Kontrol akses dengan IAM

Halaman ini menjelaskan opsi kontrol akses yang tersedia bagi Anda untuk Cloud Asset API.

Ringkasan

Inventaris Aset Cloud menggunakan Identity and Access Management (IAM) untuk kontrol akses.

Di Cloud Asset API, kontrol akses dapat dikonfigurasi pada tingkat project atau tingkat organisasi. Misalnya, Anda dapat memberikan akses ke semua resource Inventaris Aset Cloud dalam sebuah project kepada grup developer.

Untuk mengetahui deskripsi mendetail tentang IAM dan fitur-fiturnya, lihat dokumentasi IAM. Secara khusus, lihat bagian Mengelola akses ke project, folder, dan organisasi.

Izin dan peran

Setiap metode Cloud Asset Inventory API mengharuskan pemanggil memiliki izin yang diperlukan. Bagian ini merangkum peran dan izin Cloud Asset API yang didukung IAM.

Izin yang diperlukan

Tabel berikut mencantumkan izin yang harus dimiliki pemanggil untuk memanggil setiap metode API di Cloud Asset API atau untuk melakukan tugas menggunakan alat Google Cloud yang menggunakan API tersebut, seperti Google Cloud Console atau Google Cloud CLI.

Izin	Metode API
`cloudasset.assets.searchAllResources`	`*.searchAllResources`
`cloudasset.assets.searchAllIamPolicies`	`*.searchAllIamPolicies`
`cloudasset.assets.analyzeIamPolicy`, `cloudasset.assets.searchAllResources`, dan `cloudasset.assets.searchAllIamPolicies`	`*.analyzeIamPolicy`
	`*.analyzeIamPolicyLongrunning`
	`*.batchGetEffectiveIamPolicies`
`cloudasset.assets.analyzeOrgPolicy` dan `cloudasset.assets.searchAllResources`	`*.analyzeOrgPolicies`
	`*.analyzeOrgPolicyGovernedContainers`
`cloudasset.assets.analyzeOrgPolicy`, `cloudasset.assets.searchAllResources`, dan `cloudasset.assets.searchAllIamPolicies`	`*.analyzeOrgPolicyGovernedAssets`
`cloudasset.feeds.get`	`*.getFeed`
`cloudasset.feeds.list`	`*.listFeeds`
`cloudasset.feeds.delete`	`*.deleteFeed`
`cloudasset.feeds.create`, `cloudasset.assets.exportResource`, atau `cloudasset.assets.exportIamPolicy` berdasarkan `content_type`	`*.createFeed`


`cloudasset.feeds.update`, `cloudasset.assets.exportResource`, atau `cloudasset.assets.exportIamPolicy` berdasarkan `content_type`	`*.updateFeed`


`cloudasset.assets.exportResource`, `cloudasset.assets.exportIamPolicy`, `cloudasset.assets.exportOrgPolicy`, `cloudasset.assets.exportOSInventories` atau `cloudasset.assets.exportAccessPolicy` berdasarkan `content_type`	`*.batchGetAssetsHistory`
	`*.exportAssets`
	`*.operations.get`





`cloudasset.assets.listResource`, `cloudasset.assets.listIamPolicy`, `cloudasset.assets.listOrgPolicy`, `cloudasset.assets.listAccessPolicy` atau `cloudasset.assets.listOSInventories` berdasarkan `content_type`	`*.listAssets`
`cloudasset.assets.analyzeMove`	`*.analyzeMove`
`cloudasset.savedqueries.create`	`*.createSavedQuery`
`cloudasset.savedqueries.get`	`*.getSavedQuery`
`cloudasset.savedqueries.list`	`*.listSavedQueries`
`cloudasset.savedqueries.update`	`*.updateSavedQuery`
`cloudasset.savedqueries.delete`	`*.deleteSavedQuery`

Perlu diperhatikan bahwa saat menggunakan *.exportAssets API untuk mengekspor metadata resource jenis aset yang ditentukan dengan RESOURCE atau jenis konten yang tidak ditentukan, jika pemanggil belum diberi izin cloudasset.assets.exportResource, persyaratan alternatifnya adalah pemanggil memiliki izin per jenis resource yang sesuai untuk setiap jenis aset yang ditentukan dalam permintaan.

Peran

Inventaris Aset Cloud memiliki dua peran IAM:

Pemilik Aset Cloud (roles/cloudasset.owner), yang memberikan akses penuh ke metadata aset cloud. Class ini memberikan semua izin cloudasset.* dan izin recommender.cloudAssetInsights.*.
Cloud Asset Viewer (roles/cloudasset.viewer), yang memberikan akses hanya baca ke metadata aset cloud. Ini memberikan semua cloudasset.assets.* (tidak memberikan izin cloudasset.feeds.* dan cloudasset.savedqueries.*), recommender.cloudAssetInsights.get dan recommender.cloudAssetInsights.list izin.

Pilih peran yang sesuai dan berisi izin yang diperlukan untuk kebutuhan Anda. Secara umum, hanya peran Cloud Asset Owner yang memberikan semua izin yang diperlukan untuk memanggil Cloud Asset API dan memungkinkan penggunaan sepenuhnya semua metode.

Peran dasar mencakup izin berikut:

Peran pemilik (roles/owner) memberikan semua izin cloudasset.*.
Peran editor (roles/editor) memberikan izin cloudasset.assets.search* dan cloudasset.assets.analyzeIamPolicy.
Peran pelihat (roles/viewer) memberikan izin cloudasset.assets.search* dan cloudasset.assets.analyzeIamPolicy.

Sebaiknya berikan salah satu peran Cloud Asset, bukan peran dasar, karena peran dasar berisi banyak izin untuk layanan Google Cloud lainnya dan dapat menyebabkan pemberian cakupan akses yang lebih besar dari yang dimaksudkan.

Anda dapat memberikan peran kepada pengguna di tingkat organisasi, folder, atau project. Lihat Mengelola akses ke project, folder, dan organisasi untuk informasi selengkapnya.

Kontrol Layanan VPC

Kontrol Layanan VPC dapat digunakan dengan Inventaris Aset Cloud untuk memberikan keamanan tambahan pada aset Anda. Untuk mempelajari lebih lanjut Kontrol Layanan VPC, lihat ringkasan Kontrol Layanan VPC.

Untuk mempelajari batasan dalam penggunaan Inventaris Aset Cloud dengan Kontrol Layanan VPC, lihat produk dan batasan yang didukung.