ロールと権限

Cloud Asset Inventory は、アクセス制御に Identity and Access Management（IAM）を使用します。 すべての Cloud Asset Inventory API メソッドで、呼び出し元が必要な権限を持っている必要があります。

ロール

アセットのメタデータを操作するために必要な権限を取得するには、組織、フォルダ、またはプロジェクトに対する次の IAM ロールを付与するよう管理者に依頼します。

ロールの付与については、プロジェクト、フォルダ、組織へのアクセス権の管理をご覧ください。

これらの事前定義ロールには、アセットのメタデータの操作に必要な権限が含まれています。必要とされる正確な権限については、「必要な権限」セクションを開いてご確認ください。

必要な権限

アセットのメタデータを操作するには、次の権限が必要です。

  • アセットのメタデータを表示するには:
    • cloudasset.assets.*
    • recommender.cloudAssetInsights.get
    • recommender.cloudAssetInsights.list
    • serviceusage.services.use
  • アセットのメタデータを表示してフィードを操作するには:
    • cloudasset.*
    • recommender.cloudAssetInsights.*
    • serviceusage.services.use

カスタムロールや他の事前定義ロールを使用して、これらの権限を取得することもできます。

権限

次の表に、Cloud Asset Inventory の各 API メソッドを呼び出すか、または Cloud Asset Inventory を使用する Google Cloud ツール（ Google Cloud コンソールや gcloud CLI など）を使用してタスクを実行するために、呼び出し元に付与されている必要がある権限を示します。

Cloud Asset 閲覧者（roles/cloudasset.viewer）と Cloud Asset オーナー（roles/cloudasset.owner）のロールには、これらの権限の多くが含まれています。呼び出し元にこれらのロールのいずれかと Service Usage ユーザー（roles/serviceusage.serviceUsageConsumer）ロールが付与されている場合、Cloud Asset Inventory の使用に必要な権限がすでに付与されている可能性があります。

RPC

メソッド 必要な権限
すべての API
すべての Cloud Asset Inventory 呼び出し

Cloud Asset Inventory のすべての呼び出しには serviceusage.services.use 権限が必要です。
Inventory API

BatchGetAssetsHistory

ExportAssets

コンテンツ タイプに応じて、次のいずれかの権限。

  • cloudasset.assets.exportAccessPolicy

    ACCESS_POLICY コンテンツ タイプを使用する場合。

  • cloudasset.assets.exportIamPolicy

    IAM_POLICY コンテンツ タイプを使用する場合。

  • cloudasset.assets.exportOrgPolicy

    ORG_POLICY コンテンツ タイプを使用する場合。

  • cloudasset.assets.exportResource

    RESOURCE コンテンツ タイプを使用する場合。

    リソース アクセスの制限

    ユーザーに cloudasset.assets.exportResource 権限を付与すると、すべてのリソースタイプをエクスポートできます。ユーザーがエクスポートできるリソースタイプを制限するには、代わりにリソースタイプごとに権限を付与します。たとえば、cloudasset.assets.exportComputeDisks 権限のみを付与して、ユーザーが compute.googleapis.com/Disk リソースタイプのみをエクスポートできるようにすることができます。

    これらのきめ細かい権限は、RESOURCE と未指定の コンテンツ タイプにのみ適用されます。

    きめ細かい cloudasset.assets.export* 権限のリストを表示します。

ListAssets

コンテンツ タイプに応じて、次のいずれかの権限。

  • cloudasset.assets.listAccessPolicy
  • cloudasset.assets.listIamPolicy
  • cloudasset.assets.listOrgPolicy
  • cloudasset.assets.listOSInventories

  • cloudasset.assets.listResource

    RESOURCE コンテンツ タイプを使用する場合。

    リソース アクセスの制限

    ユーザーに cloudasset.assets.listResource 権限を付与すると、すべてのリソースタイプを一覧表示できます。ユーザーが一覧表示できるリソースタイプを制限するには、代わりに各リソースタイプの権限を付与します。たとえば、cloudasset.assets.listComputeDisks 権限のみを付与して、ユーザーが compute.googleapis.com/Disk リソースタイプのみを一覧表示できるようにすることができます。

    これらのきめ細かい権限は、RESOURCE と未指定の コンテンツ タイプにのみ適用されます。

    きめ細かい cloudasset.assets.list* 権限のリストを表示します。
Search API

SearchAllIamPolicies

 cloudasset.assets.searchAllIamPolicies

SearchAllResources

cloudasset.assets.searchAllResources

リソース オーナーの拡充を検索する場合は、 cloudasset.assets.searchEnrichmentResourceOwners も必要です。

REST

メソッド 必要な権限
すべての API
すべての Cloud Asset Inventory 呼び出し

Cloud Asset Inventory のすべての呼び出しには serviceusage.services.use 権限が必要です。
Inventory API

batchGetAssetsHistory

exportAssets

コンテンツ タイプに応じて、次のいずれかの権限。

  • cloudasset.assets.exportAccessPolicy

    ACCESS_POLICY コンテンツ タイプを使用する場合。

  • cloudasset.assets.exportIamPolicy

    IAM_POLICY コンテンツ タイプを使用する場合。

  • cloudasset.assets.exportOrgPolicy

    ORG_POLICY コンテンツ タイプを使用する場合。

  • cloudasset.assets.exportResource

    RESOURCE コンテンツ タイプを使用する場合。

    リソース アクセスの制限

    ユーザーに cloudasset.assets.exportResource 権限を付与すると、すべてのリソースタイプをエクスポートできます。ユーザーがエクスポートできるリソースタイプを制限するには、代わりにリソースタイプごとに権限を付与します。たとえば、cloudasset.assets.exportComputeDisks 権限のみを付与して、ユーザーが compute.googleapis.com/Disk リソースタイプのみをエクスポートできるようにすることができます。

