Rôles IAM

Cet article décrit les rôles IAM (Identity and Access Management) que vous pouvez utiliser pour configurer Assured Workloads. Les rôles limitent la capacité d'une identité authentifiée à accéder aux ressources. Accordez uniquement à une identité les autorisations nécessaires pour interagir avec les API, fonctionnalités ou ressources Google Cloud applicables.

Pour créer un environnement Assured Workloads, vous devez disposer de l'un des rôles répertoriés ci-dessous comme bénéficiant de ce privilège, ainsi que d'un rôle de contrôle d'accès Cloud Billing. Vous devez également disposer d'un compte de facturation actif et valide. Pour en savoir plus, consultez la page Présentation du contrôle des accès à Cloud Billing.

Rôles requis

Vous trouverez ci-dessous les rôles Assured Workloads minimum requis. Pour découvrir comment accorder, modifier ou révoquer des accès à des ressources à l'aide des rôles IAM, consultez la page Accorder, modifier et révoquer les accès à des ressources.

  • Administrateur Assured Workloads : pour la création d'environnements de charge de travail.
  • Administrateur de l'organisation Resource Manager : accès permettant d'administrer toutes les ressources appartenant à une organisation.

Rôles Assured Workloads

Vous trouverez ci-dessous les rôles IAM associés à Assured Workloads et découvrirez comment les attribuer à l'aide de l'outil de ligne de commande gcloud. Pour savoir comment attribuer ces rôles dans Cloud Console ou par programmation, consultez la page Accorder, modifier et révoquer les accès à des ressources dans la documentation IAM.

Remplacez l'espace réservé ORGANIZATION_ID par l'identifiant réel de l'organisation et example@customer.org par l'adresse e-mail de l'utilisateur. Pour récupérer votre ID d'organisation, consultez la section Récupérer votre ID d'organisation.

roles/assuredworkloads.admin

Pour créer des charges de travail. Permet un accès en lecture/écriture.

gcloud organizations add-iam-policy-binding ORGANIZATION_ID \
  --member="user:example@customer.org" \
  --role="roles/assuredworkloads.admin"

roles/assuredworkloads.editor

Permet un accès en lecture/écriture.

gcloud organizations add-iam-policy-binding ORGANIZATION_ID \
  --member="user:example@customer.org" \
  --role="roles/assuredworkloads.editor"

roles/assuredworkloads.reader

Pour obtenir et répertorier les charges de travail. Autorise l'accès en lecture seule.

gcloud organizations add-iam-policy-binding ORGANIZATION_ID \
  --member="user:example@customer.org" \
  --role="roles/assuredworkloads.reader"

Rôles personnalisés

Si vous souhaitez définir vos propres rôles et y associer plusieurs autorisations, utilisez des rôles personnalisés.

Bonnes pratiques IAM pour Assured Workloads

Sécuriser correctement les rôles IAM pour respecter le principe du moindre privilège est une bonne pratique de sécurité dans Google Cloud. Ce principe suit la règle selon laquelle les utilisateurs ne doivent avoir accès qu'aux produits, services et applications requis pour leur rôle. Actuellement, l'utilisation de services hors champ d'application par les utilisateurs n'est pas restreinte avec les projets Assured Workloads lors du déploiement de produits et de services en dehors de l'environnement Assured Workloads.

La liste des produits couverts par le régime de conformité permet de guider les administrateurs de sécurité lors de la création de rôles personnalisés qui restreignent l'accès aux seuls produits dans le champ d'application pour les utilisateurs dans l'environnement Assured Workloads. Les rôles personnalisés peuvent vous aider à établir et maintenir la conformité dans un environnement Assured Workloads.