Cloud NGFW のロールと権限

このページでは、Cloud NGFW のすべての Identity and Access Management（IAM）のロールと権限を一覧表示します。

Cloud NGFW の IAM ロールと権限

検索バーを使用して特定のタスク、ロール、権限を検索するか、プルダウン メニューからタスクのカテゴリを選択してリストをフィルタします。

階層型ファイアウォール ポリシー グローバル ネットワーク ファイアウォール ポリシー リージョン ネットワーク ファイアウォール ポリシー VPC ファイアウォール ルール アドレス グループ セキュリティ プロファイル セキュリティ プロファイル グループ ファイアウォール エンドポイント ファイアウォール エンドポイントの関連付け セキュア タグ バッチ アップデート すべて選択 すべてクリア

タスクのカテゴリ	タスクまたは能力	必要なロール	必要な権限
階層型ファイアウォール ポリシー	新しい階層型ファイアウォール ポリシーを作成する	ポリシーが存在するリソースに対する Compute 組織ファイアウォール ポリシー管理者のロール（roles/compute.orgFirewallPolicyAdmin） 詳細については、階層型ファイアウォール ポリシーを使用するための IAM ロールをご覧ください。	compute.firewallPolicies.create
	ポリシーをリソースに関連付ける	次のいずれかのロールセット: ターゲット リソースに対する Compute 組織リソース管理者ロール（roles/compute.orgSecurityResourceAdmin）と、ポリシーが存在するリソースまたはポリシー自体に対する Compute 組織ファイアウォール ポリシー ユーザーロール（roles/compute.orgFirewallPolicyUser） ターゲット リソースに対する Compute 組織リソース管理者ロール（roles/compute.orgSecurityResourceAdmin）と、ポリシーが存在するリソースまたはポリシー自体に対する Compute 組織ファイアウォール ポリシー管理者ロール（roles/compute.orgFirewallPolicyAdmin） 詳細については、階層型ファイアウォール ポリシーを使用するための IAM ロールをご覧ください。	compute.firewallPolicies.use compute.organizations.setFirewallPolicy
	ポリシー ファイアウォール ルールを追加、更新、削除してポリシーを変更する	ポリシーが存在するリソースまたはポリシー自体に対する Compute 組織ファイアウォール ポリシー管理者のロール（roles/compute.orgFirewallPolicyAdmin） 詳細については、階層型ファイアウォール ポリシーを使用するための IAM ロールをご覧ください。	compute.firewallPolicies.update
	ポリシーを削除する	ポリシーが存在するリソースまたはポリシー自体に対する Compute 組織ファイアウォール ポリシー管理者のロール（roles/compute.orgFirewallPolicyAdmin） 詳細については、階層型ファイアウォール ポリシーを使用するための IAM ロールをご覧ください。	compute.firewallPolicies.delete
	Virtual Private Cloud（VPC）ネットワーク上で効力のあるファイアウォール ルールの表示	ネットワークに対する次のいずれかのロール。 Compute ネットワーク管理者のロール（roles/compute.networkAdmin） Compute ネットワーク ユーザーのロール（roles/compute.networkUser） Compute ネットワーク閲覧者のロール（roles/compute.networkViewer） Compute セキュリティ管理者のロール（roles/compute.securityAdmin） Compute 閲覧者のロール（roles/compute.viewer） 詳細については、階層型ファイアウォール ポリシーを使用するための IAM ロールをご覧ください。	compute.networks.getEffectiveFirewalls compute.networks.getRegionEffectiveFirewalls
	ネットワーク内の VM に対する有効なファイアウォール ルールの表示	VM に対する次のいずれかのロール: Compute インスタンス管理者ロール（roles/compute.instanceAdmin） インスタンス グループ マネージャー サービス エージェントのロール（roles/compute.instanceGroupManagerServiceAgent） Compute セキュリティ管理者のロール（roles/compute.securityAdmin） Compute 閲覧者のロール（roles/compute.viewer） 詳細については、階層型ファイアウォール ポリシーを使用するための IAM ロールをご覧ください。	compute.instances.getEffectiveFirewalls
