역할 및 권한

Cloud 애셋 인벤토리는 액세스 제어에 ID 및 액세스 관리(IAM)를 사용합니다. 모든 Cloud 애셋 인벤토리 API 메서드는 호출자에게 필수 권한을 요구합니다.

역할

애셋 메타데이터를 사용하는 데 필요한 권한을 얻으려면 관리자에게 조직, 폴더 또는 프로젝트에 대한 다음 IAM 역할을 부여해 달라고 요청하세요.

역할 부여에 대한 자세한 내용은 프로젝트, 폴더, 조직에 대한 액세스 관리를 참조하세요.

이러한 사전 정의된 역할에는 애셋 메타데이터를 사용하는 데 필요한 권한이 포함되어 있습니다. 필요한 정확한 권한을 보려면 필수 권한 섹션을 펼치세요.

필수 권한

애셋 메타데이터를 사용하려면 다음 권한이 필요합니다.

  • 애셋 메타데이터를 보려는 경우:
    • cloudasset.assets.*
    • recommender.cloudAssetInsights.get
    • recommender.cloudAssetInsights.list
    • serviceusage.services.use
  • 애셋 메타데이터를 보고 피드를 사용하려는 경우:
    • cloudasset.*
    • recommender.cloudAssetInsights.*
    • serviceusage.services.use

커스텀 역할이나 다른 사전 정의된 역할을 사용하여 이 권한을 부여받을 수도 있습니다.

권한

다음 표에는 호출자가 Cloud 애셋 인벤토리에서 각 API 메서드를 호출하거나 Cloud 애셋 인벤토리를 사용하는 Google Cloud 도구(예: Google Cloud 콘솔 또는 gcloud CLI)를 사용하여 태스크를 수행하는 데 필요한 권한이 나와 있습니다.

Cloud 애셋 뷰어(roles/cloudasset.viewer) 및 Cloud 애셋 소유자(roles/cloudasset.owner) 역할에는 이러한 권한이 다수 포함되어 있습니다. 호출자에게 이러한 역할 중 하나와 서비스 사용량 소비자(roles/serviceusage.serviceUsageConsumer) 역할이 부여된 경우 Cloud 애셋 인벤토리를 사용하는 데 필요한 권한이 이미 있을 수 있습니다.

RPC

메서드 필수 권한
모든 API
모든 Cloud 애셋 인벤토리 호출

모든 Cloud 애셋 인벤토리 호출에는 serviceusage.services.use 권한이 필요합니다.

Inventory API

BatchGetAssetsHistory

ExportAssets

콘텐츠 유형에 따라 다음 권한 중 하나:

  • cloudasset.assets.exportAccessPolicy

    ACCESS_POLICY 콘텐츠 유형을 사용하는 경우

  • cloudasset.assets.exportIamPolicy

    IAM_POLICY 콘텐츠 유형을 사용하는 경우

  • cloudasset.assets.exportOrgPolicy

    ORG_POLICY 콘텐츠 유형을 사용하는 경우

  • cloudasset.assets.exportResource

    RESOURCE 콘텐츠 유형을 사용하는 경우

    리소스 액세스 제한

    사용자에게 cloudasset.assets.exportResource 권한을 부여하면 모든 리소스 유형을 내보낼 수 있습니다. 사용자가 내보낼 수 있는 리소스 유형을 제한하려면 대신 리소스 유형별로 권한을 부여하면 됩니다. 예를 들어 사용자에게 compute.googleapis.com/Disk 리소스 유형만 내보낼 수 있도록 cloudasset.assets.exportComputeDisks 권한을 단독으로 부여할 수 있습니다.

    이러한 세부 권한은 RESOURCE 및 지정되지 않은 콘텐츠 유형에만 적용됩니다.

    세분화된 cloudasset.assets.export* 권한 목록을 확인합니다.

ListAssets

콘텐츠 유형에 따라 다음 권한 중 하나:

  • cloudasset.assets.listAccessPolicy
  • cloudasset.assets.listIamPolicy
  • cloudasset.assets.listOrgPolicy
  • cloudasset.assets.listOSInventories

  • cloudasset.assets.listResource

    RESOURCE 콘텐츠 유형을 사용하는 경우

    리소스 액세스 제한

    사용자에게 cloudasset.assets.listResource 권한을 부여하면 모든 리소스 유형을 나열할 수 있습니다. 사용자가 나열할 수 있는 리소스 유형을 제한하려면 대신 리소스 유형별로 권한을 부여하면 됩니다. 예를 들어 cloudasset.assets.listComputeDisks 권한만 부여하여 사용자가 compute.googleapis.com/Disk 리소스 유형만 나열하도록 허용할 수 있습니다.

    이러한 세부 권한은 RESOURCE 및 지정되지 않은 콘텐츠 유형에만 적용됩니다.

    세분화된 cloudasset.assets.list* 권한 목록을 확인합니다.

Search API

SearchAllIamPolicies

 cloudasset.assets.searchAllIamPolicies

SearchAllResources

cloudasset.assets.searchAllResources

리소스 소유자 보강을 검색하는 경우에는 cloudasset.assets.searchEnrichmentResourceOwners 도 필요합니다.

REST

메서드 필수 권한
모든 API
모든 Cloud 애셋 인벤토리 호출

모든 Cloud 애셋 인벤토리 호출에는 serviceusage.services.use 권한이 필요합니다.

