In diesem Dokument werden Rollen und Zugriffsberechtigungen für Cloud Billing-Konten beschrieben.
Ein Cloud-Rechnungskonto wird in Google Cloud eingerichtet. In diesem Rechnungskonto wird definiert, wer einen bestimmten Satz von Google Cloud-Ressourcen und Google Maps Platform APIs bezahlt. Ein Cloud-Rechnungskonto ist mit einem Google-Zahlungsprofil verbunden. Ihr Google-Zahlungsprofil enthält eine Zahlungsmethode, über die Kosten in Rechnung gestellt werden.
Zugriffsberechtigungen für Cloud Billing und Zahlungen mit Google werden auf zwei verschiedenen Systemen konfiguriert, je nachdem, welche Art von Zugriff Sie bereitstellen möchten.
- Mit Cloud Billing können Sie durch Festlegen von Identity and Access Management (IAM)-Richtlinien für bestimmte Ressourcen steuern, welche Nutzer Berechtigungen zum Verwalten und zum Aufrufen von Kosten für diese Ressourcen erhalten.
- Im Google-Zahlungscenter können Sie Nutzern eines von Ihnen verwalteten Unternehmensprofils für Zahlungen mit Google hinzufügen und ihnen je nach Aufgabe unterschiedliche Zugriffsebenen zuweisen. Außerdem können Sie E-Mail-Einstellungen für Nutzer konfigurieren, sodass diese Abrechnungs- und Zahlungs-E-Mails erhalten.
Cloud Billing-Berechtigungen | Einstellungen und Berechtigungen für Zahlungen mit Google |
---|---|
Die Zugriffsberechtigungen für ein Cloud-Rechnungskonto werden mit
IAM-Rollen verwaltet. Berechtigungen für Rechnungskonten können so konfiguriert werden, dass Nutzer folgende Aufgaben ausführen können:
|
Die Zugriffsberechtigungen für ein Google-Zahlungsprofil werden in den
Google-Zahlungseinstellungen verwaltet. Google-Zahlungsberechtigungen können so konfiguriert werden, dass Nutzer folgende Aufgaben ausführen können:
Wenn Sie zahlungsbezogene Aufgaben auf der Seite „Abrechnung“ der Google Cloud Console verwalten möchten, benötigen Nutzer außerdem die Rolle Rechnungskontobetrachter für das Cloud-Rechnungskonto. |
Zugriff auf Cloud Billing
Um den Zugriff auf Cloud Billing zu gewähren oder zu beschränken, können Sie eine IAM-Richtlinie auf Organisationsebene, Cloud-Rechnungskontoebene oder Projektebene festlegen. Google Cloud-Ressourcen übernehmen die IAM-Richtlinien ihres übergeordneten Knotens. Sie können also eine Richtlinie auf Organisationsebene festlegen, die dann auf alle Cloud-Rechnungskonten, Projekte und Ressourcen in der Organisation angewendet wird.
Sie haben die Möglichkeit, Anzeigeberechtigungen auf verschiedenen Ebenen für unterschiedliche Nutzer oder Rollen zu steuern. Dazu legen Sie Zugriffsberechtigungen auf Cloud-Rechnungskonto- oder Projektebene fest.
Wenn Sie einem Nutzer die Berechtigung erteilen möchten, die Kosten aller Projekte in einem Cloud-Rechnungskonto aufzurufen, weisen Sie ihm Berechtigungen zum Aufrufen der Kosten für ein Cloud-Rechnungskonto (billing.accounts.getSpendingInformation
) zu. Wenn Sie einem Nutzer die Berechtigung zum Aufrufen der Kosten für ein bestimmtes Projekt erteilen möchten, weisen Sie ihm Berechtigungen zum Aufrufen einzelner Projekte (billing.resourceCosts.get
) zu.
Übersicht über Cloud Billing-Rollen in IAM
Sie erteilen den Nutzern die Berechtigungen nicht direkt, sondern Sie weisen ihnen Rollen zu, die eine oder mehrere Berechtigungen enthalten.