グローバル ネットワーク ファイアウォール ポリシー	新しいグローバル ネットワーク ファイアウォール ポリシーを作成する	ポリシーが属するプロジェクトに対する Compute セキュリティ管理者のロール（roles/compute.securityAdmin） 詳細については、グローバル ネットワーク ファイアウォール ポリシーを使用するための IAM ロールをご覧ください。	compute.firewallPolicies.create
	ポリシーをネットワークに関連付ける	ポリシーが存在するプロジェクトに対する Compute ネットワーク管理者ロール（roles/compute.networkAdmin） 詳細については、グローバル ネットワーク ファイアウォール ポリシーを使用するための IAM ロールをご覧ください。	compute.firewallPolicies.use compute.networks.setFirewallPolicy
	ポリシー ファイアウォール ルールを追加、更新、削除してポリシーを変更する	ポリシーが存在するプロジェクトに対する Compute セキュリティ管理者ロール（roles/compute.securityAdmin） 詳細については、グローバル ネットワーク ファイアウォール ポリシーを使用するための IAM ロールをご覧ください。	compute.firewallPolicies.update
	ポリシーを削除する	ポリシーが存在するプロジェクトに対する Compute セキュリティ管理者ロール（roles/compute.securityAdmin） 詳細については、グローバル ネットワーク ファイアウォール ポリシーを使用するための IAM ロールをご覧ください。	compute.firewallPolicies.delete
	VPC ネットワーク上で効力のあるファイアウォール ルールの表示	ネットワークに対する次のいずれかのロール。 Compute ネットワーク管理者のロール（roles/compute.networkAdmin） Compute ネットワーク ユーザーのロール（roles/compute.networkUser） Compute ネットワーク閲覧者のロール（roles/compute.networkViewer） Compute セキュリティ管理者のロール（roles/compute.securityAdmin） Compute 閲覧者のロール（roles/compute.viewer） 詳細については、グローバル ネットワーク ファイアウォール ポリシーを使用するための IAM ロールをご覧ください。	compute.networks.getEffectiveFirewalls compute.networks.getRegionEffectiveFirewalls
	ネットワーク内の VM に対する有効なファイアウォール ルールの表示	VM に対する次のいずれかのロール: Compute インスタンス管理者ロール（roles/compute.instanceAdmin） インスタンス グループ マネージャー サービス エージェントのロール（roles/compute.instanceGroupManagerServiceAgent） Compute セキュリティ管理者のロール（roles/compute.securityAdmin） Compute 閲覧者のロール（roles/compute.viewer） 詳細については、グローバル ネットワーク ファイアウォール ポリシーを使用するための IAM ロールをご覧ください。	compute.instances.getEffectiveFirewalls
リージョン ネットワーク ファイアウォール ポリシー	リージョン ネットワーク ファイアウォール ポリシーを作成および管理するアクションを制御する IAM ロールと権限については、リージョン ネットワーク ファイアウォール ポリシーとルールを作成するとリージョン ネットワーク ファイアウォール ポリシーを管理するをご覧ください。
VPC ファイアウォール ルール	VPC ファイアウォール ルールを作成する	Compute セキュリティ管理者のロール （roles/compute.securityAdmin）	compute.firewalls.create
	VPC ファイアウォール ルールを変更する	Compute セキュリティ管理者のロール （roles/compute.securityAdmin）	compute.firewalls.update
	VPC ファイアウォール ルールのリストを表示する	Compute ネットワーク閲覧者のロール （roles/compute.networkViewer）	compute.firewalls.list
	VPC ファイアウォール ルールの詳細を表示する	Compute ネットワーク閲覧者のロール （roles/compute.networkViewer）	compute.firewalls.get
	VPC ファイアウォール ルールを削除する	Compute セキュリティ管理者のロール （roles/compute.securityAdmin）	compute.firewalls.delete
