Cloud NGFW 角色和权限

本页面列出了 Cloud NGFW 的所有 Identity and Access Management (IAM) 角色和权限。

Cloud NGFW 的 IAM 角色和权限

使用搜索栏搜索特定任务、角色或权限，或从下拉菜单中选择任务类别以过滤列表。

任务类别 任务或能力 所需角色 所需权限
分层防火墙政策 创建新的分层防火墙政策 政策所在资源上的 Compute Organization Firewall Policy Admin 角色 (roles/compute.orgFirewallPolicyAdmin)

如需了解详情，请参阅用于使用分层防火墙政策的 IAM 角色。		 compute.firewallPolicies.create
将政策与资源关联 以下任一组角色：
如需了解详情，请参阅用于使用分层防火墙政策的 IAM 角色。		 compute.firewallPolicies.use
compute.organizations.setFirewallPolicy
通过添加、更新或删除政策防火墙规则来修改政策 政策所在资源或政策本身上的 Compute Organization Firewall Policy Admin 角色 (roles/compute.orgFirewallPolicyAdmin)

如需了解详情，请参阅用于使用分层防火墙政策的 IAM 角色。		 compute.firewallPolicies.update
删除政策 政策所在资源或政策本身上的 Compute Organization Firewall Policy Admin 角色 (roles/compute.orgFirewallPolicyAdmin)

如需了解详情，请参阅用于使用分层防火墙政策的 IAM 角色。		 compute.firewallPolicies.delete
查看 Virtual Private Cloud (VPC) 网络的有效防火墙规则 网络的以下任一角色：
如需了解详情，请参阅用于使用分层防火墙政策的 IAM 角色。		 compute.networks.getEffectiveFirewalls
compute.networks.getRegionEffectiveFirewalls
查看网络中虚拟机的有效防火墙规则 虚拟机的以下角色之一：
如需了解详情，请参阅用于使用分层防火墙政策的 IAM 角色。		 compute.instances.getEffectiveFirewalls
全球网络防火墙政策数量 创建新的全球网络防火墙政策 针对政策所属项目的 Compute Security Admin 角色 (roles/compute.securityAdmin)

如需了解详情，请参阅用于使用全球网络防火墙政策的 IAM 角色。		 compute.firewallPolicies.create
将政策与网络相关联 针对政策所在项目的 Compute Network Admin 角色 (roles/compute.networkAdmin)

如需了解详情，请参阅用于使用全球网络防火墙政策的 IAM 角色。		 compute.firewallPolicies.use
compute.networks.setFirewallPolicy
通过添加、更新或删除政策防火墙规则来修改政策 针对政策所在项目的 Compute Security Admin 角色 (roles/compute.securityAdmin)

如需了解详情，请参阅用于使用全球网络防火墙政策的 IAM 角色。		 compute.firewallPolicies.update
删除政策 针对政策所在项目的 Compute Security Admin 角色 (roles/compute.securityAdmin)