Sie können einem Nutzer oder für eine Ressource eine oder mehrere Rollen zuweisen.
Mit den folgenden vordefinierten Cloud IAM-Rollen für Cloud Billing können Sie über die Zugriffssteuerung eine Aufgabentrennung vornehmen:
Rolle | Zweck | Stufe | Anwendungsfall |
---|---|---|---|
Rechnungskontoersteller ( roles/billing.creator ) |
Neue Online-Selfservice-Rechnungskonten erstellen | Organisation | Verwenden Sie diese Rolle für die anfängliche Abrechnungseinrichtung. Diese Rolle ermöglicht auch das Anlegen zusätzlicher Rechnungskonten. Nutzer benötigen diese Rolle, um sich in Google Cloud mit einer Kreditkarte ihres Unternehmens registrieren zu können. Tipp: Diese Rolle sollte nur ausgewählten Nutzern zugewiesen werden. Damit vermeiden Sie, dass ungeprüfte Cloud-Ausgaben in Ihrer Organisation überhandnehmen. |
Rechnungskontoadministrator ( roles/billing.admin )
|
Rechnungskonten verwalten (aber nicht erstellen) | Organisation oder Rechnungskonto | Dies ist eine Inhaberrolle für ein Rechnungskonto. Hiermit verwalten Sie Zahlungsmittel, konfigurieren Abrechnungsexporte, rufen Kosteninformationen ab, verknüpfen Projekte oder heben Projektverknüpfungen auf und verwalten andere Nutzerrollen innerhalb des Rechnungskontos. Standardmäßig ist die Person, die das Cloud-Rechnungskonto erstellt, ein Rechnungskontoadministrator für das Cloud-Rechnungskonto. |
Kostenverwalter des Rechnungskontos ( roles/billing.costsManager ) |
Budgets verwalten und Kosteninformationen von Rechnungskonten (aber keine Preisinformationen) aufrufen und exportieren. | Organisation oder Rechnungskonto | Budgets erstellen, bearbeiten und löschen, Kosteninformationen und Transaktionen im Rechnungskonto aufrufen und den Export von Abrechnungskostendaten in BigQuery verwalten. Gewährt nicht das Recht, Preisdaten zu exportieren oder benutzerdefinierte Preise auf der Seite Preise anzusehen. Es ist nicht möglich, Projekte zu verknüpfen oder Projektverknüpfungen aufzuheben oder die Eigenschaften des Rechnungskontos anderweitig zu verwalten. |
Rechnungskontobetrachter ( roles/billing.viewer ) |
Kosteninformationen und Transaktionen im Rechnungskonto aufrufen | Organisation oder Rechnungskonto | Die Rolle des Rechnungskonto-Betrachter wird in der Regel Mitgliedern des Finanzteams gewährt. Sie ermöglicht den Zugriff auf Informationen zu Ausgaben, ohne dass der Nutzer Projekte mit dem Rechnungskonto verknüpfen oder Projektverknüpfungen aufheben kann oder anderweitig Einfluss auf die Verwaltung der Eigenschaften des Rechnungskontos hat. |
Rechnungskontonutzer ( roles/billing.user ) |
Projekte mit Rechnungskonten verknüpfen | Organisation oder Rechnungskonto | Die Berechtigungen dieser Rolle sind stark eingeschränkt, sodass eine umfassende Erteilung möglich ist. In Kombination mit der Rolle „Projektersteller“ können Nutzer mit den beiden Rollen neue Projekte erstellen und mit dem Rechnungskonto verknüpfen, für das die Rolle „Rechnungskontonutzer“ zugewiesen wurde. Wenn diese Rolle zusammen mit der Rolle des Projektabrechnung-Administrator zugewiesen wird, können Nutzer die Projekte für das Rechnungskonto, für das die Rolle eines Rechnungskontonutzer zugewiesen wurde, verknüpfen und die Verknüpfung wieder aufheben. |
Administrator für die Projektabrechnung ( roles/billing.projectManager ) |
Projekt mit einem Rechnungskonto verknüpfen und Verknüpfung aufheben | Organisation, Ordner oder Projekt. | Wenn diese Rolle in Kombination mit der Rolle „Rechnungskontonutzer“ zugewiesen wird, können Nutzer das Projekt mit dem Rechnungskonto verknüpfen. Es werden aber keine sonstigen Rechte für Ressourcen gewährt. Projektinhaber können mit dieser Rolle einem anderen Nutzer die Verwaltung der Projektabrechnung erlauben, ohne ihm Zugriff auf Ressourcen zu erteilen. |
Die folgende Tabelle enthält die Details der vordefinierten Cloud IAM-Abrechnungsrollen, einschließlich der Berechtigungen, die zu den einzelnen Rollen gehören.