アドレス グループ	アドレス グループの作成と管理	Compute ネットワーク管理者のロール （roles/compute.networkAdmin）	networksecurity.addressGroups.*
	アドレス グループの検出と表示	Compute ネットワーク ユーザーのロール （roles/compute.networkUser）	networksecurity.addressGroups.list networksecurity.addressGroups.get networksecurity.addressGroups.use
セキュリティ プロファイル	セキュリティ プロファイルを作成する	次のいずれかのロール: Compute ネットワーク管理者のロール（roles/compute.networkAdmin） セキュリティ プロファイル管理者（ベータ版）ロール（roles/networksecurity.securityProfileAdmin）。組織レベルのセキュリティ プロファイルの場合は組織レベルで付与され、プロジェクト レベルのセキュリティ プロファイルの場合はプロジェクト レベルまたは組織レベルで付与されます。	networksecurity.securityProfiles.create
	セキュリティ プロファイルを変更する	次のいずれかのロール: Compute ネットワーク管理者のロール（roles/compute.networkAdmin） セキュリティ プロファイル管理者（ベータ版）ロール（roles/networksecurity.securityProfileAdmin）。組織レベルのセキュリティ プロファイルの場合は組織レベルで付与され、プロジェクト レベルのセキュリティ プロファイルの場合はプロジェクト レベルまたは組織レベルで付与されます。	networksecurity.securityProfiles.update
	セキュリティ プロファイルを削除する	次のいずれかのロール: Compute ネットワーク管理者のロール（roles/compute.networkAdmin） セキュリティ プロファイル管理者（ベータ版）ロール（roles/networksecurity.securityProfileAdmin）。組織レベルのセキュリティ プロファイルの場合は組織レベルで付与され、プロジェクト レベルのセキュリティ プロファイルの場合はプロジェクト レベルまたは組織レベルで付与されます。	networksecurity.securityProfiles.delete
	組織またはプロジェクトのセキュリティ プロファイルの詳細を表示する	次のいずれかのロール: Compute ネットワーク管理者のロール（roles/compute.networkAdmin） セキュリティ プロファイル管理者（ベータ版）ロール（roles/networksecurity.securityProfileAdmin）。組織レベルのセキュリティ プロファイルの場合は組織レベルで付与され、プロジェクト レベルのセキュリティ プロファイルの場合はプロジェクト レベルまたは組織レベルで付与されます。 Compute ネットワーク ユーザーのロール（roles/compute.networkUser） Compute ネットワーク閲覧者のロール（roles/compute.networkViewer）	networksecurity.securityProfiles.get
	組織またはプロジェクト内のすべてのセキュリティ プロファイルを表示する	次のいずれかのロール: Compute ネットワーク管理者のロール（roles/compute.networkAdmin） セキュリティ プロファイル管理者（ベータ版）ロール（roles/networksecurity.securityProfileAdmin）。組織レベルのセキュリティ プロファイルの場合は組織レベルで付与され、プロジェクト レベルのセキュリティ プロファイルの場合はプロジェクト レベルまたは組織レベルで付与されます。 Compute ネットワーク ユーザーのロール（roles/compute.networkUser） Compute ネットワーク閲覧者のロール（roles/compute.networkViewer）	networksecurity.securityProfiles.list
	セキュリティ プロファイル グループでセキュリティ プロファイルを使用する	次のいずれかのロール: Compute ネットワーク管理者のロール（roles/compute.networkAdmin） セキュリティ プロファイル管理者（ベータ版）ロール（roles/networksecurity.securityProfileAdmin）。組織レベルのセキュリティ プロファイルの場合は組織レベルで付与され、プロジェクト レベルのセキュリティ プロファイルの場合はプロジェクト レベルまたは組織レベルで付与されます。 Compute ネットワーク ユーザーのロール（roles/compute.networkUser）	networksecurity.securityProfiles.use
