Ruoli e autorizzazioni di Cloud NGFW

In questa pagina sono elencati tutti i ruoli e le autorizzazioni di Identity and Access Management (IAM) per Cloud NGFW.

Ruoli e autorizzazioni IAM per Cloud NGFW

Utilizza la barra di ricerca per cercare attività, ruoli o autorizzazioni specifici oppure seleziona una categoria di attività dal menu a discesa per filtrare l'elenco.

Categoria di attività Attività o capacità Ruolo richiesto Autorizzazioni obbligatorie
Policy del firewall gerarchiche Crea una nuova policy del firewall gerarchica Ruolo Compute Organization Firewall Policy Admin (roles/compute.orgFirewallPolicyAdmin) sulla risorsa in cui risiederà la policy

Per ulteriori informazioni, consulta Ruoli IAM per l'utilizzo delle policy del firewall gerarchiche.		 compute.firewallPolicies.create
Associa una policy a una risorsa Uno dei seguenti insiemi di ruoli:
Per saperne di più, consulta Ruoli IAM per l'utilizzo delle policy del firewall gerarchiche.		 compute.firewallPolicies.use
compute.organizations.setFirewallPolicy
Modifica la policy aggiungendo, aggiornando o eliminando le regole firewall della policy Ruolo Compute Organization Firewall Policy Admin (roles/compute.orgFirewallPolicyAdmin) sulla risorsa in cui si trova la policy o sulla policy stessa

Per ulteriori informazioni, consulta Ruoli IAM per l'utilizzo delle policy del firewall gerarchiche.		 compute.firewallPolicies.update
Elimina la policy Ruolo Compute Organization Firewall Policy Admin (roles/compute.orgFirewallPolicyAdmin) sulla risorsa in cui si trova la policy o sulla policy stessa

Per ulteriori informazioni, consulta Ruoli IAM per l'utilizzo delle policy del firewall gerarchiche.		 compute.firewallPolicies.delete
Visualizza le regole firewall effettive per una rete Virtual Private Cloud (VPC) Uno dei seguenti ruoli per la rete:
Per saperne di più, consulta Ruoli IAM per l'utilizzo delle policy del firewall gerarchiche.		 compute.networks.getEffectiveFirewalls
compute.networks.getRegionEffectiveFirewalls
Visualizza le regole firewall effettive per una VM in una rete Uno dei seguenti ruoli per la VM:
Per saperne di più, consulta Ruoli IAM per l'utilizzo delle policy del firewall gerarchiche.		 compute.instances.getEffectiveFirewalls
Policy del firewall di rete globali Crea una nuova policy del firewall di rete globale Ruolo Compute Security Admin (roles/compute.securityAdmin) sul progetto a cui appartiene la policy

Per saperne di più, consulta Ruoli IAM per l'utilizzo delle policy del firewall di rete globale.		 compute.firewallPolicies.create
Associa una policy a una rete Ruolo Compute Network Admin (roles/compute.networkAdmin) sul progetto in cui risiederà la policy

Per saperne di più, consulta Ruoli IAM per l'utilizzo delle policy del firewall di rete globale.		 compute.firewallPolicies.use
compute.networks.setFirewallPolicy
Modifica la policy aggiungendo, aggiornando o eliminando le regole firewall della policy Ruolo Compute Security Admin (roles/compute.securityAdmin) sul progetto in cui risiederà la policy

Per saperne di più, consulta Ruoli IAM per l'utilizzo delle policy del firewall di rete globale.		 compute.firewallPolicies.update
Elimina la policy Ruolo Compute Security Admin (roles/compute.securityAdmin) sul progetto in cui risiederà la policy

