Zugriffssteuerung mit IAM

Auf dieser Seite werden die Zugriffssteuerungsoptionen beschrieben, die Ihnen für die Cloud Asset API zur Verfügung stehen.

Überblick

Cloud Asset Inventory verwendet für die Zugriffssteuerung die Identitäts- und Zugriffsverwaltung (Identity and Access Management, IAM).

In der Cloud Asset API kann die Zugriffssteuerung auf Projektebene oder Organisationsebene konfiguriert werden. Beispielsweise können Sie einer Gruppe von Entwicklern Zugriff auf alle Cloud Asset Inventory-Ressourcen in einem Projekt gewähren.

Eine ausführliche Beschreibung von IAM und den entsprechenden Funktionen finden Sie in der IAM-Dokumentation. Interessant ist insbesondere der Abschnitt Zugriff auf Projekte, Ordner und Organisationen verwalten.

Berechtigungen und Rollen

Zum Aufrufen der Methoden in der Cloud Asset Inventory API werden die erforderlichen Berechtigungen benötigt. In diesem Abschnitt werden die von IAM unterstützten Cloud Asset API-Berechtigungen und -Rollen zusammengefasst.

Erforderliche Berechtigungen

In der folgenden Tabelle sind die Berechtigungen aufgeführt, die zum Aufrufen der einzelnen API-Methoden in der Cloud Asset API oder zum Ausführen von Aufgaben mit Google Cloud-Tools benötigt werden, die die API verwenden, z. B. die Google Cloud Console oder die Google Cloud CLI.

Berechtigung	API-Methoden
`cloudasset.assets.searchAllResources`	`*.searchAllResources`
`cloudasset.assets.searchAllIamPolicies`	`*.searchAllIamPolicies`
`cloudasset.assets.analyzeIamPolicy`, `cloudasset.assets.searchAllResources` und `cloudasset.assets.searchAllIamPolicies`	`*.analyzeIamPolicy`
	`*.analyzeIamPolicyLongrunning`
	`*.batchGetEffectiveIamPolicies`
`cloudasset.assets.analyzeOrgPolicy` und `cloudasset.assets.searchAllResources`	`*.analyzeOrgPolicies`
	`*.analyzeOrgPolicyGovernedContainers`
`cloudasset.assets.analyzeOrgPolicy`, `cloudasset.assets.searchAllResources` und `cloudasset.assets.searchAllIamPolicies`	`*.analyzeOrgPolicyGovernedAssets`
`cloudasset.feeds.get`	`*.getFeed`
`cloudasset.feeds.list`	`*.listFeeds`
`cloudasset.feeds.delete`	`*.deleteFeed`
`cloudasset.feeds.create`, `cloudasset.assets.exportResource` oder `cloudasset.assets.exportIamPolicy` basierend auf `content_type`	`*.createFeed`


`cloudasset.feeds.update`, `cloudasset.assets.exportResource` oder `cloudasset.assets.exportIamPolicy` basierend auf `content_type`	`*.updateFeed`


`cloudasset.assets.exportResource`, `cloudasset.assets.exportIamPolicy`, `cloudasset.assets.exportOrgPolicy`, `cloudasset.assets.exportOSInventories` oder `cloudasset.assets.exportAccessPolicy` basierend auf `content_type`	`*.batchGetAssetsHistory`
	`*.exportAssets`
	`*.operations.get`





`cloudasset.assets.listResource`, `cloudasset.assets.listIamPolicy`, `cloudasset.assets.listOrgPolicy`, `cloudasset.assets.listAccessPolicy` oder `cloudasset.assets.listOSInventories` basierend auf `content_type`	`*.listAssets`
`cloudasset.assets.analyzeMove`	`*.analyzeMove`
`cloudasset.savedqueries.create`	`*.createSavedQuery`
`cloudasset.savedqueries.get`	`*.getSavedQuery`
`cloudasset.savedqueries.list`	`*.listSavedQueries`
`cloudasset.savedqueries.update`	`*.updateSavedQuery`
`cloudasset.savedqueries.delete`	`*.deleteSavedQuery`

Wenn Sie die *.exportAssets API zum Exportieren von Ressourcenmetadaten bestimmter Asset-Typen mit RESOURCE oder einem nicht angegebenen Inhaltstyp verwenden und dem Aufrufer nicht die Berechtigung cloudasset.assets.exportResource gewährt wurde, gilt als alternative Anforderung, dass der Aufrufer die entsprechenden Berechtigungen pro Ressourcentyp für jeden in der Anfrage angegebenen Asset-Typ hat.

Rollen

Cloud Asset Inventory hat zwei IAM-Rollen:

Cloud-Asset-Inhaber (roles/cloudasset.owner), die vollen Zugriff auf Cloud-Asset-Metadaten gewährt. Sie gewährt alle Berechtigungen vom Typ cloudasset.* und recommender.cloudAssetInsights.*.
Cloud-Asset-Betrachter (roles/cloudasset.viewer), die Lesezugriff auf Cloud-Asset-Metadaten gewährt. Sie gewährt alle Berechtigungen vom Typ cloudasset.assets.* (nicht die Berechtigungen cloudasset.feeds.* und cloudasset.savedqueries.*), recommender.cloudAssetInsights.get und recommender.cloudAssetInsights.list.

Wählen Sie die Rolle aus, die die erforderlichen Berechtigungen enthält. Grundsätzlich gewährt nur die Rolle „Cloud-Asset-Inhaber“ alle erforderlichen Berechtigungen zum Aufrufen der Cloud Asset API und ermöglicht die vollständige Nutzung aller Methoden.

Einfache Rollen beinhalten die folgenden Berechtigungen:

Rolle "Inhaber" (roles/owner) gewährt alle cloudasset.*-Berechtigungen.
Rolle "Bearbeiter" (roles/editor) gewährt cloudasset.assets.search*- und cloudasset.assets.analyzeIamPolicy-Berechtigungen.
Die Rolle "Betrachter" (roles/viewer) gewährt cloudasset.assets.search*- und cloudasset.assets.analyzeIamPolicy-Berechtigungen.

Wir empfehlen, eine der Cloud-Asset-Rollen anstelle einer einfachen Rolle zuzuweisen, da einfache Rollen viele Berechtigungen für andere Google Cloud-Dienste enthalten und dazu führen können, dass ein größerer Zugriffsbereich als vorgesehen gewährt wird.

Sie können Nutzern auf Organisations-, Ordner- oder Projektebene Rollen zuweisen. Weitere Informationen finden Sie unter Zugriff auf Projekte, Ordner und Organisationen verwalten.

VPC Service Controls

VPC Service Controls kann mit Cloud Asset Inventory verwendet werden, um die Sicherheit Ihrer Assets zu erhöhen. Weitere Informationen zu VPC Service Controls finden Sie in der Übersicht zu VPC Service Controls.

Informationen zu den Einschränkungen bei der Verwendung von Cloud Asset Inventory mit VPC Service Controls finden Sie unter Unterstützte Produkte und Einschränkungen.