    これらのきめ細かい権限は、RESOURCE と未指定の コンテンツ タイプにのみ適用されます。

    きめ細かい cloudasset.assets.export* 権限のリストを表示します。

assets.list

コンテンツ タイプに応じて、次のいずれかの権限。

  • cloudasset.assets.listAccessPolicy
  • cloudasset.assets.listIamPolicy
  • cloudasset.assets.listOrgPolicy
  • cloudasset.assets.listOSInventories

  • cloudasset.assets.listResource

    RESOURCE コンテンツ タイプを使用する場合。

    リソース アクセスの制限

    ユーザーに cloudasset.assets.listResource 権限を付与すると、すべてのリソースタイプを一覧表示できます。ユーザーが一覧表示できるリソースタイプを制限するには、代わりに各リソースタイプの権限を付与します。たとえば、cloudasset.assets.listComputeDisks 権限のみを付与して、ユーザーが compute.googleapis.com/Disk リソースタイプのみを一覧表示できるようにすることができます。

    これらのきめ細かい権限は、RESOURCE と未指定の コンテンツ タイプにのみ適用されます。

    きめ細かい cloudasset.assets.list* 権限のリストを表示します。
Search API

searchAllIamPolicies

 cloudasset.assets.searchAllIamPolicies

searchAllResources

cloudasset.assets.searchAllResources

リソース オーナーの拡充を検索する場合は、 cloudasset.assets.searchEnrichmentResourceOwners も必要です。

gcloud

ポジショニングのステートメント 必要な権限
すべての API
すべての Cloud Asset Inventory 呼び出し

Cloud Asset Inventory のすべての呼び出しには serviceusage.services.use 権限が必要です。
Inventory API

export

get-history

コンテンツ タイプに応じて、次のいずれかの権限。

  • cloudasset.assets.exportAccessPolicy

    ACCESS_POLICY コンテンツ タイプを使用する場合。

  • cloudasset.assets.exportIamPolicy

    IAM_POLICY コンテンツ タイプを使用する場合。

  • cloudasset.assets.exportOrgPolicy

    ORG_POLICY コンテンツ タイプを使用する場合。

  • cloudasset.assets.exportResource

    RESOURCE コンテンツ タイプを使用する場合。

    リソース アクセスの制限

    ユーザーに cloudasset.assets.exportResource 権限を付与すると、すべてのリソースタイプをエクスポートできます。ユーザーがエクスポートできるリソースタイプを制限するには、代わりにリソースタイプごとに権限を付与します。たとえば、cloudasset.assets.exportComputeDisks 権限のみを付与して、ユーザーが compute.googleapis.com/Disk リソースタイプのみをエクスポートできるようにすることができます。

    これらのきめ細かい権限は、RESOURCE と未指定の コンテンツ タイプにのみ適用されます。

    きめ細かい cloudasset.assets.export* 権限のリストを表示します。

list

コンテンツ タイプに応じて、次のいずれかの権限。

  • cloudasset.assets.listAccessPolicy
  • cloudasset.assets.listIamPolicy
  • cloudasset.assets.listOrgPolicy
  • cloudasset.assets.listOSInventories

  • cloudasset.assets.listResource

    RESOURCE コンテンツ タイプを使用する場合。

    リソース アクセスの制限

    ユーザーに cloudasset.assets.listResource 権限を付与すると、すべてのリソースタイプを一覧表示できます。ユーザーが一覧表示できるリソースタイプを制限するには、代わりに各リソースタイプの権限を付与します。たとえば、cloudasset.assets.listComputeDisks 権限のみを付与して、ユーザーが compute.googleapis.com/Disk リソースタイプのみを一覧表示できるようにすることができます。

    これらのきめ細かい権限は、RESOURCE と未指定の コンテンツ タイプにのみ適用されます。

    きめ細かい cloudasset.assets.list* 権限のリストを表示します。
Search API

search-all-iam-policies

 cloudasset.assets.searchAllIamPolicies

search-all-resources

cloudasset.assets.searchAllResources

リソース オーナーの拡充を検索する場合は、 cloudasset.assets.searchEnrichmentResourceOwners も必要です。

コンソール

Google Cloud コンソールは SearchAllResources API を使用してデータをリクエストします。 Google Cloud コンソールで Cloud Asset Inventory を使用するには、次の権限を付与します。

  • cloudasset.assets.searchAllResources
  • serviceusage.services.use