Zugriffssteuerung mit IAM

Artefaktanalyse verwendet Identity and Access Management (IAM), um den Zugriff auf bestimmte Ressourcen genau zu steuern, je nachdem, welche Aufgabe Sie ausführen möchten.

Auf dieser Seite werden Berechtigungen zum Steuern des Zugriffs auf die Artefaktanalyse beschrieben.

Hinweise

1. Weitere Informationen zu Speicherkonzepten für Metadaten
2. Lesen Sie, wie Sie den Zugriff auf Ressourcen gewähren, widerrufen und ändern können.

IAM-Rollen für Metadatenanbieter und ‑kunden

Die Metadatenverwaltung in der Artefaktanalyse umfasst zwei Entitäten, die unterschiedliche Zugriffsebenen erfordern:

• Ein Anbieter, der in Notizen gespeicherte Metadaten erstellt.
• Ein Kunde, der Vorkommen von Notizen identifiziert.

Metadatenanbieter

Ein Metadatenanbieter in Artefaktanalyse ist ein Autor von Ressourcenmetadaten. Er erstellt Notizen, die etwas beschreiben, das mit einer Ressource passieren kann.

Wir empfehlen Ihnen, ein Google Cloud-Projekt zu erstellen, das ausschließlich zum Speichern von Notizen dient. Beschränken Sie in diesem Projekt den Zugriff auf ein Nutzer- oder Dienstkonto mit folgenden Rollen:

• Editor für Container Analysis-Hinweise – Zum Erstellen von Notizen, an die Ihre Kunden Vorkommen anhängen können.

• Container Analysis-Vorkommen für Betrachter von Hinweisen: Zum Auflisten aller Vorkommen, die mit einem Hinweis verknüpft sind.

Metadatenkunden

Ein Metadatenkunde in der Artefaktanalyse hängt Informationen an Metadatenressourcen an. Er erstellt Vorkommen, wobei es sich um Instanzen von Notizen handelt und die Ausrichtung auf ein bestimmtes Image innerhalb eines Projekts erfolgt.

Damit Sie als Kunde Vorkommen an Notizen anhängen und auflisten können, müssen Sie Ihrem Nutzer oder Dienstkonto die folgenden Rollen zuweisen:

• Bearbeiter von Container Analysis-Vorkommen: Weisen Sie diese Rolle im Projekt customer zu, um Vorkommen zu erstellen.

• Hinzufüger von Container Analysis-Hinweisen – Weisen Sie diese Rolle im Projekt provider zu, um Vorkommen an Notizen anzuhängen.

• Betrachter von Container Analysis-Vorkommen: Weisen Sie diese Rolle im Projekt customer zu, um Vorkommen innerhalb dieses Projekts aufzulisten.

Metadaten zu Sicherheitslücken

Eine weitere Sicherheitsmaßnahme für Metadaten zu Sicherheitslücken besteht darin, dass Artefaktanalyse Anbietern die Erstellung und Verwaltung von Vorkommen von Sicherheitslücken im Namen vieler Kunden erlaubt. Metadaten-Kunden haben keine Schreibberechtigung für Drittanbieter-Problemvorkommen in ihren eigenen Projekten.

Das bedeutet beispielsweise, dass die Artefaktanalyse Sicherheitslücken für Images in Ihrem Projekt erstellen kann, Sie jedoch keine von der Artefaktanalyse erkannten Informationen zu Sicherheitslücken hinzufügen oder entfernen können.

Dies hilft, Sicherheitsrichtlinien durchzusetzen, da die Manipulation von Sicherheitslücken-Metadaten auf Kundenseite unterbunden wird.

IAM-Rollen

In der folgenden Tabelle sind die IAM-Rollen für die Artefaktanalyse und die zugehörigen Berechtigungen aufgeführt:

Role	Permissions
Container Analysis Admin (roles/containeranalysis.admin) Access to all Container Analysis resources.	containeranalysis.notes.attachOccurrence containeranalysis.notes.create containeranalysis.notes.delete containeranalysis.notes.get containeranalysis.notes.getIamPolicy containeranalysis.notes.list containeranalysis.notes.setIamPolicy containeranalysis.notes.update containeranalysis.occurrences.* containeranalysis.occurrences.create containeranalysis.occurrences.delete containeranalysis.occurrences.get containeranalysis.occurrences.getIamPolicy containeranalysis.occurrences.list containeranalysis.occurrences.setIamPolicy containeranalysis.occurrences.update resourcemanager.projects.get resourcemanager.projects.list
Container Analysis Notes Attacher (roles/containeranalysis.notes.attacher) Can attach Container Analysis Occurrences to Notes.	containeranalysis.notes.attachOccurrence containeranalysis.notes.get
Container Analysis Notes Editor (roles/containeranalysis.notes.editor) Can edit Container Analysis Notes.	containeranalysis.notes.attachOccurrence containeranalysis.notes.create containeranalysis.notes.delete containeranalysis.notes.get containeranalysis.notes.list containeranalysis.notes.update resourcemanager.projects.get resourcemanager.projects.list
Container Analysis Occurrences for Notes Viewer (roles/containeranalysis.notes.occurrences.viewer) Can view all Container Analysis Occurrences attached to a Note.	containeranalysis.notes.get containeranalysis.notes.listOccurrences
Container Analysis Notes Viewer (roles/containeranalysis.notes.viewer) Can view Container Analysis Notes.	containeranalysis.notes.get containeranalysis.notes.list resourcemanager.projects.get resourcemanager.projects.list
Container Analysis Occurrences Editor (roles/containeranalysis.occurrences.editor) Can edit Container Analysis Occurrences.	containeranalysis.occurrences.create containeranalysis.occurrences.delete containeranalysis.occurrences.get containeranalysis.occurrences.list containeranalysis.occurrences.update resourcemanager.projects.get resourcemanager.projects.list
Container Analysis Occurrences Viewer (roles/containeranalysis.occurrences.viewer) Can view Container Analysis Occurrences.	containeranalysis.occurrences.get containeranalysis.occurrences.list resourcemanager.projects.get resourcemanager.projects.list