Cloud NGFW-Rollen und -Berechtigungen

Auf dieser Seite sind alle IAM-Rollen (Identity and Access Management) und Berechtigungen für die Cloud NGFW aufgeführt.

IAM-Rollen und -Berechtigungen für die Cloud NGFW

Verwenden Sie die Suchleiste, um nach bestimmten Aufgaben, Rollen oder Berechtigungen zu suchen, oder wählen Sie eine Aufgabenkategorie aus dem Drop-down-Menü aus, um die Liste zu filtern.

Hierarchische Firewallrichtlinien Globale Netzwerk-Firewallrichtlinien Regionale Netzwerk-Firewallrichtlinien VPC-Firewallregeln Adressgruppen Sicherheitsprofile Sicherheitsprofilgruppen Firewall-Endpunkte Firewall-Endpunktverknüpfungen Sichere Tags Batch-Updates Alle auswählen Alle löschen

Aufgabenkategorie	Aufgabe oder Fähigkeit	Erforderliche Rolle	Erforderliche Berechtigungen
Hierarchische Firewallrichtlinien	Neue hierarchische Firewallrichtlinie erstellen	Rolle „Administrator von Compute-Firewall-Richtlinien für die Organisation” (roles/compute.orgFirewallPolicyAdmin) für die Ressource, auf der die Richtlinie ausgeführt wird Weitere Informationen finden Sie unter IAM-Rollen für die Verwendung hierarchischer Firewallrichtlinien.	compute.firewallPolicies.create
	Richtlinie mit einer Ressource verknüpfen	Eine der folgenden Rollen: Rolle Administrator für Compute-Organisationsressourcen (roles/compute.orgSecurityResourceAdmin) für die Zielressource und Rolle Nutzer von Compute-Firewallrichtlinien für die Organisation (roles/compute.orgFirewallPolicyUser) für die Ressource, auf der sich die Richtlinie befindet, oder für die Richtlinie selbst Rolle „Administrator für Compute-Organisationsressourcen“ (roles/compute.orgSecurityResourceAdmin) für die Zielressource und Rolle „Administrator von Compute-Firewallrichtlinien für die Organisation“ (roles/compute.orgFirewallPolicyAdmin) für die Ressource, auf der sich die Richtlinie befindet, oder für die Richtlinie selbst Weitere Informationen finden Sie unter IAM-Rollen für die Verwendung hierarchischer Firewallrichtlinien.	compute.firewallPolicies.use compute.organizations.setFirewallPolicy
	Richtlinie durch Hinzufügen, Aktualisieren oder Löschen von Richtlinien-Firewallregeln ändern	Rolle „Administrator von Compute-Firewall-Richtlinien für die Organisation” (roles/compute.orgFirewallPolicyAdmin) entweder für die Ressource, auf der die Richtlinie ausgeführt wird, oder für die Richtlinie selbst Weitere Informationen finden Sie unter IAM-Rollen für die Verwendung hierarchischer Firewallrichtlinien.	compute.firewallPolicies.update
	Richtlinie löschen	Rolle „Administrator von Compute-Firewall-Richtlinien für die Organisation” (roles/compute.orgFirewallPolicyAdmin) entweder für die Ressource, auf der die Richtlinie ausgeführt wird, oder für die Richtlinie selbst Weitere Informationen finden Sie unter IAM-Rollen für die Verwendung hierarchischer Firewallrichtlinien.	compute.firewallPolicies.delete
	Gültige Firewallregeln für ein VPC-Netzwerk (Virtual Private Cloud) aufrufen	Eine der folgenden Rollen für das Netzwerk: Rolle „Compute-Netzwerkadministrator“ (roles/compute.networkAdmin) Rolle „Compute-Netzwerknutzer“ (roles/compute.networkUser) Rolle „Compute-Netzwerkbetrachter“ (roles/compute.networkViewer) Rolle "Compute-Sicherheitsadministrator" (roles/compute.securityAdmin) Rolle „Compute-Betrachter“ (roles/compute.viewer) Weitere Informationen finden Sie unter IAM-Rollen für die Verwendung hierarchischer Firewallrichtlinien.	compute.networks.getEffectiveFirewalls compute.networks.getRegionEffectiveFirewalls
