Ruoli IAM

Questa pagina descrive i ruoli Identity and Access Management (IAM) che puoi utilizzare per configurare Assured Workloads. I ruoli limitano la capacità di un'entità di accedere alle risorse. Concedi a un'entità solo le autorizzazioni necessarie per interagire con le API, le funzionalità o le risorse Google Cloud applicabili.

Per poter creare una cartella Assured Workloads, devi avere uno dei ruoli elencati di seguito con questa funzionalità, oltre a un ruolo di controllo dell'accesso alla fatturazione Cloud. Devi anche avere un account di fatturazione attivo e valido. Per saperne di più, consulta Panoramica del controllo dell'accesso nella fatturazione Cloud.

Ruoli obbligatori

Di seguito sono riportati i ruoli minimi richiesti relativi ad Assured Workloads. Per scoprire come concedere, modificare o revocare l'accesso alle risorse utilizzando i ruoli IAM, consulta Concessione, modifica e revoca dell'accesso alle risorse.

  • Assured Workloads Administrator (roles/assuredworkloads.admin): per creare ed eliminare le cartelle Assured Workloads.
  • Visualizzatore organizzazione Resource Manager (roles/resourcemanager.organizationViewer): accesso per visualizzare tutte le risorse appartenenti a un'organizzazione.

Ruoli di Assured Workloads

Di seguito sono riportati i ruoli IAM associati ad Assured Workloads e come concederli utilizzando Google Cloud CLI. Per scoprire come concedere questi ruoli nella consoleGoogle Cloud o in modo programmatico, consulta Concessione, modifica e revoca dell'accesso alle risorse nella documentazione IAM.

Sostituisci il segnaposto ORGANIZATION_ID con l'identificatore effettivo dell'organizzazione e example@customer.org con l'indirizzo email dell'utente. Per recuperare l'ID organizzazione, consulta Recupero dell'ID organizzazione.

roles/assuredworkloads.admin

Per creare ed eliminare cartelle di Assured Workloads e visualizzare e aggiornare le impostazioni di Assured Workloads a livello di organizzazione, ad esempio la modalità OLPC (anteprima). Consente l'accesso in lettura/scrittura.

gcloud organizations add-iam-policy-binding ORGANIZATION_ID \
  --member="user:example@customer.org" \
  --role="roles/assuredworkloads.admin"

roles/assuredworkloads.editor

Consente l'accesso in lettura e scrittura alle cartelle Assured Workloads e l'accesso in sola lettura alle impostazioni di Assured Workloads a livello di organizzazione.

gcloud organizations add-iam-policy-binding ORGANIZATION_ID \
  --member="user:example@customer.org" \
  --role="roles/assuredworkloads.editor"

roles/assuredworkloads.reader

Per ottenere ed elencare le cartelle Assured Workloads e visualizzare le impostazioni di Assured Workloads a livello di organizzazione. Consente l'accesso di sola lettura.

gcloud organizations add-iam-policy-binding ORGANIZATION_ID \
  --member="user:example@customer.org" \
  --role="roles/assuredworkloads.reader"

roles/assuredworkloads.viewer

Per visualizzare le cartelle, i framework, le violazioni e le impostazioni di Assured Workloads a livello di organizzazione. Consente l'accesso di sola lettura.

gcloud organizations add-iam-policy-binding ORGANIZATION_ID \
  --member="user:example@customer.org" \
  --role="roles/assuredworkloads.viewer"

Ruoli personalizzati

Se vuoi definire i tuoi ruoli in modo che contengano gruppi di autorizzazioni specificati da te, utilizza i ruoli personalizzati.

Best practice IAM di Assured Workloads

La protezione corretta dei ruoli IAM per seguire il privilegio minimo è una best practice di sicurezza di Google Cloud . Questo principio segue la regola secondo cui gli utenti devono avere accesso solo ai prodotti, ai servizi e alle applicazioni richiesti dal loro ruolo. Gli utenti non hanno limitazioni nell'utilizzo di servizi non inclusi nell'ambito con i progetti Assured Workloads durante il deployment di prodotti e servizi al di fuori di una cartella Assured Workloads.

L'elenco dei prodotti inclusi nell'ambito per pacchetto di controlli aiuta i Security Admin a creare ruoli personalizzati che limitano l'accesso degli utenti solo ai prodotti inclusi nell'ambito all'interno della cartella Assured Workloads. I ruoli personalizzati possono contribuire a ottenere e mantenere la conformità all'interno di una cartella Assured Workloads.