Zugriffssteuerung mit IAM

Auf dieser Seite werden die IAM-Rollen (Identity and Access Management) beschrieben, die für die Konfiguration für Access Context Manager erforderlich sind.

Erforderliche Rollen

Hinweis: Super Admins haben die Berechtigungen, die mit den Rollen für Access Context Manager gewährt werden, standardmäßig. Wenn Sie jedoch die Super- um Access Context Manager über die Google Cloud Console zu verwalten, Sie müssen trotzdem die Resource Manager-Rolle „Organization Viewer“ zuweisen.

In der folgenden Tabelle sind die Berechtigungen und Rollen aufgeführt, die zum Erstellen und Auflisten von Zugriffsrichtlinien erforderlich sind:

Aktion	Erforderliche Berechtigungen und Rollen
Zugriffsrichtlinie oder Bereichsrichtlinien auf Organisationsebene erstellen	Berechtigung: accesscontextmanager.policies.create Rolle mit der Berechtigung: Rolle „Access Context Manager-Bearbeiter“ (roles/accesscontextmanager.policyEditor)
Zugriffsrichtlinie oder Bereichsrichtlinien auf Organisationsebene auflisten	Berechtigung: accesscontextmanager.policies.list Rollen mit der Berechtigung: Rolle „Access Context Manager-Bearbeiter“ (roles/accesscontextmanager.policyEditor) Rolle „Access Context Manager-Leser“ (roles/accesscontextmanager.policyReader)

Sie können Richtlinien mit begrenztem Umfang nur erstellen, auflisten oder delegieren, wenn Sie diese Berechtigungen auf Organisationsebene haben. Nachdem Sie eine Bereichsrichtlinie erstellt haben, können Sie die Berechtigung zum Verwalten der Richtlinie erteilen, indem Sie IAM-Bindungen für die Bereichsrichtlinie hinzufügen.

Auf Organisationsebene gewährte Berechtigungen gelten für alle Zugriffsrichtlinien, einschließlich der Richtlinie auf Organisationsebene und aller Richtlinien mit Bereich.

Hinweis: Alle Access Context Manager-Berechtigungen, die für Ordner oder Projekte gewährt wurden, haben keine Auswirkungen auf Bereichsrichtlinien, da Berechtigungen nur auf Organisationsebene oder für einzelne Richtlinien erteilt werden können. Die Zugriffssteuerung für beschränkte Richtlinien ist unabhängig von den Projekten oder Ordnern in ihren Bereichen.

Die folgenden ausgewählten IAM-Rollen bieten die erforderlichen Berechtigungen Hier können Sie Zugriffsebenen ansehen oder konfigurieren oder delegierten Administratoren Berechtigungen erteilen. für bereichsspezifische Richtlinien mit dem gcloud-Befehlszeilentool:

• Access Context Manager-Administrator: roles/accesscontextmanager.policyAdmin
• Access Context Manager-Bearbeiter: roles/accesscontextmanager.policyEditor
• Access Context Manager-Leser: roles/accesscontextmanager.policyReader

Damit Ihre Nutzer Access Context Manager mithilfe der Google Cloud Console, Resource Manager-Organisationsbetrachter Rolle (roles/resourcemanager.organizationViewer) ist erforderlich.

Hinweis: Nutzer, die Ressourcen in der Organisation haben, können Zugriffsebenennamen auch ohne die erforderlichen Berechtigungen erfahren. Beispielsweise generiert Identity-Aware Proxy ein JWT mit der Anforderung google.accessLevels, die die Namen der Zugriffsebenen enthält, die von der Anfrage erfüllt werden.

Zum Zuweisen einer dieser Rollen können Sie die Google Cloud Console oder das gcloud-Befehlszeilentool verwenden:

Administrator mit Lese- und Schreibzugriff

gcloud organizations add-iam-policy-binding ORGANIZATION_ID \
  --member="user:[e-mail]" \
  --role="roles/accesscontextmanager.policyAdmin"

Bearbeiter mit Lese- und Schreibzugriff

gcloud organizations add-iam-policy-binding ORGANIZATION_ID \
  --member="user:[e-mail]" \
  --role="roles/accesscontextmanager.policyEditor"

Leser mit schreibgeschütztem Zugriff

gcloud organizations add-iam-policy-binding ORGANIZATION_ID \
  --member="user:[e-mail]" \
  --role="roles/accesscontextmanager.policyReader"

Organisationsbetrachter mit Zugriff auf VPC Service Controls über die Google Cloud Console

gcloud organizations add-iam-policy-binding ORGANIZATION_ID \
  --member="user:[e-mail]" \
  --role="roles/resourcemanager.organizationViewer"

Nächste Schritte

• Access Context Manager – Übersicht
• Zugriffsrichtlinie erstellen