	Gültige Firewallregeln für eine VM in einem Netzwerk aufrufen	Eine der folgenden Rollen für die VM: Rolle „Compute Instance Admin“ (roles/compute.instanceAdmin) Rolle „Dienst-Agent für Instanzgruppenmanager“ (roles/compute.instanceGroupManagerServiceAgent) Rolle "Compute-Sicherheitsadministrator" (roles/compute.securityAdmin) Rolle „Compute-Betrachter“ (roles/compute.viewer) Weitere Informationen finden Sie unter IAM-Rollen für die Verwendung hierarchischer Firewallrichtlinien.	compute.instances.getEffectiveFirewalls
Globale Netzwerk-Firewallrichtlinien	Neue globale Netzwerk-Firewallrichtlinie erstellen	Rolle „Compute-Sicherheitsadministrator“ (roles/compute.securityAdmin) für das Projekt, zu dem die Richtlinie gehört Weitere Informationen finden Sie unter IAM-Rollen für die Verwendung globaler Netzwerk-Firewallrichtlinien.	compute.firewallPolicies.create
	Richtlinie mit einem Netzwerk verknüpfen	Rolle „Compute-Netzwerkadministrator“ (roles/compute.networkAdmin) für das Projekt, in dem die Richtlinie ausgeführt werden wird Weitere Informationen finden Sie unter IAM-Rollen für die Verwendung globaler Netzwerk-Firewallrichtlinien.	compute.firewallPolicies.use compute.networks.setFirewallPolicy
	Richtlinie durch Hinzufügen, Aktualisieren oder Löschen von Richtlinien-Firewallregeln ändern	Compute Security Admin-Rolle (roles/compute.securityAdmin) für das Projekt, in dem die Richtlinie ausgeführt werden wird Weitere Informationen finden Sie unter IAM-Rollen für die Verwendung globaler Netzwerk-Firewallrichtlinien.	compute.firewallPolicies.update
	Richtlinie löschen	Compute Security Admin-Rolle (roles/compute.securityAdmin) für das Projekt, in dem die Richtlinie ausgeführt werden wird Weitere Informationen finden Sie unter IAM-Rollen für die Verwendung globaler Netzwerk-Firewallrichtlinien.	compute.firewallPolicies.delete
	Gültige Firewallregeln für ein VPC-Netzwerk aufrufen	Eine der folgenden Rollen für das Netzwerk: Rolle „Compute-Netzwerkadministrator“ (roles/compute.networkAdmin) Rolle „Compute-Netzwerknutzer“ (roles/compute.networkUser) Rolle „Compute-Netzwerkbetrachter“ (roles/compute.networkViewer) Rolle "Compute-Sicherheitsadministrator" (roles/compute.securityAdmin) Rolle „Compute-Betrachter“ (roles/compute.viewer) Weitere Informationen finden Sie unter IAM-Rollen für die Verwendung globaler Netzwerk-Firewallrichtlinien.	compute.networks.getEffectiveFirewalls compute.networks.getRegionEffectiveFirewalls
	Gültige Firewallregeln für eine VM in einem Netzwerk aufrufen	Eine der folgenden Rollen für die VM: Rolle „Compute Instance Admin“ (roles/compute.instanceAdmin) Rolle „Dienst-Agent für Instanzgruppenmanager“ (roles/compute.instanceGroupManagerServiceAgent) Rolle "Compute-Sicherheitsadministrator" (roles/compute.securityAdmin) Rolle „Compute-Betrachter“ (roles/compute.viewer) Weitere Informationen finden Sie unter IAM-Rollen für die Verwendung globaler Netzwerk-Firewallrichtlinien.	compute.instances.getEffectiveFirewalls
Regionale Netzwerk-Firewallrichtlinien	Informationen zu IAM-Rollen und -Berechtigungen, die die Aktionen zum Erstellen und Verwalten regionaler Netzwerk-Firewallrichtlinien steuern, finden Sie unter Regionale Netzwerk-Firewallrichtlinien und -regeln erstellen und Regionale Netzwerk-Firewallrichtlinien verwalten.
VPC-Firewallregeln	VPC-Firewallregel erstellen	Rolle „Compute-Sicherheitsadministrator“ (roles/compute.securityAdmin)	compute.firewalls.create
	VPC-Firewallregel ändern	Rolle „Compute-Sicherheitsadministrator“ (roles/compute.securityAdmin)	compute.firewalls.update