セキュリティ プロファイル グループ	セキュリティ プロファイル グループを作成する	次のいずれかのロール: Compute ネットワーク管理者のロール（roles/compute.networkAdmin） セキュリティ プロファイル管理者（ベータ版）ロール（roles/networksecurity.securityProfileAdmin）。組織レベルのセキュリティ プロファイル グループの場合は組織レベルで付与され、プロジェクト レベルのセキュリティ プロファイル グループの場合はプロジェクト レベルまたは組織レベルで付与されます。	networksecurity.securityProfileGroups.create
	セキュリティ プロファイル グループを変更する	次のいずれかのロール: Compute ネットワーク管理者のロール（roles/compute.networkAdmin） セキュリティ プロファイル管理者（ベータ版）ロール（roles/networksecurity.securityProfileAdmin）。組織レベルのセキュリティ プロファイル グループの場合は組織レベルで付与され、プロジェクト レベルのセキュリティ プロファイル グループの場合はプロジェクト レベルまたは組織レベルで付与されます。	networksecurity.securityProfileGroups.update
	セキュリティ プロファイル グループを削除する	次のいずれかのロール: Compute ネットワーク管理者のロール（roles/compute.networkAdmin） セキュリティ プロファイル管理者（ベータ版）ロール（roles/networksecurity.securityProfileAdmin）。組織レベルのセキュリティ プロファイル グループの場合は組織レベルで付与され、プロジェクト レベルのセキュリティ プロファイル グループの場合はプロジェクト レベルまたは組織レベルで付与されます。	networksecurity.securityProfileGroups.delete
	組織とプロジェクトのセキュリティ プロファイル グループの詳細を表示する	次のいずれかのロール: Compute ネットワーク管理者のロール（roles/compute.networkAdmin） セキュリティ プロファイル管理者（ベータ版）ロール（roles/networksecurity.securityProfileAdmin）。組織レベルのセキュリティ プロファイル グループの場合は組織レベルで付与され、プロジェクト レベルのセキュリティ プロファイル グループの場合はプロジェクト レベルまたは組織レベルで付与されます。 Compute ネットワーク ユーザーのロール（roles/compute.networkUser） Compute ネットワーク閲覧者のロール（roles/compute.networkViewer）	networksecurity.securityProfileGroups.get
	組織とプロジェクト内のすべてのセキュリティ プロファイル グループを表示する	次のいずれかのロール: Compute ネットワーク管理者のロール（roles/compute.networkAdmin） セキュリティ プロファイル管理者（ベータ版）ロール（roles/networksecurity.securityProfileAdmin）。組織レベルのセキュリティ プロファイル グループの場合は組織レベルで付与され、プロジェクト レベルのセキュリティ プロファイル グループの場合はプロジェクト レベルまたは組織レベルで付与されます。 Compute ネットワーク ユーザーのロール（roles/compute.networkUser） Compute ネットワーク閲覧者のロール（roles/compute.networkViewer）	networksecurity.securityProfileGroups.list
	ファイアウォール ポリシー ルールでセキュリティ プロファイル グループを使用する	次のいずれかのロール: Compute ネットワーク管理者のロール（roles/compute.networkAdmin） セキュリティ プロファイル管理者（ベータ版）ロール（roles/networksecurity.securityProfileAdmin）。組織レベルのセキュリティ プロファイル グループの場合は組織レベルで付与され、プロジェクト レベルのセキュリティ プロファイル グループの場合はプロジェクト レベルまたは組織レベルで付与されます。 Compute ネットワーク ユーザーのロール（roles/compute.networkUser）	networksecurity.securityProfileGroups.use
ファイアウォール エンドポイント	ファイアウォール エンドポイントを作成する	次のいずれかのロール: Compute ネットワーク管理者のロール（roles/compute.networkAdmin） ファイアウォール エンドポイント管理者（ベータ版）ロール（roles/networksecurity.firewallEndpointAdmin）。組織レベルのファイアウォール エンドポイントの場合は組織レベルで付与され、プロジェクト レベルのファイアウォール エンドポイントの場合はプロジェクト レベルまたは組織レベルで付与されます。	networksecurity.firewallEndpoints.create
