Zugriffssteuerung mit IAM

Auf dieser Seite werden die IAM-Rollen (Identity and Access Management) beschrieben, die für die Konfiguration für Access Context Manager erforderlich sind.

Erforderliche Rollen

Hinweis: Super Admins haben die Berechtigungen, die mit den Rollen für Access Context Manager gewährt werden, standardmäßig. Wenn Sie jedoch möchten, dass der Super Admin Access Context Manager über die Google Cloud Console verwalten kann, müssen Sie dennoch die Rolle „Organization Viewer“ von Resource Manager zuweisen.

In der folgenden Tabelle sind die Berechtigungen und Rollen aufgeführt, die zum Erstellen und Auflisten von Zugriffsrichtlinien erforderlich sind:

Aktion	Erforderliche Berechtigungen und Rollen
Zugriffsrichtlinie oder Bereichsrichtlinien auf Organisationsebene erstellen	Berechtigung: accesscontextmanager.policies.create Rolle mit der Berechtigung: Rolle „Access Context Manager-Bearbeiter“ (roles/accesscontextmanager.policyEditor)
Zugriffsrichtlinie oder Bereichsrichtlinien auf Organisationsebene auflisten	Berechtigung: accesscontextmanager.policies.list Rollen mit der Berechtigung: Rolle „Access Context Manager-Bearbeiter“ (roles/accesscontextmanager.policyEditor) Rolle „Access Context Manager-Leser“ (roles/accesscontextmanager.policyReader)

Sie können bezogene Richtlinien nur erstellen, auflisten oder delegieren, wenn Sie diese Berechtigungen auf Organisationsebene haben. Nachdem Sie eine Bereichsrichtlinie erstellt haben, können Sie die Berechtigung zum Verwalten der Richtlinie erteilen, indem Sie IAM-Bindungen für die Bereichsrichtlinie hinzufügen.

Auf Organisationsebene gewährte Berechtigungen gelten für alle Zugriffsrichtlinien, einschließlich der Richtlinie auf Organisationsebene und aller Richtlinien mit Bereich.

Hinweis: Alle Access Context Manager-Berechtigungen, die für Ordner oder Projekte gewährt wurden, haben keine Auswirkungen auf Bereichsrichtlinien, da Berechtigungen nur auf Organisationsebene oder für einzelne Richtlinien gewährt werden können. Die Zugriffssteuerung für beschränkte Richtlinien ist unabhängig von den Projekten oder Ordnern in ihren Bereichen.

Die folgenden ausgewählten IAM-Rollen enthalten die erforderlichen Berechtigungen, um mit dem gcloud-Befehlszeilentool Zugriffsebenen anzusehen oder zu konfigurieren oder delegierten Administratoren Berechtigungen für Bereichsrichtlinien zu erteilen:

• Access Context Manager-Administrator: roles/accesscontextmanager.policyAdmin
• Access Context Manager-Bearbeiter: roles/accesscontextmanager.policyEditor
• Access Context Manager-Leser: roles/accesscontextmanager.policyReader

Damit Nutzer Access Context Manager über die Google Cloud Console verwalten können, ist außerdem die Rolle des Resource Manager-Organisationsbetrachters (roles/resourcemanager.organizationViewer) erforderlich.

Hinweis: Nutzer, die Ressourcen in der Organisation haben, können Zugriffsebenennamen auch ohne die erforderlichen Berechtigungen erfahren. Beispielsweise generiert Identity-Aware Proxy ein JWT mit der Anforderung google.accessLevels, die die Namen der Zugriffsebenen enthält, die von der Anfrage erfüllt werden.

Zum Zuweisen einer dieser Rollen können Sie die Google Cloud Console oder das gcloud-Befehlszeilentool verwenden:

Administrator mit Lese- und Schreibzugriff

gcloud organizations add-iam-policy-binding ORGANIZATION_ID \
  --member="user:[e-mail]" \
  --role="roles/accesscontextmanager.policyAdmin"

Bearbeiter mit Lese- und Schreibzugriff

gcloud organizations add-iam-policy-binding ORGANIZATION_ID \
  --member="user:[e-mail]" \
  --role="roles/accesscontextmanager.policyEditor"

Leser mit schreibgeschütztem Zugriff

gcloud organizations add-iam-policy-binding ORGANIZATION_ID \
  --member="user:[e-mail]" \
  --role="roles/accesscontextmanager.policyReader"

Organisationsbetrachter ermöglicht den Zugriff auf VPC Service Controls über die Google Cloud Console

gcloud organizations add-iam-policy-binding ORGANIZATION_ID \
  --member="user:[e-mail]" \
  --role="roles/resourcemanager.organizationViewer"

Nächste Schritte

• Übersicht über Access Context Manager
• Zugriffsrichtlinie erstellen