	Liste der VPC-Firewallregeln aufrufen	Rolle „Compute-Netzwerkbetrachter“ (roles/compute.networkViewer)	compute.firewalls.list
	Details zu einer VPC-Firewallregel ansehen	Rolle „Compute-Netzwerkbetrachter“ (roles/compute.networkViewer)	compute.firewalls.get
	VPC-Firewallregel löschen	Rolle „Compute-Sicherheitsadministrator“ (roles/compute.securityAdmin)	compute.firewalls.delete
Adressgruppen	Adressgruppen erstellen und verwalten	Rolle „Compute-Netzwerkadministrator“ (roles/compute.networkAdmin)	networksecurity.addressGroups.*
	Adressgruppen suchen und ansehen	Rolle „Compute-Netzwerknutzer“ (roles/compute.networkUser)	networksecurity.addressGroups.list networksecurity.addressGroups.get networksecurity.addressGroups.use
Sicherheitsprofile	Sicherheitsprofil erstellen	Eine der folgenden Rollen: Rolle „Compute-Netzwerkadministrator“ (roles/compute.networkAdmin) Rolle „Security Profile Admin (Beta)“ (roles/networksecurity.securityProfileAdmin), die auf Organisationsebene für Sicherheitsprofile auf Organisationsebene und entweder auf Projekt- oder Organisationsebene für Sicherheitsprofile auf Projektebene zugewiesen wird	networksecurity.securityProfiles.create
	Sicherheitsprofil ändern	Eine der folgenden Rollen: Rolle „Compute-Netzwerkadministrator“ (roles/compute.networkAdmin) Rolle „Security Profile Admin (Beta)“ (roles/networksecurity.securityProfileAdmin), die auf Organisationsebene für Sicherheitsprofile auf Organisationsebene und entweder auf Projekt- oder Organisationsebene für Sicherheitsprofile auf Projektebene zugewiesen wird	networksecurity.securityProfiles.update
	Sicherheitsprofil löschen	Eine der folgenden Rollen: Rolle „Compute-Netzwerkadministrator“ (roles/compute.networkAdmin) Rolle „Security Profile Admin (Beta)“ (roles/networksecurity.securityProfileAdmin), die auf Organisationsebene für Sicherheitsprofile auf Organisationsebene und entweder auf Projekt- oder Organisationsebene für Sicherheitsprofile auf Projektebene zugewiesen wird	networksecurity.securityProfiles.delete
	Details zu einem Sicherheitsprofil in einer Organisation oder einem Projekt ansehen	Eine der folgenden Rollen: Rolle „Compute-Netzwerkadministrator“ (roles/compute.networkAdmin) Rolle „Security Profile Admin (Beta)“ (roles/networksecurity.securityProfileAdmin), die auf Organisationsebene für Sicherheitsprofile auf Organisationsebene und entweder auf Projekt- oder Organisationsebene für Sicherheitsprofile auf Projektebene zugewiesen wird Rolle „Compute-Netzwerknutzer“ (roles/compute.networkUser) Rolle „Compute-Netzwerkbetrachter“ (roles/compute.networkViewer)	networksecurity.securityProfiles.get
	Alle Sicherheitsprofile in einer Organisation oder einem Projekt ansehen	Eine der folgenden Rollen: Rolle „Compute-Netzwerkadministrator“ (roles/compute.networkAdmin) Rolle „Security Profile Admin (Beta)“ (roles/networksecurity.securityProfileAdmin), die auf Organisationsebene für Sicherheitsprofile auf Organisationsebene und entweder auf Projekt- oder Organisationsebene für Sicherheitsprofile auf Projektebene zugewiesen wird Rolle „Compute-Netzwerknutzer“ (roles/compute.networkUser) Rolle „Compute-Netzwerkbetrachter“ (roles/compute.networkViewer)	networksecurity.securityProfiles.list
	Sicherheitsprofil in einer Sicherheitsprofilgruppe verwenden	Eine der folgenden Rollen: Rolle „Compute-Netzwerkadministrator“ (roles/compute.networkAdmin) Rolle „Security Profile Admin (Beta)“ (roles/networksecurity.securityProfileAdmin), die auf Organisationsebene für Sicherheitsprofile auf Organisationsebene und entweder auf Projekt- oder Organisationsebene für Sicherheitsprofile auf Projektebene zugewiesen wird Rolle „Compute-Netzwerknutzer“ (roles/compute.networkUser)	networksecurity.securityProfiles.use
