Cloud NGFW 역할 및 권한

이 페이지에는 Cloud NGFW의 모든 Identity and Access Management(IAM) 역할과 권한이 나와 있습니다.

Cloud NGFW의 IAM 역할 및 권한

검색창을 사용하여 특정 작업, 역할 또는 권한을 검색하거나 드롭다운 메뉴에서 작업 카테고리를 선택하여 목록을 필터링합니다.

작업 카테고리 작업 또는 능력 필요한 역할 필수 권한
계층식 방화벽 정책 새 계층식 방화벽 정책 만들기 정책이 있는 리소스의 Compute 조직 방화벽 정책 관리자 역할(roles/compute.orgFirewallPolicyAdmin)

자세한 내용은 계층식 방화벽 정책 사용을 위한 IAM 역할을 참조하세요.		 compute.firewallPolicies.create
정책을 리소스와 연결 다음 역할 집합 중 하나:
자세한 내용은 계층식 방화벽 정책 사용을 위한 IAM 역할을 참조하세요.		 compute.firewallPolicies.use
compute.organizations.setFirewallPolicy
정책 방화벽 규칙을 추가, 업데이트 또는 삭제하여 정책 수정 정책이 있는 리소스 또는 정책 자체의 Compute 조직 방화벽 정책 관리자 역할(roles/compute.orgFirewallPolicyAdmin)

자세한 내용은 계층식 방화벽 정책 사용을 위한 IAM 역할을 참조하세요.		 compute.firewallPolicies.update
정책 삭제 정책이 있는 리소스 또는 정책 자체의 Compute 조직 방화벽 정책 관리자 역할(roles/compute.orgFirewallPolicyAdmin)

자세한 내용은 계층식 방화벽 정책 사용을 위한 IAM 역할을 참조하세요.		 compute.firewallPolicies.delete
Virtual Private Cloud(VPC) 네트워크의 유효한 방화벽 규칙 보기 네트워크에 대한 다음 역할 중 하나:
자세한 내용은 계층식 방화벽 정책 사용을 위한 IAM 역할을 참조하세요.		 compute.networks.getEffectiveFirewalls
compute.networks.getRegionEffectiveFirewalls
네트워크에서 VM의 유효한 방화벽 규칙 보기 VM에 대한 다음 역할 중 하나:
자세한 내용은 계층식 방화벽 정책 사용을 위한 IAM 역할을 참조하세요.		 compute.instances.getEffectiveFirewalls
전역 네트워크 방화벽 정책 수 새 전역 네트워크 방화벽 정책 만들기 정책이 속한 프로젝트에 대한 Compute 보안 관리자 역할(roles/compute.securityAdmin)

자세한 내용은 전역 네트워크 방화벽 정책 사용을 위한 IAM 역할을 참조하세요.		 compute.firewallPolicies.create
정책을 네트워크에 연결 정책이 있는 프로젝트에 대한 Compute 네트워크 관리자 역할(roles/compute.networkAdmin)

자세한 내용은 전역 네트워크 방화벽 정책 사용을 위한 IAM 역할을 참조하세요.		 compute.firewallPolicies.use
compute.networks.setFirewallPolicy
정책 방화벽 규칙을 추가, 업데이트 또는 삭제하여 정책 수정 정책이 있는 프로젝트에 대한 Compute 보안 관리자 역할(roles/compute.securityAdmin)

자세한 내용은 전역 네트워크 방화벽 정책 사용을 위한 IAM 역할을 참조하세요.		 compute.firewallPolicies.update
정책 삭제 정책이 있는 프로젝트에 대한 Compute 보안 관리자 역할(roles/compute.securityAdmin)