	ファイアウォール エンドポイントを変更する	次のいずれかのロール: Compute ネットワーク管理者のロール（roles/compute.networkAdmin） ファイアウォール エンドポイント管理者（ベータ版）ロール（roles/networksecurity.firewallEndpointAdmin）。組織レベルのファイアウォール エンドポイントの場合は組織レベルで付与され、プロジェクト レベルのファイアウォール エンドポイントの場合はプロジェクト レベルまたは組織レベルで付与されます。	networksecurity.firewallEndpoints.update
	ファイアウォール エンドポイントを削除する	次のいずれかのロール: Compute ネットワーク管理者のロール（roles/compute.networkAdmin） ファイアウォール エンドポイント管理者（ベータ版）ロール（roles/networksecurity.firewallEndpointAdmin）。組織レベルのファイアウォール エンドポイントの場合は組織レベルで付与され、プロジェクト レベルのファイアウォール エンドポイントの場合はプロジェクト レベルまたは組織レベルで付与されます。	networksecurity.firewallEndpoints.delete
	ファイアウォール エンドポイントの詳細を表示する	次のいずれかのロール: Compute ネットワーク管理者のロール（roles/compute.networkAdmin） ファイアウォール エンドポイント管理者（ベータ版）ロール（roles/networksecurity.firewallEndpointAdmin）。組織レベルのファイアウォール エンドポイントの場合は組織レベルで付与され、プロジェクト レベルのファイアウォール エンドポイントの場合はプロジェクト レベルまたは組織レベルで付与されます。 Compute ネットワーク ユーザーのロール（roles/compute.networkUser） Compute ネットワーク閲覧者のロール（roles/compute.networkViewer）	networksecurity.firewallEndpoints.get
	すべてのファイアウォール エンドポイントを表示する	次のいずれかのロール: Compute ネットワーク管理者のロール（roles/compute.networkAdmin） ファイアウォール エンドポイント管理者（ベータ版）ロール（roles/networksecurity.firewallEndpointAdmin）。組織レベルのファイアウォール エンドポイントの場合は組織レベルで付与され、プロジェクト レベルのファイアウォール エンドポイントの場合はプロジェクト レベルまたは組織レベルで付与されます。 Compute ネットワーク ユーザーのロール（roles/compute.networkUser） Compute ネットワーク閲覧者のロール（roles/compute.networkViewer）	networksecurity.firewallEndpoints.list
ファイアウォール エンドポイントの関連付け	ファイアウォール エンドポイントの関連付けの作成	次のいずれかのロール: Compute ネットワーク管理者のロール（roles/compute.networkAdmin） ファイアウォール エンドポイント管理者（ベータ版）ロール（roles/networksecurity.firewallEndpointAdmin）。組織レベルのファイアウォール エンドポイントの関連付けの場合は組織レベルで付与され、プロジェクト レベルのファイアウォール エンドポイントの関連付けの場合はプロジェクト レベルまたは組織レベルで付与されます。 Compute ネットワーク ユーザーのロール（roles/compute.networkUser）	ファイアウォール エンドポイントが作成される組織またはプロジェクトに対する networksecurity.firewallEndpointAssociations.create networksecurity.firewallEndpoints.use
	ファイアウォール エンドポイントの関連付けを変更する	次のいずれかのロール: Compute ネットワーク管理者のロール（roles/compute.networkAdmin） ファイアウォール エンドポイント管理者（ベータ版）ロール（roles/networksecurity.firewallEndpointAdmin）。組織レベルのファイアウォール エンドポイントの関連付けの場合は組織レベルで付与され、プロジェクト レベルのファイアウォール エンドポイントの関連付けの場合はプロジェクト レベルまたは組織レベルで付与されます。	networksecurity.firewallEndpointAssociations.update