Sicherheitsprofilgruppen	Sicherheitsprofilgruppe erstellen	Eine der folgenden Rollen: Rolle „Compute-Netzwerkadministrator“ (roles/compute.networkAdmin) Rolle „Security Profile Admin“ (Beta) (roles/networksecurity.securityProfileAdmin), die auf Organisationsebene für Sicherheitsprofilgruppen auf Organisationsebene und entweder auf Projekt- oder Organisationsebene für Sicherheitsprofilgruppen auf Projektebene zugewiesen wird	networksecurity.securityProfileGroups.create
	Sicherheitsprofilgruppe ändern	Eine der folgenden Rollen: Rolle „Compute-Netzwerkadministrator“ (roles/compute.networkAdmin) Rolle „Security Profile Admin“ (Beta) (roles/networksecurity.securityProfileAdmin), die auf Organisationsebene für Sicherheitsprofilgruppen auf Organisationsebene und entweder auf Projekt- oder Organisationsebene für Sicherheitsprofilgruppen auf Projektebene zugewiesen wird	networksecurity.securityProfileGroups.update
	Sicherheitsprofilgruppe löschen	Eine der folgenden Rollen: Rolle „Compute-Netzwerkadministrator“ (roles/compute.networkAdmin) Rolle „Security Profile Admin“ (Beta) (roles/networksecurity.securityProfileAdmin), die auf Organisationsebene für Sicherheitsprofilgruppen auf Organisationsebene und entweder auf Projekt- oder Organisationsebene für Sicherheitsprofilgruppen auf Projektebene zugewiesen wird	networksecurity.securityProfileGroups.delete
	Details zur Sicherheitsprofilgruppe in einer Organisation und einem Projekt ansehen	Eine der folgenden Rollen: Rolle „Compute-Netzwerkadministrator“ (roles/compute.networkAdmin) Rolle „Security Profile Admin“ (Beta) (roles/networksecurity.securityProfileAdmin), die auf Organisationsebene für Sicherheitsprofilgruppen auf Organisationsebene und entweder auf Projekt- oder Organisationsebene für Sicherheitsprofilgruppen auf Projektebene zugewiesen wird Rolle „Compute-Netzwerknutzer“ (roles/compute.networkUser) Rolle „Compute-Netzwerkbetrachter“ (roles/compute.networkViewer)	networksecurity.securityProfileGroups.get
	Alle Sicherheitsprofilgruppen in einer Organisation und einem Projekt ansehen	Eine der folgenden Rollen: Rolle „Compute-Netzwerkadministrator“ (roles/compute.networkAdmin) Rolle „Security Profile Admin“ (Beta) (roles/networksecurity.securityProfileAdmin), die auf Organisationsebene für Sicherheitsprofilgruppen auf Organisationsebene und entweder auf Projekt- oder Organisationsebene für Sicherheitsprofilgruppen auf Projektebene zugewiesen wird Rolle „Compute-Netzwerknutzer“ (roles/compute.networkUser) Rolle „Compute-Netzwerkbetrachter“ (roles/compute.networkViewer)	networksecurity.securityProfileGroups.list
	Sicherheitsprofilgruppe in einer Firewallrichtlinienregel verwenden	Eine der folgenden Rollen: Rolle „Compute-Netzwerkadministrator“ (roles/compute.networkAdmin) Rolle „Security Profile Admin“ (Beta) (roles/networksecurity.securityProfileAdmin), die auf Organisationsebene für Sicherheitsprofilgruppen auf Organisationsebene und entweder auf Projekt- oder Organisationsebene für Sicherheitsprofilgruppen auf Projektebene zugewiesen wird Rolle „Compute-Netzwerknutzer“ (roles/compute.networkUser)	networksecurity.securityProfileGroups.use