자세한 내용은 전역 네트워크 방화벽 정책 사용을 위한 IAM 역할을 참조하세요.		 compute.firewallPolicies.delete
VPC 네트워크의 유효한 방화벽 규칙 보기 네트워크에 대한 다음 역할 중 하나:
자세한 내용은 전역 네트워크 방화벽 정책 사용을 위한 IAM 역할을 참조하세요.		 compute.networks.getEffectiveFirewalls
compute.networks.getRegionEffectiveFirewalls
네트워크에서 VM의 유효한 방화벽 규칙 보기 VM에 대한 다음 역할 중 하나:
자세한 내용은 전역 네트워크 방화벽 정책 사용을 위한 IAM 역할을 참조하세요.		 compute.instances.getEffectiveFirewalls
리전 네트워크 방화벽 정책 수 리전 네트워크 방화벽 정책을 만들고 관리하는 작업을 제어하는 IAM 역할 및 권한에 대한 자세한 내용은 리전 네트워크 방화벽 정책 및 규칙 만들기 및 리전 네트워크 방화벽 정책 관리를 참조하세요.
VPC 방화벽 규칙 VPC 방화벽 규칙 만들기 Compute 보안 관리자 역할
(roles/compute.securityAdmin)		 compute.firewalls.create
VPC 방화벽 규칙 수정 Compute 보안 관리자 역할
(roles/compute.securityAdmin)		 compute.firewalls.update
VPC 방화벽 규칙 목록 보기 Compute 네트워크 뷰어 역할
(roles/compute.networkViewer)		 compute.firewalls.list
VPC 방화벽 규칙 세부정보 보기 Compute 네트워크 뷰어 역할
(roles/compute.networkViewer)		 compute.firewalls.get
VPC 방화벽 규칙 삭제 Compute 보안 관리자 역할
(roles/compute.securityAdmin)		 compute.firewalls.delete
주소 그룹 주소 그룹 만들기 및 관리 Compute 네트워크 관리자 역할
(roles/compute.networkAdmin)		 networksecurity.addressGroups.*
주소 그룹 탐색 및 보기 Compute 네트워크 사용자 역할
(roles/compute.networkUser)		 networksecurity.addressGroups.list
networksecurity.addressGroups.get
networksecurity.addressGroups.use
보안 프로필 보안 프로필 만들기 다음 역할 중 하나: networksecurity.securityProfiles.create
보안 프로필 수정 다음 역할 중 하나: networksecurity.securityProfiles.update
보안 프로필 삭제 다음 역할 중 하나: networksecurity.securityProfiles.delete
조직 또는 프로젝트의 보안 프로필에 대한 세부정보 보기 다음 역할 중 하나: networksecurity.securityProfiles.get
조직 또는 프로젝트의 모든 보안 프로필 보기 다음 역할 중 하나: networksecurity.securityProfiles.list
보안 프로필 그룹에서 보안 프로필 사용 다음 역할 중 하나: networksecurity.securityProfiles.use
보안 프로필 그룹 보안 프로필 그룹 만들기 다음 역할 중 하나: networksecurity.securityProfileGroups.create
보안 프로필 그룹 수정 다음 역할 중 하나: networksecurity.securityProfileGroups.update
보안 프로필 그룹 삭제 다음 역할 중 하나: networksecurity.securityProfileGroups.delete
조직 및 프로젝트의 보안 프로필 그룹에 대한 세부정보 보기 다음 역할 중 하나: networksecurity.securityProfileGroups.get
조직 및 프로젝트의 모든 보안 프로필 그룹 보기 다음 역할 중 하나: networksecurity.securityProfileGroups.list
방화벽 정책 규칙에서 보안 프로필 그룹 사용 다음 역할 중 하나: networksecurity.securityProfileGroups.use
방화벽 엔드포인트 방화벽 엔드포인트 만들기 다음 역할 중 하나: networksecurity.firewallEndpoints.create
방화벽 엔드포인트 수정 다음 역할 중 하나: networksecurity.firewallEndpoints.update
방화벽 엔드포인트 삭제 다음 역할 중 하나: networksecurity.firewallEndpoints.delete
방화벽 엔드포인트 세부정보 보기 다음 역할 중 하나: networksecurity.firewallEndpoints.get
모든 방화벽 엔드포인트 보기 다음 역할 중 하나: networksecurity.firewallEndpoints.list
방화벽 엔드포인트 연결 방화벽 엔드포인트 연결 만들기 다음 역할 중 하나: 방화벽 엔드포인트가 생성된 조직 또는 프로젝트에 대한 networksecurity.firewallEndpointAssociations.create
networksecurity.firewallEndpoints.use 권한
방화벽 엔드포인트 연결 수정 다음 역할 중 하나: networksecurity.firewallEndpointAssociations.update
방화벽 엔드포인트 연결 삭제 다음 역할 중 하나: networksecurity.firewallEndpointAssociations.delete
방화벽 엔드포인트 연결 세부정보 보기 다음 역할 중 하나: networksecurity.firewallEndpointAssociations.get
모든 방화벽 엔드포인트 연결 보기 다음 역할 중 하나: networksecurity.firewallEndpointAssociations.list
보안 태그 보안 태그를 만들고 관리하는 데 필요한 IAM 역할 및 권한에 대한 자세한 내용은 리소스의 태그 관리를 참조하세요.
방화벽 정책 규칙 일괄 업데이트 계층적 방화벽 정책 규칙 내보내기 다음 역할 중 하나: compute.firewallPolicies.get
계층적 방화벽 정책 규칙 가져오기 다음 역할 중 하나: compute.firewallPolicies.update
전역 네트워크 방화벽 정책 규칙 내보내기 다음 역할 중 하나: compute.firewallPolicies.get
리전 네트워크 방화벽 정책 규칙 내보내기 다음 역할 중 하나: compute.regionFirewallPolicies.get
전역 네트워크 방화벽 정책 규칙 가져오기 다음 역할 중 하나: compute.firewallPolicies.update
리전 네트워크 방화벽 정책 규칙 가져오기 다음 역할 중 하나: compute.regionFirewallPolicies.update

계층식 방화벽 정책 사용을 위한 IAM 역할

다음 역할은 계층식 방화벽 정책과 관련이 있습니다.

