Autorizzazioni e controllo dell'accesso alla fatturazione Cloud

Questo documento descrive i ruoli e le autorizzazioni di accesso per gli account di fatturazione Cloud.

In Google Cloud è configurato un account di fatturazione Cloud che definisce chi paga per un determinato insieme di risorse Google Cloud e API di Google Maps Platform. Un account di fatturazione Cloud è collegato a un profilo pagamenti Google. Il tuo profilo pagamenti Google include un metodo di pagamento su cui vengono addebitati i costi.

Le autorizzazioni di accesso per la fatturazione Cloud e pagamenti tramite Google sono configurate in due sistemi diversi a seconda del tipo di accesso che vuoi fornire.

• Fatturazione Cloud ti consente di controllare quali utenti hanno autorizzazioni amministrative e di visualizzazione dei costi per risorse specifiche impostando i criteri di Identity and Access Management (IAM) sulle risorse.
• Nel centro pagamenti Google, puoi aggiungere utenti a qualsiasi profilo aziendale pagamenti tramite Google che gestisci e concedere diversi livelli di accesso agli utenti, a seconda di cosa devono fare. Puoi anche configurare le preferenze email degli utenti per la ricezione di email relative a fatturazione e pagamenti.

Autorizzazioni di fatturazione Cloud

Impostazioni e autorizzazioni di pagamenti tramite Google

Le autorizzazioni di accesso a un account di fatturazione Cloud vengono gestite utilizzando i ruoli IAM. Le autorizzazioni dell'account di fatturazione possono essere configurate in modo da consentire agli utenti di: Aprire, chiudere e modificare un account di fatturazione Cloud. Visualizzare i report e i dati sui costi. Visualizzare documenti (ad esempio fatture ed estratti conto). Analizza e acquista sconti per impegno di utilizzo (CUD). Attiva e gestisci l'esportazione dei dati di fatturazione. Configura budget e avvisi. Gestisci la fatturazione per progetto. Gestisci le autorizzazioni degli utenti per la fatturazione. Contatta l'assistenza per la fatturazione.

Le autorizzazioni di accesso a un profilo pagamenti Google vengono gestite nelle impostazioni di pagamenti tramite Google Google. Le autorizzazioni per pagamenti tramite Google possono essere configurate in modo da consentire agli utenti di: Aggiungere, modificare e rimuovere metodi di pagamento. Aggiorna i dati del profilo pagamenti, inclusi gli indirizzi di spedizione. Gestisci gli utenti pagamenti, inclusi dettagli di contatto, preferenze email e autorizzazioni utente. Se vuoi gestire le attività relative ai pagamenti dalla pagina Fatturazione della console Google Cloud, gli utenti devono disporre anche del ruolo Visualizzatore account di fatturazione nell'account di fatturazione Cloud.

Accesso al fatturazione Cloud

Per concedere o limitare l'accesso a Fatturazione Cloud, puoi impostare un criterio IAM a livello di organizzazione, di account di Fatturazione Cloud o di progetto. Le risorse Google Cloud ereditano i criteri IAM del nodo principale, il che significa che puoi impostare un criterio a livello di organizzazione per applicarlo a tutti gli account, i progetti e le risorse di fatturazione Cloud nell'organizzazione.

Puoi controllare le autorizzazioni di visualizzazione a diversi livelli per utenti o ruoli diversi impostando le autorizzazioni di accesso a livello di account o progetto di fatturazione cloud.

Per concedere a un utente l'autorizzazione a visualizzare i costi di tutti i progetti di un account di fatturazione Cloud, concedi all'utente l'autorizzazione a visualizzare i costi di un account di fatturazione Cloud (billing.accounts.getSpendingInformation). Per concedere a un utente l'autorizzazione a visualizzare i costi di un progetto specifico, concedi all'utente le autorizzazioni di visualizzazione per i singoli progetti (billing.resourceCosts.get).

Panoramica dei ruoli di fatturazione Cloud in IAM

Non concedi direttamente le autorizzazioni agli utenti, ma concedi loro ruoli, che includono una o più autorizzazioni.

Puoi concedere uno o più ruoli allo stesso utente o alla stessa risorsa.