Firewall-Endpunkte	Firewall-Endpunkt erstellen	Eine der folgenden Rollen: Rolle „Compute-Netzwerkadministrator“ (roles/compute.networkAdmin) Rolle „Firewall Endpoint Admin (Beta)“ (roles/networksecurity.firewallEndpointAdmin), die auf Organisationsebene für Firewall-Endpunkte auf Organisationsebene und auf Projekt- oder Organisationsebene für Firewall-Endpunkte auf Projektebene zugewiesen wird	networksecurity.firewallEndpoints.create
	Firewall-Endpunkt ändern	Eine der folgenden Rollen: Rolle „Compute-Netzwerkadministrator“ (roles/compute.networkAdmin) Rolle „Firewall Endpoint Admin (Beta)“ (roles/networksecurity.firewallEndpointAdmin), die auf Organisationsebene für Firewall-Endpunkte auf Organisationsebene und auf Projekt- oder Organisationsebene für Firewall-Endpunkte auf Projektebene zugewiesen wird	networksecurity.firewallEndpoints.update
	Firewall-Endpunkt löschen	Eine der folgenden Rollen: Rolle „Compute-Netzwerkadministrator“ (roles/compute.networkAdmin) Rolle „Firewall Endpoint Admin (Beta)“ (roles/networksecurity.firewallEndpointAdmin), die auf Organisationsebene für Firewall-Endpunkte auf Organisationsebene und auf Projekt- oder Organisationsebene für Firewall-Endpunkte auf Projektebene zugewiesen wird	networksecurity.firewallEndpoints.delete
	Details zum Firewall-Endpunkt ansehen	Eine der folgenden Rollen: Rolle „Compute-Netzwerkadministrator“ (roles/compute.networkAdmin) Rolle „Firewall Endpoint Admin (Beta)“ (roles/networksecurity.firewallEndpointAdmin), die auf Organisationsebene für Firewall-Endpunkte auf Organisationsebene und auf Projekt- oder Organisationsebene für Firewall-Endpunkte auf Projektebene zugewiesen wird Rolle „Compute-Netzwerknutzer“ (roles/compute.networkUser) Rolle „Compute-Netzwerkbetrachter“ (roles/compute.networkViewer)	networksecurity.firewallEndpoints.get
	Alle Firewall-Endpunkte ansehen	Eine der folgenden Rollen: Rolle „Compute-Netzwerkadministrator“ (roles/compute.networkAdmin) Rolle „Firewall Endpoint Admin (Beta)“ (roles/networksecurity.firewallEndpointAdmin), die auf Organisationsebene für Firewall-Endpunkte auf Organisationsebene und auf Projekt- oder Organisationsebene für Firewall-Endpunkte auf Projektebene zugewiesen wird Rolle „Compute-Netzwerknutzer“ (roles/compute.networkUser) Rolle „Compute-Netzwerkbetrachter“ (roles/compute.networkViewer)	networksecurity.firewallEndpoints.list
Firewall-Endpunktverknüpfungen	Firewall-Endpunktverknüpfung erstellen	Eine der folgenden Rollen: Rolle „Compute-Netzwerkadministrator“ (roles/compute.networkAdmin) Rolle „Firewall Endpoint Admin (Beta)“ (roles/networksecurity.firewallEndpointAdmin), die auf Organisationsebene für Firewall-Endpunktverknüpfungen auf Organisationsebene und entweder auf Projekt- oder Organisationsebene für Firewall-Endpunktverknüpfungen auf Projektebene zugewiesen wird Rolle „Compute-Netzwerknutzer“ (roles/compute.networkUser)	networksecurity.firewallEndpointAssociations.create networksecurity.firewallEndpoints.use für die Organisation oder das Projekt, in der bzw. dem der Firewall-Endpunkt erstellt wird
	Firewall-Endpunktverknüpfung ändern	Eine der folgenden Rollen: Rolle „Compute-Netzwerkadministrator“ (roles/compute.networkAdmin) Rolle „Firewall Endpoint Admin (Beta)“ (roles/networksecurity.firewallEndpointAdmin), die auf Organisationsebene für Firewall-Endpunktverknüpfungen auf Organisationsebene und entweder auf Projekt- oder Organisationsebene für Firewall-Endpunktverknüpfungen auf Projektebene zugewiesen wird	networksecurity.firewallEndpointAssociations.update
