Contrôle des accès avec IAM

Restez organisé à l'aide des collections Enregistrez et classez les contenus selon vos préférences.

Cette page décrit les rôles de gestion de l'authentification et des accès (IAM) requis pour la configuration d'Access Context Manager.

Rôles requis

Le tableau suivant répertorie les autorisations et les rôles requis pour créer et répertorier des règles d'accès :

Action Autorisations et rôles requis
Créer des règles limitées ou une règle d'accès au niveau de l'organisation

Autorisation : accesscontextmanager.policies.create

Rôle qui fournit l'autorisation: rôle Éditeur Access Context Manager (roles/accesscontextmanager.policyEditor)

Répertorier des règles limitées ou une règle d'accès au niveau de l'organisation

Autorisation : accesscontextmanager.policies.list

Rôles accordant l'autorisation: rôle Éditeur Access Context Manager (roles/accesscontextmanager.policyEditor)

Rôle de lecteur Access Context Manager (roles/accesscontextmanager.policyReader)

Vous ne pouvez créer, répertorier ou déléguer des règles appliquées que si vous disposez de ces autorisations au niveau de l'organisation. Après avoir créé une règle limitée, vous pouvez autoriser sa gestion en ajoutant des liaisons IAM à la règle limitée.

Les autorisations accordées au niveau de l'organisation s'appliquent à toutes les règles d'accès, y compris à la règle au niveau de l'organisation et à toutes les règles limitées.

Les rôles IAM organisés suivants fournissent les autorisations nécessaires pour afficher ou configurer les niveaux d'accès ou accorder des autorisations aux administrateurs délégués sur des stratégies couvertes à l'aide de l'outil de ligne de commande gcloud:

  • Administrateur Access Context Manager : roles/accesscontextmanager.policyAdmin
  • Éditeur Access Context Manager : roles/accesscontextmanager.policyEditor
  • Lecteur Access Context Manager : roles/accesscontextmanager.policyReader

En outre, pour permettre à vos utilisateurs de gérer Access Context Manager à l'aide de Google Cloud Console, vous devez disposer du rôle Lecteur d'organisation Resource Manager (roles/resourcemanager.organizationViewer).

Pour attribuer l'un de ces rôles, utilisez Google Cloud Console ou l'outil de ligne de commande gcloud:

Le rôle Administrateur autorise un accès en lecture/écriture

gcloud organizations add-iam-policy-binding ORGANIZATION_ID \
  --member="user:example@customer.org" \
  --role="roles/accesscontextmanager.policyAdmin"

Le rôle Éditeur autorise un accès en lecture-écriture

gcloud organizations add-iam-policy-binding ORGANIZATION_ID \
  --member="user:example@customer.org" \
  --role="roles/accesscontextmanager.policyEditor"

Le rôle Lecteur autorise un accès en lecture seule

gcloud organizations add-iam-policy-binding ORGANIZATION_ID \
  --member="user:example@customer.org" \
  --role="roles/accesscontextmanager.policyReader"

Le lecteur d'organisation autorise l'accès à VPC Service Controls à l'aide de la console Google Cloud

gcloud organizations add-iam-policy-binding ORGANIZATION_ID \
  --member="user:example@customer.org" \
  --role="roles/resourcemanager.organizationViewer"

Étapes suivantes