Contrôle des accès avec IAM

Cette page décrit les rôles de gestion de l'authentification et des accès (IAM) requis pour la configuration d'Access Context Manager.

Rôles requis

Remarque : les super-administrateurs bénéficient des autorisations associées aux rôles par défaut d'Access Context Manager. Toutefois, si vous souhaitez de gérer Access Context Manager à l'aide de la console Google Cloud, vous devez quand même attribuer le rôle Lecteur d'organisation Resource Manager.

Le tableau suivant répertorie les autorisations et les rôles requis pour créer et répertorier des règles d'accès :

Action	Autorisations et rôles requis
Créer des règles limitées ou une règle d'accès au niveau de l'organisation	Autorisation : accesscontextmanager.policies.create Rôle fournissant l'autorisation: rôle Éditeur Access Context Manager (roles/accesscontextmanager.policyEditor)
Répertorier des règles limitées ou une règle d'accès au niveau de l'organisation	Autorisation : accesscontextmanager.policies.list Rôle fournissant l'autorisation: rôle Éditeur Access Context Manager (roles/accesscontextmanager.policyEditor) Rôle de lecteur Access Context Manager (roles/accesscontextmanager.policyReader)

Vous ne pouvez créer, répertorier ou déléguer des règles limitées que si vous disposez de ces autorisations au niveau de l'organisation. Après avoir créé une règle limitée, vous pouvez autoriser sa gestion en ajoutant des liaisons IAM à la règle limitée.

Les autorisations accordées au niveau de l'organisation s'appliquent à toutes les règles d'accès, y compris à la règle au niveau de l'organisation et à toutes les règles limitées.

Remarque :Aucune des autorisations Access Context Manager accordées sur des dossiers ou des projets n'est sur les stratégies délimitées, car les autorisations ne peuvent être accordées qu'au niveau de l'organisation ou sur des stratégies individuelles. Le contrôle des accès aux règles limitées est indépendant des projets ou dossiers dans leur niveau d'accès.

Les rôles IAM organisés suivants fournissent les autorisations nécessaires d'afficher ou de configurer des niveaux d'accès ou d'accorder des autorisations aux administrateurs délégués sur les règles délimitées à l'aide de l'outil de ligne de commande gcloud:

• Administrateur Access Context Manager : roles/accesscontextmanager.policyAdmin
• Éditeur Access Context Manager : roles/accesscontextmanager.policyEditor
• Lecteur Access Context Manager : roles/accesscontextmanager.policyReader

En outre, pour permettre à vos utilisateurs de gérer Access Context Manager à l'aide de la console Google Cloud, vous devez leur accorder le rôle Lecteur d'organisation Resource Manager (roles/resourcemanager.organizationViewer).

Remarque : Les utilisateurs possédant des ressources dans l'organisation peuvent apprendre les noms des niveaux d'accès, même sans les autorisations requises. Par exemple, Identity-Aware Proxy génère un jeton JWT avec une revendication google.accessLevels contenant les noms des niveaux d'accès satisfaits par la requête.

Pour attribuer l'un de ces rôles, utilisez la console Google Cloud ou Utilisez l'outil de ligne de commande gcloud:

Le rôle Administrateur autorise un accès en lecture/écriture

gcloud organizations add-iam-policy-binding ORGANIZATION_ID \
  --member="user:[e-mail]" \
  --role="roles/accesscontextmanager.policyAdmin"

Le rôle Éditeur autorise un accès en lecture-écriture

gcloud organizations add-iam-policy-binding ORGANIZATION_ID \
  --member="user:[e-mail]" \
  --role="roles/accesscontextmanager.policyEditor"

Le rôle Lecteur autorise un accès en lecture seule

gcloud organizations add-iam-policy-binding ORGANIZATION_ID \
  --member="user:[e-mail]" \
  --role="roles/accesscontextmanager.policyReader"

Le rôle Lecteur d'organisation permet d'accéder à VPC Service Controls à l'aide de la console Google Cloud

gcloud organizations add-iam-policy-binding ORGANIZATION_ID \
  --member="user:[e-mail]" \
  --role="roles/resourcemanager.organizationViewer"

Étape suivante

• Présentation d'Access Context Manager
• Créer une règle d'accès