	Firewall-Endpunktverknüpfung löschen	Eine der folgenden Rollen: Rolle „Compute-Netzwerkadministrator“ (roles/compute.networkAdmin) Rolle „Firewall Endpoint Admin (Beta)“ (roles/networksecurity.firewallEndpointAdmin), die auf Organisationsebene für Firewall-Endpunktverknüpfungen auf Organisationsebene und entweder auf Projekt- oder Organisationsebene für Firewall-Endpunktverknüpfungen auf Projektebene zugewiesen wird	networksecurity.firewallEndpointAssociations.delete
	Details zur Firewall-Endpunktverknüpfung ansehen	Eine der folgenden Rollen: Rolle „Compute-Netzwerkadministrator“ (roles/compute.networkAdmin) Rolle „Firewall Endpoint Admin (Beta)“ (roles/networksecurity.firewallEndpointAdmin), die auf Organisationsebene für Firewall-Endpunktverknüpfungen auf Organisationsebene und entweder auf Projekt- oder Organisationsebene für Firewall-Endpunktverknüpfungen auf Projektebene zugewiesen wird Rolle „Compute-Netzwerknutzer“ (roles/compute.networkUser) Rolle „Compute-Netzwerkbetrachter“ (roles/compute.networkViewer)	networksecurity.firewallEndpointAssociations.get
	Alle Firewall-Endpunktverknüpfungen ansehen	Eine der folgenden Rollen: Rolle „Compute-Netzwerkadministrator“ (roles/compute.networkAdmin) Die Rolle Firewall Endpoint Admin (Beta) (roles/networksecurity.firewallEndpointAdmin), die auf Organisationsebene für Firewall-Endpunktverknüpfungen auf Organisationsebene und entweder auf Projekt- oder Organisationsebene für Firewall-Endpunktverknüpfungen auf Projektebene zugewiesen wird. Rolle „Compute-Netzwerknutzer“ (roles/compute.networkUser) Rolle „Compute-Netzwerkbetrachter“ (roles/compute.networkViewer)	networksecurity.firewallEndpointAssociations.list
Sichere Tags	Informationen zu den IAM-Rollen und -Berechtigungen, die Sie zum Erstellen und Verwalten von sicheren Tags benötigen, finden Sie unter Tags für Ressourcen verwalten.
Batch-Updates für Firewallrichtlinien-Regeln	Hierarchische Firewallrichtlinienregeln exportieren	Eine der folgenden Rollen: Rolle „Administrator von Compute-Firewall-Richtlinien für die Organisation“ (roles/compute.orgFirewallPolicyAdmin) Rolle „Nutzer von Compute-Firewall-Richtlinien für die Organisation” (roles/compute.orgFirewallPolicyUser)	compute.firewallPolicies.get
	Hierarchische Firewallrichtlinienregeln importieren	Eine der folgenden Rollen: Rolle „Administrator von Compute-Firewall-Richtlinien für die Organisation“ (roles/compute.orgFirewallPolicyAdmin) Rolle „Nutzer von Compute-Firewall-Richtlinien für die Organisation” (roles/compute.orgFirewallPolicyUser)	compute.firewallPolicies.update
	Regeln der globalen Netzwerk-Firewallrichtlinie exportieren	Eine der folgenden Rollen: Rolle "Compute-Sicherheitsadministrator" (roles/compute.securityAdmin) Rolle „Compute-Netzwerkadministrator“ (roles/compute.networkAdmin)	compute.firewallPolicies.get
	Regeln für regionale Netzwerk-Firewallrichtlinien exportieren	Eine der folgenden Rollen: Rolle "Compute-Sicherheitsadministrator" (roles/compute.securityAdmin) Rolle „Compute-Netzwerkadministrator“ (roles/compute.networkAdmin)	compute.regionFirewallPolicies.get
	Regeln für die globale Netzwerk-Firewallrichtlinie importieren	Eine der folgenden Rollen: Rolle "Compute-Sicherheitsadministrator" (roles/compute.securityAdmin) Rolle „Compute-Netzwerkadministrator“ (roles/compute.networkAdmin)	compute.firewallPolicies.update
	Regionale Netzwerk-Firewallrichtlinien-Regeln importieren	Eine der folgenden Rollen: Rolle "Compute-Sicherheitsadministrator" (roles/compute.securityAdmin) Rolle „Compute-Netzwerkadministrator“ (roles/compute.networkAdmin)	compute.regionFirewallPolicies.update