역할 이름 설명
Compute 조직 방화벽 정책 관리자 역할 (roles/compute.orgFirewallPolicyAdmin) 리소스 또는 개별 정책에서 부여할 수 있습니다. 리소스에서 부여하면 사용자가 계층식 방화벽 정책과 해당 규칙을 생성, 업데이트, 삭제할 수 있습니다. 개별 정책에 부여하면 사용자가 정책 규칙을 업데이트할 수 있지만 정책을 만들거나 삭제할 수는 없습니다. 이 역할에서는 사용자에게 리소스의 compute.orgSecurityResourceAdmin 역할도 있다면 정책을 리소스에 연결할 수도 있습니다.
Compute 조직 리소스 관리자 역할(roles/compute.orgSecurityResourceAdmin) 조직 수준 또는 폴더에 부여된 폴더 수준 관리자는 정책을 해당 리소스에 연결할 수 있습니다. 또한 관리자는 정책을 소유한 리소스 또는 정책 자체에 대한 compute.orgFirewallPolicyUser 또는 compute.orgFirewallPolicyAdmin 역할이 있어야 정책을 사용할 수 있습니다.
Compute 조직 방화벽 정책 사용자 역할(roles/compute.orgFirewallPolicyUser) 리소스 또는 개별 정책에 부여된 관리자는 리소스와 연결된 개별 정책 또는 여러 정책을 사용할 수 있습니다. 또한 사용자가 이 리소스에 정책을 연결하려면 대상 리소스에 대한 compute.orgSecurityResourceAdmin 역할이 있어야 합니다.
Compute 보안 관리자 역할(roles/compute.securityAdmin)

Compute 뷰어 역할(roles/compute.viewer)

Compute 네트워크 사용자 역할(roles/compute.networkUser)

Compute 네트워크 뷰어 역할(roles/compute.networkViewer)
 사용자는 네트워크 또는 인스턴스에 적용된 방화벽 규칙을 볼 수 있습니다.
네트워크의 compute.networks.getEffectiveFirewalls 권한과 인스턴스의 compute.instances.getEffectiveFirewalls 권한이 포함됩니다.

참고: 계층식 방화벽 정책의 프리뷰 버전에서는 compute.orgSecurityPolicyAdmin 및 compute.orgSecurityPolicyUser IAM 역할을 사용했습니다. 이러한 역할은 계층식 방화벽 정책과 Google Cloud Armor의 권한을 결합했습니다. 이러한 권한을 분리하기 위해 계층식 방화벽 정책의 compute.orgFirewallPolicyAdmin 및 compute.orgFirewallPolicyUser 역할로 마이그레이션합니다. 이전 역할은 계속 작동하지만 가능한 한 빨리 새 역할로 마이그레이션하는 것이 좋습니다.

다음 예시에서 Joe는 policies 폴더에서 계층식 방화벽 정책을 만들고 수정하고 삭제할 수 있지만 폴더에 대한 orgSecurityResourceAdmin 역할이 없으므로 계층식 방화벽 정책을 폴더에 연결할 수 없습니다.

하지만 Joe가 Mary에게 policy-1 사용 권한을 부여했기 때문에 Mary는 이 계층식 방화벽 정책을 나열하고 dev-projects 폴더 또는 그 하위 항목과 연결할 수 있습니다. orgFirewallPolicyUser 역할은 정책을 폴더에 연결할 수 있는 권한을 부여하지 않습니다. 또한 사용자에게 대상 폴더에 대한 orgSecurityResourceAdmin 역할이 있어야 합니다.

policy-1 예시
policy-1 예시

전역 네트워크 방화벽 정책 사용을 위한 IAM 역할

다음 역할은 전역 네트워크 방화벽 정책과 관련이 있습니다.

역할 이름 설명
Compute 보안 관리자 역할(roles/compute.securityAdmin) 프로젝트 또는 정책 수준에서 부여할 수 있습니다. 프로젝트에 대한 권한이 부여된 사용자는 전역 네트워크 방화벽 정책 및 규칙을 생성, 업데이트, 삭제할 수 있습니다. 정책 수준에서 사용자가 정책 규칙을 업데이트할 수 있지만 정책을 만들거나 삭제할 수는 없습니다. 또한 이 역할에서는 사용자가 정책을 네트워크에 연결할 수 있습니다.
Compute 네트워크 관리자 역할(roles/compute.networkAdmin) 프로젝트 수준 또는 네트워크 수준에서 부여됩니다. 네트워크에 대한 권한이 부여된 사용자는 전역 네트워크 방화벽 정책 목록을 볼 수 있습니다.
Compute 뷰어 역할(roles/compute.viewer)

Compute 네트워크 사용자 역할(roles/compute.networkUser)

Compute 네트워크 뷰어 역할(roles/compute.networkViewer)

 사용자는 네트워크 또는 인스턴스에 적용된 방화벽 규칙을 볼 수 있습니다.
네트워크의 compute.networks.getEffectiveFirewalls 권한과 인스턴스의 compute.instances.getEffectiveFirewalls 권한이 포함됩니다.