I seguenti ruoli IAM di fatturazione Cloud predefiniti ti consentono di utilizzare controllo dell'accesso'accesso per applicare la separazione dei compiti:

Ruolo	Finalità	Livello	Caso d'uso
Billing Account Creator (roles/billing.creator)	Creare nuovi account di fatturazione self-service (online).	Organizzazione	Utilizza questo ruolo per la configurazione iniziale della fatturazione o per consentire la creazione di account di fatturazione aggiuntivi. Gli utenti devono disporre di questo ruolo per registrarsi a Google Cloud con una carta di credito utilizzando la propria identità aziendale. Suggerimento: riduci al minimo il numero di utenti che dispongono di questo ruolo per contribuire a impedire la proliferazione della spesa cloud non monitorata nella tua organizzazione.
Amministratore account di fatturazione (roles/billing.admin)	Gestire gli account di fatturazione (ma non crearli).	Organizzazione o account di fatturazione.	Questo è un ruolo di proprietario per un account di fatturazione. Usalo per gestire gli strumenti di pagamento, configurare l'esportazione dei dati di fatturazione, visualizzare le informazioni sui costi, collegare e scollegare i progetti e gestire altri ruoli utente per l'account di fatturazione. Per impostazione predefinita, la persona che crea l'account di fatturazione Cloud è un Amministratore account di fatturazione dell'account di fatturazione Cloud.
Billing Account Costs Manager (roles/billing.costsManager)	Gestire i budget e visualizzare ed esportare le informazioni sui costi degli account di fatturazione (ma non le informazioni sui prezzi).	Organizzazione o account di fatturazione.	Crea, modifica ed elimina i budget, visualizza le informazioni sui costi e le transazioni dell'account di fatturazione e gestisci l'esportazione dei dati sui costi di fatturazione in BigQuery. Non conferisce il diritto di esportare i dati dei prezzi o di visualizzare i prezzi personalizzati nella pagina Prezzi. Non consente il collegamento o lo scollegamento dei progetti né la gestione delle proprietà dell'account di fatturazione.
Visualizzatore account di fatturazione (roles/billing.viewer)	Dispone dell'autorizzazione per visualizzare le transazioni e le informazioni sul costo degli account di fatturazione.	Organizzazione o account di fatturazione.	L'accesso come Visualizzatore account di fatturazione viene in genere concesso ai team finanziari e consente di accedere a informazioni sui costi sostenuti, ma non conferisce il diritto di collegare o scollegare progetti o di gestire in altro modo le proprietà dell'account di fatturazione.
Utente account di fatturazione (roles/billing.user)	Collega i progetti agli account di fatturazione.	Organizzazione o account di fatturazione.	Le autorizzazioni di questo ruolo sono molto limitate. Puoi quindi assegnarlo a un'ampia platea di utenti. Se concessi in combinazione con il ruolo Autore progetto, i due ruoli consentono agli utenti di creare nuovi progetti collegati all'account di fatturazione a cui è stato assegnato il ruolo Utente account di fatturazione. In alternativa, se concesso in combinazione con il ruolo Gestore fatturazione progetto, i due ruoli consentono agli utenti di collegare e scollegare i progetti nell'account di fatturazione in cui è stato concesso il ruolo Utente account di fatturazione.
Project Billing Manager (roles/billing.projectManager)	Collega e scollega il progetto da e verso un account di fatturazione.	Organizzazione, cartella o progetto.	Se concesso in combinazione con il ruolo Utente account di fatturazione, il ruolo Gestore fatturazione progetto consente agli utenti di collegare il progetto all'account di fatturazione, ma non concede alcun diritto sulle risorse. I proprietari del progetto possono utilizzare questo ruolo per consentire a qualcun altro di gestire la fatturazione del progetto senza concedergli l'accesso alle risorse.

Nota: anche altri ruoli precedenti (ad esempio Proprietario progetto) conferiscono alcune autorizzazioni del fatturazione Cloud. Il ruolo Proprietario del progetto è un superset di Project Billing Manager.

La tabella seguente elenca i dettagli dei ruoli IAM predefiniti per la fatturazione, incluse le autorizzazioni raggruppate in ogni ruolo.

