo di contenuti ORG_POLICY. cloudasset.assets.exportResource Quando utilizzi il tipo di contenuti RESOURCE. Limitazione dell'accesso alle risorse La concessione dell'autorizzazione cloudasset.assets.exportResource a un utente gli consente di esportare tutti i tipi di risorse. Per limitare i tipi di risorse che un utente può esportare, puoi concedere autorizzazioni per ogni tipo di risorsa. Ad esempio, puoi concedere l'autorizzazione cloudasset.assets.exportComputeDisks da sola per consentire a un utente di esportare solo il tipo di risorsa compute.googleapis.com/Disk. Queste autorizzazioni granulari si applicano solo a RESOURCE e ai tipi di contenuti non specificati. Visualizza l'elenco delle autorizzazioni granulari cloudasset.assets.export*.
list	Una delle seguenti autorizzazioni, a seconda del tipo di contenuti: cloudasset.assets.listAccessPolicy cloudasset.assets.listIamPolicy cloudasset.assets.listOrgPolicy cloudasset.assets.listOSInventories cloudasset.assets.listResource Quando utilizzi il tipo di contenuti RESOURCE. Limitazione dell'accesso alle risorse La concessione dell'autorizzazione cloudasset.assets.listResource a un utente gli consente di elencare tutti i tipi di risorse. Per limitare i tipi di risorse che un utente può elencare, puoi concedere autorizzazioni per ogni tipo di risorsa. Ad esempio, puoi concedere l'autorizzazione cloudasset.assets.listComputeDisks da sola per consentire a un utente di elencare solo il tipo di risorsa compute.googleapis.com/Disk. Queste autorizzazioni granulari si applicano solo a RESOURCE e ai tipi di contenuti non specificati. Visualizza l'elenco delle autorizzazioni granulari cloudasset.assets.list*.
API di ricerca
search-all-iam-policies	cloudasset.assets.searchAllIamPolicies
search-all-resources	cloudasset.assets.searchAllResources Devi disporre anche di cloudasset.assets.searchEnrichmentResourceOwners se cerchi l'arricchimento del proprietario della risorsa.

Console

La console Google Cloud utilizza l'API SearchAllResources per richiedere i dati. Per utilizzare Cloud Asset Inventory nella console Google Cloud , concedi le seguenti autorizzazioni:

• cloudasset.assets.searchAllResources
• serviceusage.services.use