Inventory API

batchGetAssetsHistory

exportAssets

콘텐츠 유형에 따라 다음 권한 중 하나:

  • cloudasset.assets.exportAccessPolicy

    ACCESS_POLICY 콘텐츠 유형을 사용하는 경우

  • cloudasset.assets.exportIamPolicy

    IAM_POLICY 콘텐츠 유형을 사용하는 경우

  • cloudasset.assets.exportOrgPolicy

    ORG_POLICY 콘텐츠 유형을 사용하는 경우

  • cloudasset.assets.exportResource

    RESOURCE 콘텐츠 유형을 사용하는 경우

    리소스 액세스 제한

    사용자에게 cloudasset.assets.exportResource 권한을 부여하면 모든 리소스 유형을 내보낼 수 있습니다. 사용자가 내보낼 수 있는 리소스 유형을 제한하려면 대신 리소스 유형별로 권한을 부여하면 됩니다. 예를 들어 사용자에게 compute.googleapis.com/Disk 리소스 유형만 내보낼 수 있도록 cloudasset.assets.exportComputeDisks 권한을 단독으로 부여할 수 있습니다.

    이러한 세부 권한은 RESOURCE 및 지정되지 않은 콘텐츠 유형에만 적용됩니다.

    세분화된 cloudasset.assets.export* 권한 목록을 확인합니다.

assets.list

콘텐츠 유형에 따라 다음 권한 중 하나:

  • cloudasset.assets.listAccessPolicy
  • cloudasset.assets.listIamPolicy
  • cloudasset.assets.listOrgPolicy
  • cloudasset.assets.listOSInventories

  • cloudasset.assets.listResource

    RESOURCE 콘텐츠 유형을 사용하는 경우

    리소스 액세스 제한

    사용자에게 cloudasset.assets.listResource 권한을 부여하면 모든 리소스 유형을 나열할 수 있습니다. 사용자가 나열할 수 있는 리소스 유형을 제한하려면 대신 리소스 유형별로 권한을 부여하면 됩니다. 예를 들어 cloudasset.assets.listComputeDisks 권한만 부여하여 사용자가 compute.googleapis.com/Disk 리소스 유형만 나열하도록 허용할 수 있습니다.

    이러한 세부 권한은 RESOURCE 및 지정되지 않은 콘텐츠 유형에만 적용됩니다.

    세분화된 cloudasset.assets.list* 권한 목록을 확인합니다.

Search API

searchAllIamPolicies

 cloudasset.assets.searchAllIamPolicies

searchAllResources

cloudasset.assets.searchAllResources

리소스 소유자 보강을 검색하는 경우에는 cloudasset.assets.searchEnrichmentResourceOwners 도 필요합니다.

gcloud

위치 문 필수 권한
모든 API
모든 Cloud 애셋 인벤토리 호출

모든 Cloud 애셋 인벤토리 호출에는 serviceusage.services.use 권한이 필요합니다.

Inventory API

export

get-history

콘텐츠 유형에 따라 다음 권한 중 하나:

  • cloudasset.assets.exportAccessPolicy

    ACCESS_POLICY 콘텐츠 유형을 사용하는 경우

  • cloudasset.assets.exportIamPolicy

    IAM_POLICY 콘텐츠 유형을 사용하는 경우

  • cloudasset.assets.exportOrgPolicy

    ORG_POLICY 콘텐츠 유형을 사용하는 경우

  • cloudasset.assets.exportResource

    RESOURCE 콘텐츠 유형을 사용하는 경우

    리소스 액세스 제한

    사용자에게 cloudasset.assets.exportResource 권한을 부여하면 모든 리소스 유형을 내보낼 수 있습니다. 사용자가 내보낼 수 있는 리소스 유형을 제한하려면 대신 리소스 유형별로 권한을 부여하면 됩니다. 예를 들어 사용자에게 compute.googleapis.com/Disk 리소스 유형만 내보낼 수 있도록 cloudasset.assets.exportComputeDisks 권한을 단독으로 부여할 수 있습니다.

    이러한 세부 권한은 RESOURCE 및 지정되지 않은 콘텐츠 유형에만 적용됩니다.

    세부 cloudasset.assets.export* 권한 목록을 확인합니다.

list

콘텐츠 유형에 따라 다음 권한 중 하나:

  • cloudasset.assets.listAccessPolicy
  • cloudasset.assets.listIamPolicy
  • cloudasset.assets.listOrgPolicy
  • cloudasset.assets.listOSInventories

  • cloudasset.assets.listResource

    RESOURCE 콘텐츠 유형을 사용하는 경우

    리소스 액세스 제한

    사용자에게 cloudasset.assets.listResource 권한을 부여하면 모든 리소스 유형을 나열할 수 있습니다. 사용자가 나열할 수 있는 리소스 유형을 제한하려면 대신 리소스 유형별로 권한을 부여하면 됩니다. 예를 들어 cloudasset.assets.listComputeDisks 권한만 부여하여 사용자가 compute.googleapis.com/Disk 리소스 유형만 나열하도록 허용할 수 있습니다.

    이러한 세부 권한은 RESOURCE 및 지정되지 않은 콘텐츠 유형에만 적용됩니다.

    세분화된 cloudasset.assets.list* 권한 목록을 확인합니다.

Search API

search-all-iam-policies

 cloudasset.assets.searchAllIamPolicies

search-all-resources

cloudasset.assets.searchAllResources

리소스 소유자 보강을 검색하는 경우에는 cloudasset.assets.searchEnrichmentResourceOwners 도 필요합니다.

콘솔

Google Cloud 콘솔은 SearchAllResources API를 사용하여 데이터를 요청합니다. Google Cloud 콘솔에서 Cloud 애셋 인벤토리를 사용하려면 다음 권한을 부여하세요.

  • cloudasset.assets.searchAllResources
  • serviceusage.services.use