Per saperne di più, consulta Ruoli IAM per l'utilizzo delle policy del firewall di rete globale.		 compute.firewallPolicies.delete
Visualizza le regole firewall effettive per una rete VPC Uno dei seguenti ruoli per la rete:
Per saperne di più, consulta Ruoli IAM per l'utilizzo delle policy del firewall di rete globale.		 compute.networks.getEffectiveFirewalls
compute.networks.getRegionEffectiveFirewalls
Visualizza le regole firewall effettive per una VM in una rete Uno dei seguenti ruoli per la VM:
Per saperne di più, consulta Ruoli IAM per l'utilizzo delle policy del firewall di rete globale.		 compute.instances.getEffectiveFirewalls
Policy del firewall di rete regionali Per informazioni sui ruoli e sulle autorizzazioni IAM che regolano le azioni per creare e gestire le policy del firewall di rete regionale, consulta Crea regole e policy del firewall di rete regionale e Gestisci le policy del firewall di rete regionale.
Regole firewall VPC Crea una regola firewall VPC Ruolo Compute Security Admin
(roles/compute.securityAdmin)		 compute.firewalls.create
Modifica una regola firewall VPC Ruolo Compute Security Admin
(roles/compute.securityAdmin)		 compute.firewalls.update
Visualizza un elenco di regole firewall VPC Ruolo Compute Network Viewer
(roles/compute.networkViewer)		 compute.firewalls.list
Visualizza i dettagli di una regola firewall VPC Ruolo Compute Network Viewer
(roles/compute.networkViewer)		 compute.firewalls.get
Elimina una regola firewall VPC Ruolo Compute Security Admin
(roles/compute.securityAdmin)		 compute.firewalls.delete
Gruppi di indirizzi Crea e gestisci gruppi di indirizzi Ruolo Compute Network Admin
(roles/compute.networkAdmin)		 networksecurity.addressGroups.*
Scopri e visualizza i gruppi di indirizzi Ruolo Compute Network User
(roles/compute.networkUser)		 networksecurity.addressGroups.list
networksecurity.addressGroups.get
networksecurity.addressGroups.use
Profili di sicurezza Crea un profilo di sicurezza Uno dei seguenti ruoli:
  • Ruolo Compute Network Admin (roles/compute.networkAdmin)
  • Ruolo Security Profile Admin (Beta) (roles/networksecurity.securityProfileAdmin) concesso a livello di organizzazione per i profili di sicurezza a livello di organizzazione e a livello di progetto o di organizzazione per i profili di sicurezza a livello di progetto
 networksecurity.securityProfiles.create
Modifica un profilo di sicurezza Uno dei seguenti ruoli:
  • Ruolo Compute Network Admin (roles/compute.networkAdmin)
  • Ruolo Security Profile Admin (Beta) (roles/networksecurity.securityProfileAdmin) concesso a livello di organizzazione per i profili di sicurezza a livello di organizzazione e a livello di progetto o di organizzazione per i profili di sicurezza a livello di progetto
 networksecurity.securityProfiles.update
Elimina un profilo di sicurezza Uno dei seguenti ruoli:
  • Ruolo Compute Network Admin (roles/compute.networkAdmin)
  • Ruolo Security Profile Admin (Beta) (roles/networksecurity.securityProfileAdmin) concesso a livello di organizzazione per i profili di sicurezza a livello di organizzazione e a livello di progetto o di organizzazione per i profili di sicurezza a livello di progetto
 networksecurity.securityProfiles.delete
Visualizza i dettagli di un profilo di sicurezza in un'organizzazione o un progetto Uno dei seguenti ruoli: networksecurity.securityProfiles.get
Visualizza tutti i profili di sicurezza in un'organizzazione o in un progetto Uno dei seguenti ruoli: networksecurity.securityProfiles.list
Utilizza un profilo di sicurezza in un gruppo di profili di sicurezza Uno dei seguenti ruoli: networksecurity.securityProfiles.use
Gruppi di profili di sicurezza Crea un gruppo di profili di sicurezza Uno dei seguenti ruoli:
  • Ruolo Compute Network Admin (roles/compute.networkAdmin)
  • Ruolo Security Profile Admin (Beta) (roles/networksecurity.securityProfileAdmin) concesso a livello di organizzazione per i gruppi di profili di sicurezza a livello di organizzazione e a livello di progetto o di organizzazione per i gruppi di profili di sicurezza a livello di progetto
 networksecurity.securityProfileGroups.create
Modifica un gruppo di profili di sicurezza Uno dei seguenti ruoli:
  • Ruolo Compute Network Admin (roles/compute.networkAdmin)
  • Ruolo Security Profile Admin (Beta) (roles/networksecurity.securityProfileAdmin) concesso a livello di organizzazione per i gruppi di profili di sicurezza a livello di organizzazione e a livello di progetto o di organizzazione per i gruppi di profili di sicurezza a livello di progetto
 networksecurity.securityProfileGroups.update
Elimina un gruppo di profili di sicurezza Uno dei seguenti ruoli:
  • Ruolo Compute Network Admin (roles/compute.networkAdmin)