	ファイアウォール エンドポイントの関連付けを削除する	次のいずれかのロール: Compute ネットワーク管理者のロール（roles/compute.networkAdmin） ファイアウォール エンドポイント管理者（ベータ版）ロール（roles/networksecurity.firewallEndpointAdmin）。組織レベルのファイアウォール エンドポイントの関連付けの場合は組織レベルで付与され、プロジェクト レベルのファイアウォール エンドポイントの関連付けの場合はプロジェクト レベルまたは組織レベルで付与されます。	networksecurity.firewallEndpointAssociations.delete
	ファイアウォール エンドポイントの関連付けの詳細を表示する	次のいずれかのロール: Compute ネットワーク管理者のロール（roles/compute.networkAdmin） ファイアウォール エンドポイント管理者（ベータ版）ロール（roles/networksecurity.firewallEndpointAdmin）。組織レベルのファイアウォール エンドポイントの関連付けの場合は組織レベルで付与され、プロジェクト レベルのファイアウォール エンドポイントの関連付けの場合はプロジェクト レベルまたは組織レベルで付与されます。 Compute ネットワーク ユーザーのロール（roles/compute.networkUser） Compute ネットワーク閲覧者のロール（roles/compute.networkViewer）	networksecurity.firewallEndpointAssociations.get
	すべてのファイアウォール エンドポイントの関連付けを表示する	次のいずれかのロール: Compute ネットワーク管理者のロール（roles/compute.networkAdmin） ファイアウォール エンドポイント管理者（ベータ版）ロール（roles/networksecurity.firewallEndpointAdmin）。組織レベルのファイアウォール エンドポイントの関連付けの場合は組織レベルで付与され、プロジェクト レベルのファイアウォール エンドポイントの関連付けの場合はプロジェクト レベルまたは組織レベルで付与されます。 Compute ネットワーク ユーザーのロール（roles/compute.networkUser） Compute ネットワーク閲覧者のロール（roles/compute.networkViewer）	networksecurity.firewallEndpointAssociations.list
セキュア タグ	セキュアタグの作成と管理に必要な IAM ロールと権限については、リソースのタグを管理するをご覧ください。
ファイアウォール ポリシールールのバッチ アップデート	階層型ファイアウォール ポリシールールをエクスポートする	次のいずれかのロール: Compute 組織ファイアウォール ポリシー管理者ロール（roles/compute.orgFirewallPolicyAdmin） Compute 組織ファイアウォール ポリシー ユーザーロール（roles/compute.orgFirewallPolicyUser）	compute.firewallPolicies.get
	階層型ファイアウォール ポリシー ルールをインポートする	次のいずれかのロール: Compute 組織ファイアウォール ポリシー管理者ロール（roles/compute.orgFirewallPolicyAdmin） Compute 組織ファイアウォール ポリシー ユーザーロール（roles/compute.orgFirewallPolicyUser）	compute.firewallPolicies.update
	グローバル ネットワーク ファイアウォール ポリシールールをエクスポートする	次のいずれかのロール: Compute セキュリティ管理者のロール（roles/compute.securityAdmin） Compute ネットワーク管理者のロール（roles/compute.networkAdmin）	compute.firewallPolicies.get
	リージョン ネットワーク ファイアウォール ポリシールールをエクスポートする	次のいずれかのロール: Compute セキュリティ管理者のロール（roles/compute.securityAdmin） Compute ネットワーク管理者のロール（roles/compute.networkAdmin）	compute.regionFirewallPolicies.get
	グローバル ネットワーク ファイアウォール ポリシー ルールをインポートする	次のいずれかのロール: Compute セキュリティ管理者のロール（roles/compute.securityAdmin） Compute ネットワーク管理者のロール（roles/compute.networkAdmin）	compute.firewallPolicies.update
	リージョン ネットワーク ファイアウォール ポリシー ルールをインポートする	次のいずれかのロール: Compute セキュリティ管理者のロール（roles/compute.securityAdmin） Compute ネットワーク管理者のロール（roles/compute.networkAdmin）	compute.regionFirewallPolicies.update