如需了解详情，请参阅用于使用全球网络防火墙政策的 IAM 角色。		 compute.firewallPolicies.delete
查看 VPC 网络的有效防火墙规则 网络的以下任一角色：
如需了解详情，请参阅用于使用全球网络防火墙政策的 IAM 角色。		 compute.networks.getEffectiveFirewalls
compute.networks.getRegionEffectiveFirewalls
查看网络中虚拟机的有效防火墙规则 虚拟机的以下角色之一：
如需了解详情，请参阅用于使用全球网络防火墙政策的 IAM 角色。		 compute.instances.getEffectiveFirewalls
区域级网络防火墙政策数量 如需了解用于控制创建和管理区域级网络防火墙政策的操作的 IAM 角色和权限，请参阅创建区域级网络防火墙政策和规则以及管理区域级网络防火墙政策。
VPC 防火墙规则 创建 VPC 防火墙规则 Compute Security Admin 角色
(roles/compute.securityAdmin)		 compute.firewalls.create
修改 VPC 防火墙规则 Compute Security Admin 角色
(roles/compute.securityAdmin)		 compute.firewalls.update
查看 VPC 防火墙规则列表 Compute Network Viewer 角色
(roles/compute.networkViewer)		 compute.firewalls.list
查看 VPC 防火墙规则的详细信息 Compute Network Viewer 角色
(roles/compute.networkViewer)		 compute.firewalls.get
删除 VPC 防火墙规则 Compute Security Admin 角色
(roles/compute.securityAdmin)		 compute.firewalls.delete
地址组 创建和管理地址组 Compute Network Admin 角色
(roles/compute.networkAdmin)		 networksecurity.addressGroups.*
发现和查看地址组 Compute Network User 角色
(roles/compute.networkUser)		 networksecurity.addressGroups.list
networksecurity.addressGroups.get
networksecurity.addressGroups.use
安全配置文件 创建安全配置文件 以下任一角色： networksecurity.securityProfiles.create
修改安全配置文件 以下任一角色： networksecurity.securityProfiles.update
删除安全配置文件 以下任一角色： networksecurity.securityProfiles.delete
查看组织或项目中安全配置文件的详细信息 以下任一角色： networksecurity.securityProfiles.get
查看组织或项目中的所有安全配置文件 以下任一角色： networksecurity.securityProfiles.list
使用安全配置文件组中的安全配置文件 以下任一角色： networksecurity.securityProfiles.use
安全配置文件组 创建安全配置文件组 以下任一角色： networksecurity.securityProfileGroups.create
修改安全配置文件组 以下任一角色： networksecurity.securityProfileGroups.update
删除安全配置文件组 以下任一角色： networksecurity.securityProfileGroups.delete
查看组织和项目中安全配置文件组的详细信息 以下任一角色： networksecurity.securityProfileGroups.get
查看组织和项目中的所有安全配置文件组 以下任一角色： networksecurity.securityProfileGroups.list
使用防火墙政策规则中的安全配置文件组 以下任一角色： networksecurity.securityProfileGroups.use
防火墙端点 创建防火墙端点 以下任一角色：
  • Compute Network Admin 角色 (roles/compute.networkAdmin)
  • 在组织级层授予的防火墙端点管理员 (Beta) 角色 (roles/networksecurity.firewallEndpointAdmin)（适用于组织级防火墙端点），以及在项目级层或组织级层授予的防火墙端点管理员 (Beta) 角色（适用于项目级防火墙端点）
 networksecurity.firewallEndpoints.create
修改防火墙端点 以下任一角色：
  • Compute Network Admin 角色 (roles/compute.networkAdmin)
  • 在组织级层授予的防火墙端点管理员 (Beta) 角色 (roles/networksecurity.firewallEndpointAdmin)（适用于组织级防火墙端点），以及在项目级层或组织级层授予的防火墙端点管理员 (Beta) 角色（适用于项目级防火墙端点）
 networksecurity.firewallEndpoints.update
删除防火墙端点 以下任一角色：
  • Compute Network Admin 角色 (roles/compute.networkAdmin)
  • 在组织级层授予的防火墙端点管理员 (Beta) 角色 (roles/networksecurity.firewallEndpointAdmin)（适用于组织级防火墙端点），以及在项目级层或组织级层授予的防火墙端点管理员 (Beta) 角色（适用于项目级防火墙端点）
 networksecurity.firewallEndpoints.delete
查看防火墙端点的详细信息 以下任一角色： networksecurity.firewallEndpoints.get
查看所有防火墙端点 以下任一角色： networksecurity.firewallEndpoints.list
防火墙端点关联 创建防火墙端点关联 以下任一角色： 创建防火墙端点的组织或项目的 networksecurity.firewallEndpointAssociations.create
networksecurity.firewallEndpoints.use 权限
修改防火墙端点关联 以下任一角色： networksecurity.firewallEndpointAssociations.update
删除防火墙端点关联 以下任一角色： networksecurity.firewallEndpointAssociations.delete
查看防火墙端点关联的详细信息 以下任一角色： networksecurity.firewallEndpointAssociations.get
查看所有防火墙端点关联 以下任一角色： networksecurity.firewallEndpointAssociations.list
安全标记 如需了解创建和管理安全标记所需的 IAM 角色和权限，请参阅管理资源上的标记。
批量更新防火墙政策规则 导出分层防火墙政策规则 以下任一角色： compute.firewallPolicies.get
导入分层防火墙政策规则 以下任一角色： compute.firewallPolicies.update
导出全球网络防火墙政策规则 以下任一角色： compute.firewallPolicies.get
导出区域级网络防火墙政策规则 以下任一角色： compute.regionFirewallPolicies.get
导入全球网络防火墙政策规则 以下任一角色： compute.firewallPolicies.update
导入区域级网络防火墙政策规则 以下任一角色： compute.regionFirewallPolicies.update