  • Ruolo Security Profile Admin (Beta) (roles/networksecurity.securityProfileAdmin) concesso a livello di organizzazione per i gruppi di profili di sicurezza a livello di organizzazione e a livello di progetto o di organizzazione per i gruppi di profili di sicurezza a livello di progetto
 networksecurity.securityProfileGroups.delete
Visualizza i dettagli del gruppo di profili di sicurezza in un'organizzazione e in un progetto Uno dei seguenti ruoli: networksecurity.securityProfileGroups.get
Visualizza tutti i gruppi di profili di sicurezza in un'organizzazione e in un progetto Uno dei seguenti ruoli: networksecurity.securityProfileGroups.list
Utilizza un gruppo di profili di sicurezza in una regola della policy del firewall Uno dei seguenti ruoli: networksecurity.securityProfileGroups.use
Endpoint del firewall Crea un endpoint firewall Uno dei seguenti ruoli:
  • Ruolo Compute Network Admin (roles/compute.networkAdmin)
  • Ruolo Firewall Endpoint Admin (Beta) (roles/networksecurity.firewallEndpointAdmin) concesso a livello di organizzazione per gli endpoint firewall a livello di organizzazione e a livello di progetto o di organizzazione per gli endpoint firewall a livello di progetto
 networksecurity.firewallEndpoints.create
Modifica un endpoint firewall Uno dei seguenti ruoli:
  • Ruolo Compute Network Admin (roles/compute.networkAdmin)
  • Ruolo Firewall Endpoint Admin (Beta) (roles/networksecurity.firewallEndpointAdmin) concesso a livello di organizzazione per gli endpoint firewall a livello di organizzazione e a livello di progetto o di organizzazione per gli endpoint firewall a livello di progetto
 networksecurity.firewallEndpoints.update
Elimina un endpoint firewall Uno dei seguenti ruoli:
  • Ruolo Compute Network Admin (roles/compute.networkAdmin)
  • Ruolo Firewall Endpoint Admin (Beta) (roles/networksecurity.firewallEndpointAdmin) concesso a livello di organizzazione per gli endpoint firewall a livello di organizzazione e a livello di progetto o di organizzazione per gli endpoint firewall a livello di progetto
 networksecurity.firewallEndpoints.delete
Visualizza i dettagli sull'endpoint firewall Uno dei seguenti ruoli: networksecurity.firewallEndpoints.get
Visualizza tutti gli endpoint firewall Uno dei seguenti ruoli: networksecurity.firewallEndpoints.list
Associazioni di endpoint firewall Crea un'associazione di endpoint firewall Uno dei seguenti ruoli: networksecurity.firewallEndpointAssociations.create
networksecurity.firewallEndpoints.use sull'organizzazione o sul progetto in cui viene creato l'endpoint firewall
Modifica un'associazione di endpoint firewall Uno dei seguenti ruoli:
  • Ruolo Compute Network Admin (roles/compute.networkAdmin)
  • Ruolo Firewall Endpoint Admin (Beta) (roles/networksecurity.firewallEndpointAdmin) concesso a livello di organizzazione per le associazioni di endpoint firewall a livello di organizzazione e a livello di progetto o di organizzazione per le associazioni di endpoint firewall a livello di progetto
 networksecurity.firewallEndpointAssociations.update
Elimina un'associazione di endpoint firewall Uno dei seguenti ruoli:
  • Ruolo Compute Network Admin (roles/compute.networkAdmin)
  • Ruolo Firewall Endpoint Admin (Beta) (roles/networksecurity.firewallEndpointAdmin) concesso a livello di organizzazione per le associazioni di endpoint firewall a livello di organizzazione e a livello di progetto o di organizzazione per le associazioni di endpoint firewall a livello di progetto
 networksecurity.firewallEndpointAssociations.delete
Visualizza i dettagli dell'associazione di endpoint firewall Uno dei seguenti ruoli: networksecurity.firewallEndpointAssociations.get
Visualizza tutte le associazioni di endpoint firewall Uno dei seguenti ruoli: networksecurity.firewallEndpointAssociations.list
Tag protetti Per informazioni sui ruoli e sulle autorizzazioni IAM necessari per creare e gestire i tag sicuri, consulta Gestisci i tag sulle risorse.
Aggiornamenti batch delle regole della policy del firewall Esporta le regole della policy del firewall gerarchica Uno dei seguenti ruoli: compute.firewallPolicies.get
Importa le regole della policy del firewall gerarchica Uno dei seguenti ruoli: compute.firewallPolicies.update
Esporta le regole della policy del firewall di rete globale Uno dei seguenti ruoli: compute.firewallPolicies.get
Esporta le regole della policy del firewall di rete regionale Uno dei seguenti ruoli: compute.regionFirewallPolicies.get
Importa le regole della policy del firewall di rete globale Uno dei seguenti ruoli: compute.firewallPolicies.update
Importa le regole della policy del firewall di rete regionale Uno dei seguenti ruoli: compute.regionFirewallPolicies.update