IAM-Rollen für die Verwendung hierarchischer Firewallrichtlinien

Die folgenden Rollen sind für hierarchische Firewallrichtlinien relevant.

Rollenname	Beschreibung
Rolle „Administrator von Compute-Firewall-Richtlinien für die Organisation“ (roles/compute.orgFirewallPolicyAdmin)	Kann für eine Ressource oder für eine einzelne Richtlinie gewährt werden. Wenn sie für eine Ressource gewährt wird, können Nutzer hierarchische Firewallrichtlinien und ihre Regeln erstellen, aktualisieren und löschen. Wenn sie einer einzelnen Richtlinie gewährt wird, kann der Nutzer die Richtlinienregeln aktualisieren, die Richtlinie jedoch nicht erstellen oder löschen. Mit dieser Rolle kann der Nutzer auch eine Richtlinie mit einer Ressource verknüpfen, wenn er auch die Rolle compute.orgSecurityResourceAdmin für diese Ressource hat.
Rolle „Administrator für Compute Engine-Organisationsressourcen“ (roles/compute.orgSecurityResourceAdmin)	Wird auf der Organisationsebene oder einem Ordner gewährt; ermöglicht Administratoren auf der Ordnerebene, eine Richtlinie mit dieser Ressource zu verknüpfen. Administratoren müssen außerdem die Rolle compute.orgFirewallPolicyUser oder compute.orgFirewallPolicyAdmin für die Ressource, der die Richtlinie gehört, oder die Richtlinie selbst haben, um die Richtlinie nutzen zu können.
Rolle „Nutzer von Compute-Firewall-Richtlinien für die Organisation” (roles/compute.orgFirewallPolicyUser)	Wird sie einer Ressource oder einer einzelnen Richtlinie zugewiesen, können Administratoren die jeweilige Richtlinie oder die mit der Ressource verknüpften Richtlinien verwenden. Nutzer müssen außerdem die Rolle compute.orgSecurityResourceAdmin für die Zielressource haben, um eine Richtlinie mit dieser Ressource zu verknüpfen.
Rolle „Compute-Sicherheitsadministrator“ (roles/compute.securityAdmin) Rolle „Compute-Betrachter“ (roles/compute.viewer) Rolle „Compute-Netzwerknutzer“ (roles/compute.networkUser) Rolle „Compute-Netzwerkbetrachter“ (roles/compute.networkViewer)	Nutzer können die Firewallregeln sehen, die auf das Netzwerk oder die Instanz angewendet werden. Enthält die Berechtigung compute.networks.getEffectiveFirewalls für Netzwerke und die Berechtigung compute.instances.getEffectiveFirewalls für Instanzen.

