Control de acceso con la gestión de identidades y accesos

En esta página se describen los roles de Gestión de Identidades y Accesos (IAM) necesarios para configurar el Administrador de contextos de acceso.

Roles obligatorios

Nota: Los superadministradores tienen los permisos que proporcionan los roles de Administrador de contextos de acceso de forma predeterminada. Sin embargo, si quieres que el superadministrador pueda gestionar Access Context Manager mediante la Google Cloud consola, debes asignarle el rol Lector de la organización de Resource Manager.

En la siguiente tabla se indican los permisos y roles necesarios para crear y enumerar políticas de acceso:

Acción	Permisos y roles necesarios
Crear una política de acceso a nivel de organización o políticas con ámbito	Permiso: accesscontextmanager.policies.create Rol que proporciona el permiso: rol Editor del Administrador de contextos de acceso (roles/accesscontextmanager.policyEditor)
Mostrar una política de acceso a nivel de organización o políticas con ámbito	Permiso: accesscontextmanager.policies.list Roles que proporcionan el permiso: rol Editor del Administrador de contextos de acceso (roles/accesscontextmanager.policyEditor) Rol Lector del Administrador de contextos de acceso (roles/accesscontextmanager.policyReader)

Solo puedes crear, enumerar o delegar políticas con ámbito si tienes esos permisos a nivel de organización. Después de crear una política de ámbito, puedes conceder permiso para gestionar la política añadiendo enlaces de gestión de identidades y accesos a la política de ámbito.

Los permisos concedidos a nivel de organización se aplican a todas las políticas de acceso, incluida la política a nivel de organización y las políticas con ámbito.

Nota: Los permisos del Administrador de contextos de acceso concedidos en carpetas o proyectos no tienen ningún efecto en las políticas con ámbito, ya que los permisos solo se pueden conceder a nivel de organización o en políticas concretas. El control de acceso de las políticas con ámbito es independiente de los proyectos o las carpetas de sus ámbitos.

Los siguientes roles de gestión de identidades y accesos seleccionados proporcionan los permisos necesarios para ver o configurar niveles de acceso, o bien para conceder permisos a administradores delegados en políticas con ámbito mediante la herramienta de línea de comandos gcloud:

• Administrador de contextos de acceso: roles/accesscontextmanager.policyAdmin
• Editor del Administrador de contextos de acceso: roles/accesscontextmanager.policyEditor
• Lector del Administrador de contextos de acceso: roles/accesscontextmanager.policyReader

Además, para permitir que los usuarios gestionen Access Context Manager mediante laGoogle Cloud consolaroles/resourcemanager.organizationViewer, se necesita el rol Lector de la organización de Resource Manager (roles/resourcemanager.organizationViewer).

Nota: Los usuarios que sean propietarios de recursos de la organización podrían conocer los nombres de los niveles de acceso aunque no tengan los permisos necesarios. Por ejemplo, Identity-Aware Proxy genera un JWT con una reclamación google.accessLevels que contiene los nombres de los niveles de acceso que cumple la solicitud.

Para asignar una de estas funciones, usa la consola Google Cloud o la herramienta de línea de comandos gcloud:

El administrador permite el acceso de lectura y escritura

gcloud organizations add-iam-policy-binding ORGANIZATION_ID \
  --member="user:[e-mail]" \
  --role="roles/accesscontextmanager.policyAdmin"

El editor permite el acceso de lectura y escritura

gcloud organizations add-iam-policy-binding ORGANIZATION_ID \
  --member="user:[e-mail]" \
  --role="roles/accesscontextmanager.policyEditor"

Lector permite el acceso de solo lectura

gcloud organizations add-iam-policy-binding ORGANIZATION_ID \
  --member="user:[e-mail]" \
  --role="roles/accesscontextmanager.policyReader"

El rol Lector de la organización permite acceder a Controles de Servicio de VPC mediante la Google Cloud consola

gcloud organizations add-iam-policy-binding ORGANIZATION_ID \
  --member="user:[e-mail]" \
  --role="roles/resourcemanager.organizationViewer"

Siguientes pasos

• Introducción a Access Context Manager
• Crear una política de acceso