用于使用分层防火墙政策的 IAM 角色

以下角色与分层防火墙政策相关。

角色名称 说明
Compute Organization Firewall Policy Admin 角色 (roles/compute.orgFirewallPolicyAdmin) 可以针对资源或单个政策授予。如果针对资源授予，则用户可以创建、更新和删除分层防火墙政策及其规则。如果针对单个政策授予权限，则允许用户更新政策规则，但不允许创建或删除政策。此角色还允许用户在同时具有资源的 compute.orgSecurityResourceAdmin 角色时，将政策与该资源相关联。
Compute Organization Resource Admin 角色 (roles/compute.orgSecurityResourceAdmin) 该角色在组织级层授予或授予给文件夹，允许文件夹级层管理员将政策与该资源关联。管理员还必须对拥有政策的资源或政策本身具有 compute.orgFirewallPolicyUser 或 compute.orgFirewallPolicyAdmin 角色才能使用它。
Compute Organization 防火墙政策 User 角色 (roles/compute.orgFirewallPolicyUser) 针对资源或单个政策授予，允许管理员使用与相应资源关联的单个或多个政策。用户还必须具有目标资源上的 compute.orgSecurityResourceAdmin 角色才能将政策与该资源关联。
Compute Security Admin 角色 (roles/compute.securityAdmin)

Compute Viewer 角色 (roles/compute.viewer)

Compute Network User 角色 (roles/compute.networkUser)

Compute Network Viewer 角色 (roles/compute.networkViewer)
 允许用户查看应用于网络或实例的防火墙规则。
包括网络的 compute.networks.getEffectiveFirewalls 权限和实例的 compute.instances.getEffectiveFirewalls 权限。

注意：分层防火墙政策的预览版本使用了 compute.orgSecurityPolicyAdmin 和 compute.orgSecurityPolicyUser IAM 角色。这些角色结合了分层防火墙政策和 Google Cloud Armor 的权限。为了区分这些权限，我们正在将 compute.orgFirewallPolicyAdmin 和 compute.orgFirewallPolicyUser 角色迁移到分层防火墙政策。前面的角色将继续工作，但我们建议您尽快改用新角色。

在以下示例中，Joe 可以在 policies 文件夹中创建、修改和删除任何分层防火墙政策，但无法将分层防火墙政策关联到文件夹，因为他不具有任何文件夹的 orgSecurityResourceAdmin 角色。

但是，由于 Joe 向 Mary 授予了使用 policy-1 的权限，因此她可以列出该分层防火墙政策并将其与 dev-projects 文件夹或其任何后代关联。orgFirewallPolicyUser 角色不授予将政策与任何文件夹关联的权限；用户还必须具有目标文件夹的 orgSecurityResourceAdmin 角色。

policy-1 示例
policy-1 示例

用于使用全球网络防火墙政策的 IAM 角色

以下角色与全球网络防火墙政策相关。

角色名称 说明
Compute Security Admin 角色 (roles/compute.securityAdmin) 可以在项目级层或资源级层授予。如果针对项目授予此角色，则用户可以创建、更新和删除全球网络防火墙政策及其规则。在政策级层，此角色允许用户更新政策规则，但不允许创建或删除政策。此角色还允许用户将政策与网络关联。
Compute Network Admin 角色 (roles/compute.networkAdmin) 在项目级层或网络级层授予。如果在网络级层授予，则允许用户查看全球网络防火墙政策列表。
Compute Viewer 角色 (roles/compute.viewer)

Compute Network User 角色 (roles/compute.networkUser)

Compute Network Viewer 角色 (roles/compute.networkViewer)

 允许用户查看应用于网络或实例的防火墙规则。
包括网络的 compute.networks.getEffectiveFirewalls 权限和实例的 compute.instances.getEffectiveFirewalls 权限。