階層型ファイアウォール ポリシーを使用するための IAM ロール

次のロールは、階層型ファイアウォール ポリシーに関連しています。

ロール名	説明
Compute 組織ファイアウォール ポリシー管理者ロール（roles/compute.orgFirewallPolicyAdmin）	リソースまたは個々のポリシーに付与できます。リソースに付与されている場合、ユーザーは階層型のファイアウォール ポリシーとルールの作成、更新、削除を行うことができます。個々のポリシーに付与されている場合、ユーザーはポリシールールを更新できますが、ポリシーを作成または削除することはできません。また、このロールを付与すると、そのリソースに対して compute.orgSecurityResourceAdmin ロールも付与されていれば、ユーザーはそのポリシーをリソースに関連付けることができます。
コンピューティング組織リソース管理者ロール（roles/compute.orgSecurityResourceAdmin）	組織レベルまたはフォルダに対して付与することによって、フォルダレベルの管理者がそのリソースにポリシーを関連付けることができます。管理者には、ポリシーを所有するリソースまたはポリシー自体に対して、compute.orgFirewallPolicyUser ロールまたは compute.orgFirewallPolicyAdmin ロールが付与されている必要があります。
Compute 組織ファイアウォール ポリシー ユーザーロール（roles/compute.orgFirewallPolicyUser）	リソースまたは個々のポリシーに対して付与することによって、管理者は、リソースに関連付けられた個々のポリシーまたはポリシーを利用することができます。ポリシーをそのリソースに関連付けるには、ユーザーにターゲット リソースに対する compute.orgSecurityResourceAdmin ロールが付与されている必要があります。
Compute セキュリティ管理者のロール（roles/compute.securityAdmin） Compute 閲覧者のロール（roles/compute.viewer） Compute ネットワーク ユーザーのロール（roles/compute.networkUser） Compute ネットワーク閲覧者のロール（roles/compute.networkViewer）	ユーザーがネットワークまたはインスタンスに適用されているファイアウォール ルールを表示できるようにします。 ネットワークの compute.networks.getEffectiveFirewalls 権限とインスタンスの compute.instances.getEffectiveFirewalls 権限が含まれます。

注: 階層型ファイアウォール ポリシーのプレビュー リリースでは、compute.orgSecurityPolicyAdmin と compute.orgSecurityPolicyUser の IAM ロールが使用されていました。これらのロールは、階層型ファイアウォール ポリシーと Google Cloud Armor の権限を組み合わせたものです。これらの権限を分離するために、階層型ファイアウォール ポリシーに適用される compute.orgFirewallPolicyAdmin ロールと compute.orgFirewallPolicyUser ロールに移行します。以前のロールは引き続き機能しますが、できるだけ早く新しいロールに移行することをおすすめします。

次の例では、Joe は policies フォルダ内の階層型ファイアウォール ポリシーを作成、変更、削除できますが、フォルダに対する orgSecurityResourceAdmin のロールが付与されていないことから、階層型ファイアウォール ポリシーをフォルダに接続できません。

ただし、Joe が policy-1 を使用する権限を Mary に付与したため、その階層型ファイアウォール ポリシーを一覧表示し、dev-projects フォルダまたはその子と関連付けることができます。orgFirewallPolicyUser ロールでは、ポリシーをフォルダに関連付ける権限は付与されません。また、ユーザーにはターゲット フォルダに対する orgSecurityResourceAdmin ロールも付与されている必要があります。

policy-1 の例

グローバル ネットワーク ファイアウォール ポリシーを使用するための IAM ロール

次のロールは、グローバル ネットワーク ファイアウォール ポリシーに関連しています。

ロール名	説明
Compute セキュリティ管理者のロール（roles/compute.securityAdmin）	（プロジェクト レベルまたはリソースレベルで付与可能）プロジェクトに付与した場合、ユーザーはグローバル ネットワーク ファイアウォール ポリシーやルールを作成、更新、削除できます。ポリシーレベルでは、ユーザーはポリシールールを更新できますが、ポリシーの作成または削除はできません。このロールが付与されたユーザーは、ポリシーをネットワークに関連付けることもできます。
Compute ネットワーク管理者のロール（roles/compute.networkAdmin）	プロジェクト レベルまたはネットワーク レベルで付与。ネットワークに対して付与されている場合、ユーザーはグローバル ネットワーク ファイアウォール ポリシーのリストを表示できます。
Compute 閲覧者ロール（roles/compute.viewer） Compute ネットワーク ユーザー ロール（roles/compute.networkUser） Compute ネットワーク閲覧者ロール（roles/compute.networkViewer）	ユーザーがネットワークまたはインスタンスに適用されているファイアウォール ルールを表示できるようにします。 ネットワークの compute.networks.getEffectiveFirewalls 権限とインスタンスの compute.instances.getEffectiveFirewalls 権限が含まれます。