Role | Permissions |
---|---|
Billing Account Administrator( Provides access to see and manage all aspects of billing accounts. Lowest-level resources where you can grant this role:
|
|
Billing Account Costs Manager( Manage budgets for a billing account, and view, analyze, and export cost information of a billing account. Lowest-level resources where you can grant this role:
|
|
Billing Account Creator( Provides access to create billing accounts. Lowest-level resources where you can grant this role:
|
|
Project Billing Manager( When granted in conjunction with the Billing Account User role, provides access to assign a project's billing account or disable its billing. Lowest-level resources where you can grant this role:
|
|
Billing Account User( When granted in conjunction with the Project Owner role or Project Billing Manager role, provides access to associate projects with billing accounts. Lowest-level resources where you can grant this role:
|
|
Billing Account Viewer( View billing account cost and pricing information, transactions, and billing and commitment recommendations. Lowest-level resources where you can grant this role:
|
|
IAM-Beziehungen zwischen Organisationen, Projekten, Cloud-Rechnungskonten und Google-Zahlungsprofilen
Die Interaktion zwischen Organisationen, Cloud-Rechnungskonten und Projekten wird durch zwei Arten von Beziehungen geregelt: Inhaberschaft und Zahlungsverknüpfung
- Inhaber bezieht sich auf die Übernahme von Cloud IAM-Berechtigungen.
- Zahlungsverknüpfungen legen fest, über welches Cloud-Rechnungskonto die Kosten für ein bestimmtes Projekt bezahlt werden.
Das folgende Diagramm zeigt die Beziehung zwischen Inhaber ("Ownership") und Zahlungsverknüpfungen ("Payment Linkage") für eine Beispielorganisation.
Im Diagramm ist die Organisation Inhaber der Projekte 1, 2 und 3 und besitzt somit die übergeordneten Cloud IAM-Berechtigungen für die drei Projekte.
Das Cloud-Rechnungskonto ist mit den Projekten 1, 2 und 3 verknüpft. Es wird zur Abrechnung der für die drei Projekte anfallenden Kosten verwendet. Über das Cloud-Rechnungskonto können auch Projekte in anderen Organisationen abgerechnet werden; es übernimmt jedoch IAM-Berechtigungen von der übergeordneten Organisation.
Das Cloud-Rechnungskonto ist außerdem mit einem Google-Zahlungsprofil verknüpft, in dem Informationen wie Name, Adresse und Zahlungsmethoden gespeichert werden. Weitere Informationen zum Verwalten von Nutzerberechtigungen für Google-Zahlungsprofile
Auch wenn Sie Cloud-Rechnungskonten mit Projekten verknüpfen, sind dies keine übergeordneten Elemente von Projekten im Sinne von IAM. Daher übernehmen Projekte keine Berechtigungen von dem Cloud-Rechnungskonto, mit dem sie verknüpft sind.
In diesem Beispiel besitzen alle Nutzer mit IAM-Abrechnungsrollen für die Organisation diese Rollen auch für das Cloud-Rechnungskonto und die Projekte.