Ruoli IAM per l'utilizzo delle policy del firewall gerarchiche

I seguenti ruoli sono pertinenti alle policy del firewall gerarchiche.

Nome ruolo Descrizione
Ruolo Compute Organization Firewall Policy Admin (roles/compute.orgFirewallPolicyAdmin) Può essere concesso su una risorsa o su una singola policy. Se concesso a una risorsa, consente agli utenti di creare, aggiornare ed eliminare le policy del firewall gerarchiche e le relative regole. Se concessa per una singola policy, consente all'utente di aggiornare le regole della policy, ma non di crearla o eliminarla. Questo ruolo consente inoltre all'utente di associare una policy a una risorsa se dispone anche del ruolo compute.orgSecurityResourceAdmin per la risorsa.
Ruolo Compute Organization Resource Admin (roles/compute.orgSecurityResourceAdmin) Concessa a livello di organizzazione o a una cartella, consente agli amministratori a livello di cartella di associare una policy alla risorsa. Gli amministratori devono inoltre disporre del ruolo compute.orgFirewallPolicyUser o compute.orgFirewallPolicyAdmin sulla risorsa proprietaria della policy o sulla policy stessa per poterla utilizzare.
Ruolo Compute Organization Firewall Policy User (roles/compute.orgFirewallPolicyUser) Concessa su una risorsa o su una singola policy, consente agli amministratori di utilizzare la singola policy o le policy associate alla risorsa. Gli utenti devono inoltre avere il ruolo compute.orgSecurityResourceAdmin sulla risorsa di destinazione per associare una policy a quella risorsa.
Ruolo Compute Security Admin (roles/compute.securityAdmin)

Ruolo Compute Viewer (roles/compute.viewer)

Ruolo Compute Network User (roles/compute.networkUser)

Ruolo Compute Network Viewer (roles/compute.networkViewer)
 Consente agli utenti di visualizzare le regole firewall applicate alla rete o all'istanza.
Include l'autorizzazione compute.networks.getEffectiveFirewalls per le reti e compute.instances.getEffectiveFirewalls per le istanze.

Nota: le versioni di anteprima delle policy del firewall gerarchiche utilizzavano i ruoli IAM compute.orgSecurityPolicyAdmin e compute.orgSecurityPolicyUser. Questi ruoli combinavano le autorizzazioni per le policy del firewall gerarchiche e Google Cloud Armor. Per separare queste autorizzazioni, stiamo eseguendo la migrazione ai ruoli compute.orgFirewallPolicyAdmin e compute.orgFirewallPolicyUser per le policy del firewall gerarchiche. I ruoli precedenti continuano a funzionare, ma ti consigliamo di eseguire la migrazione ai nuovi ruoli il prima possibile.

Nell'esempio seguente, Joe può creare, modificare ed eliminare qualsiasi policy del firewall gerarchica nella cartella policies, ma non può collegare la policy del firewall gerarchica a una cartella perché non dispone del ruolo orgSecurityResourceAdmin in nessuna cartella.

Tuttavia, poiché Joe ha concesso a Mary le autorizzazioni per utilizzare policy-1, Mary può elencare e associare la policy del firewall gerarchica alla cartella dev-projects o a uno dei suoi discendenti. Il ruolo orgFirewallPolicyUser non concede l'autorizzazione per associare le policy alle cartelle; l'utente deve avere anche il ruolo orgSecurityResourceAdmin nella cartella di destinazione.

Esempio di policy-1
Esempio policy-1

Ruoli IAM per l'utilizzo delle policy del firewall di rete globale

I seguenti ruoli sono pertinenti alle policy del firewall di rete globale.

Nome ruolo Descrizione
Ruolo Compute Security Admin (roles/compute.securityAdmin) Può essere concesso a livello di progetto o di policy. Se concesso per un progetto, consente agli utenti di creare, aggiornare ed eliminare le policy del firewall di rete globale e le relative regole. A livello di policy, consente agli utenti di aggiornare le regole della policy, ma non di crearla o eliminarla. Questo ruolo consente inoltre agli utenti di associare una policy a una rete.
Ruolo Compute Network Admin (roles/compute.networkAdmin) Concesso a livello di progetto o di rete. Se concesso per una rete, consente agli utenti di visualizzare l'elenco delle policy del firewall di rete globale.
Ruolo Compute Viewer (roles/compute.viewer)

Ruolo Compute Network User (roles/compute.networkUser)

Ruolo Compute Network Viewer (roles/compute.networkViewer)

 Consente agli utenti di visualizzare le regole firewall applicate alla rete o all'istanza.
Include l'autorizzazione compute.networks.getEffectiveFirewalls per le reti e compute.instances.getEffectiveFirewalls per le istanze.