Hinweis: In den Vorabversionen hierarchischer Firewallrichtlinien wurden die IAM-Rollen compute.orgSecurityPolicyAdmin und compute.orgSecurityPolicyUser verwendet. Diese Rollen kombinierten Berechtigungen für hierarchische Firewallrichtlinien und Google Cloud Armor. Wenn diese Berechtigungen getrennt werden sollen, migrieren wir zu den Rollen compute.orgFirewallPolicyAdmin und compute.orgFirewallPolicyUser für hierarchische Firewallrichtlinien. Die vorherigen Rollen funktionieren weiterhin, aber wir empfehlen Ihnen, so schnell wie möglich zu den neuen Rollen zu migrieren.

Im folgenden Beispiel kann Joe alle hierarchischen Firewallrichtlinien im Ordner policies erstellen, ändern und löschen. Er kann die hierarchische Firewallrichtlinie aber keinem Ordner hinzufügen, da er für keinen Ordner die Rolle orgSecurityResourceAdmin hat.

Da Joe jedoch Mary die Berechtigung zur Verwendung von policy-1 gewährt hat, kann sie diese hierarchische Firewallrichtlinie auflisten und mit dem Ordner dev-projects oder einem seiner untergeordneten Elemente verknüpfen. Die Rolle orgFirewallPolicyUser gewährt keine Berechtigung zum Verknüpfen der Richtlinien mit Ordnern. Der Nutzer muss auch die Rolle orgSecurityResourceAdmin für den Zielordner haben.

policy-1-Beispiel

IAM-Rollen für die Verwendung globaler Netzwerk-Firewallrichtlinien

Die folgenden Rollen sind für globale Netzwerk-Firewallrichtlinien relevant.

Rollenname	Beschreibung
Rolle "Compute-Sicherheitsadministrator" (roles/compute.securityAdmin)	Kann auf Projekt- oder Richtlinienebene gewährt werden. Wird sie für ein Projekt gewährt, können Nutzer globale Netzwerk-Firewallrichtlinien und deren Regeln erstellen, aktualisieren und löschen. Erlaubt es Nutzern auf Richtlinienebene, die Regeln der Richtlinie zu aktualisieren, allerdings darf die Richtlinie weder erstellt noch gelöscht werden. Diese Rolle erlaubt es Nutzern auch, Richtlinien mit Netzwerken zu verknüpfen.
Rolle „Compute-Netzwerkadministrator“ (roles/compute.networkAdmin)	Wird auf Projekt- oder Netzwerkebene gewährt. Bei Gewährung für ein Netzwerk können Nutzer die Liste der globalen Netzwerk-Firewallrichtlinien aufrufen.
Rolle „Compute-Betrachter“ (roles/compute.viewer) Rolle „Compute-Netzwerknutzer“ (roles/compute.networkUser) Rolle „Compute-Netzwerkbetrachter“ (roles/compute.networkViewer)	Nutzer können die Firewallregeln sehen, die auf das Netzwerk oder die Instanz angewendet werden. Enthält die Berechtigung compute.networks.getEffectiveFirewalls für Netzwerke und die Berechtigung compute.instances.getEffectiveFirewalls für Instanzen.