Beispiele für die Zugriffssteuerung in Cloud Billing
Sie können Cloud IAM-Rollen so kombinieren, um die Anforderungen unterschiedlichster Szenarien zu erfüllen.
Szenario: Kleines bis mittelständisches Unternehmen (KMU), das eine zentralisierte Steuerung bevorzugt | ||
---|---|---|
Nutzertyp | IAM-Abrechnungsrollen | Abrechnungsaktivitäten |
CEO | Rechnungskontoadministrator | Zahlungsmittel verwalten Rechnungen aufrufen und genehmigen. |
CTO | Rechnungskontoadministrator Projektersteller |
Budgetbenachrichtigungen festlegen Ausgaben aufrufen. Neue abzurechnende Projekte erstellen. |
Entwicklungsteams | Kein | – |
Szenario: Kleines bis mittelständisches Unternehmen (KMU), das Vollmachten bevorzugt | ||
---|---|---|
Nutzertyp | IAM-Abrechnungsrollen | Abrechnungsaktivitäten |
CEO | Rechnungskontoadministrator | Zahlungsmittel verwalten Zuständigkeiten delegieren. |
CFO | Rechnungskontoadministrator | Budgetbenachrichtigungen festlegen Ausgaben aufrufen. |
Kreditorenbuchhaltung | Rechnungskontobetrachter | Rechnungen aufrufen und genehmigen |
Entwicklungsteams | Rechnungskontonutzer Projektersteller |
Neue abzurechnende Projekte erstellen |
Szenario: Getrennte Finanzplanungs- und Einkaufsfunktionen | ||
---|---|---|
Nutzertyp | IAM-Abrechnungsrollen | Abrechnungsaktivitäten |
Einkauf oder zentrale IT | Rechnungskontoadministrator | Zahlungsmittel verwalten Budgetbenachrichtigungen festlegen. Ausgaben an Entwicklungsteams übermitteln. |
Finanzplanung | Rechnungskontobetrachter | Abrechnungsberichte aufrufen Exporte verarbeiten. Mit CxO kommunizieren. |
Kreditorenbuchhaltung | Rechnungskontobetrachter | Rechnungen genehmigen |
Entwicklungsteams | Rechnungskontonutzer Projektersteller |
Neue abzurechnende Projekte erstellen |
Szenario: Entwicklungsagentur | ||
---|---|---|
Nutzertyp | IAM-Abrechnungsrollen | Abrechnungsaktivitäten |
CEO | Rechnungskontoadministrator | Zahlungsmittel verwalten Zuständigkeiten delegieren. |
CFO | Rechnungskontoadministrator | Budgetbenachrichtigungen festlegen Ausgaben aufrufen. Rechnungen genehmigen. |
Projektleitung | Rechnungskontonutzer Projektersteller |
Neue abzurechnende Projekte erstellen |
Projektentwicklungsteam | Kein | Innerhalb vorhandener Projekte entwickeln |
Client | Project Billing Manager | Nach Abschluss des Projekts Zahlung ausführen |
Cloud Billing-Berechtigungen aktualisieren
Wie Sie Cloud Billing-Berechtigungen prüfen, hinzufügen oder entfernen, erfahren Sie unter Zugriff auf Cloud Rechnungs-Konten verwalten.
Weitere Informationen
- Zugriff auf Cloud-Rechnungskonten verwalten
- Zugriffssteuerung für Cloud Billing API
- Zugriff gewähren, ändern und entziehen in der IAM-Dokumentation
- Benutzerdefinierte Rollen für Cloud Billing erstellen
Überzeugen Sie sich selbst
Wenn Sie mit Google Cloud noch nicht vertraut sind, erstellen Sie einfach ein Konto, um die Leistungsfähigkeit unserer Produkte in der Praxis sehen und bewerten zu können. Neukunden erhalten außerdem ein Guthaben von 300 $, um Arbeitslasten auszuführen, zu testen und bereitzustellen.
Jetzt kostenlos starten