Role	Permissions
Billing Account Administrator (roles/billing.admin) Provides access to see and manage all aspects of billing accounts. Lowest-level resources where you can grant this role: Billing Account	billing.accounts.close billing.accounts.get billing.accounts.getCarbonInformation billing.accounts.getIamPolicy billing.accounts.getPaymentInfo billing.accounts.getPricing billing.accounts.getSpendingInformation billing.accounts.getUsageExportSpec billing.accounts.list billing.accounts.move billing.accounts.redeemPromotion billing.accounts.removeFromOrganization billing.accounts.reopen billing.accounts.setIamPolicy billing.accounts.update billing.accounts.updatePaymentInfo billing.accounts.updateUsageExportSpec billing.anomalies.* billing.anomalies.get billing.anomalies.list billing.anomalies.submitFeedback billing.anomaliesConfigs.* billing.anomaliesConfigs.get billing.anomaliesConfigs.update billing.billingAccountPrice.get billing.billingAccountPrices.list billing.billingAccountServices.* billing.billingAccountServices.get billing.billingAccountServices.list billing.billingAccountSkuGroupSkus.* billing.billingAccountSkuGroupSkus.get billing.billingAccountSkuGroupSkus.list billing.billingAccountSkuGroups.* billing.billingAccountSkuGroups.get billing.billingAccountSkuGroups.list billing.billingAccountSkus.* billing.billingAccountSkus.get billing.billingAccountSkus.list billing.budgets.* billing.budgets.create billing.budgets.delete billing.budgets.get billing.budgets.list billing.budgets.update billing.credits.list billing.finOpsBenchmarkInformation.get billing.finOpsHealthInformation.get billing.resourceAssociations.* billing.resourceAssociations.create billing.resourceAssociations.delete billing.resourceAssociations.list billing.subscriptions.* billing.subscriptions.create billing.subscriptions.get billing.subscriptions.list billing.subscriptions.update cloudasset.assets.searchAllResources cloudnotifications.activities.list cloudsupport.properties.get cloudsupport.techCases.* cloudsupport.techCases.create cloudsupport.techCases.escalate cloudsupport.techCases.get cloudsupport.techCases.list cloudsupport.techCases.update commerceoffercatalog.* commerceoffercatalog.agreements.get commerceoffercatalog.agreements.list commerceoffercatalog.documents.get commerceoffercatalog.documents.list commerceoffercatalog.offers.get compute.commitments.* compute.commitments.create compute.commitments.get compute.commitments.list compute.commitments.update compute.commitments.updateReservations consumerprocurement.accounts.* consumerprocurement.accounts.create consumerprocurement.accounts.delete consumerprocurement.accounts.get consumerprocurement.accounts.list consumerprocurement.consents.check consumerprocurement.consents.grant consumerprocurement.consents.list consumerprocurement.consents.revoke consumerprocurement.events.* consumerprocurement.events.get consumerprocurement.events.list consumerprocurement.licensePools.* consumerprocurement.licensePools.assign consumerprocurement.licensePools.enumerateLicensedUsers consumerprocurement.licensePools.get consumerprocurement.licensePools.unassign consumerprocurement.licensePools.update consumerprocurement.orderAttributions.* consumerprocurement.orderAttributions.get consumerprocurement.orderAttributions.list consumerprocurement.orderAttributions.update consumerprocurement.orders.* consumerprocurement.orders.cancel consumerprocurement.orders.get consumerprocurement.orders.list consumerprocurement.orders.modify consumerprocurement.orders.place dataprocessing.datasources.get dataprocessing.datasources.list dataprocessing.groupcontrols.get dataprocessing.groupcontrols.list logging.logEntries.list logging.logServiceIndexes.list logging.logServices.list logging.logs.list logging.privateLogEntries.list recommender.cloudsqlIdleInstanceRecommendations.get recommender.cloudsqlIdleInstanceRecommendations.list recommender.cloudsqlOverprovisionedInstanceRecommendations.get recommender.cloudsqlOverprovisionedInstanceRecommendations.list recommender.commitmentUtilizationInsights.* recommender.commitmentUtilizationInsights.get recommender.commitmentUtilizationInsights.list recommender.commitmentUtilizationInsights.update recommender.computeAddressIdleResourceRecommendations.get recommender.computeAddressIdleResourceRecommendations.list recommender.computeDiskIdleResourceRecommendations.get recommender.computeDiskIdleResourceRecommendations.list recommender.computeImageIdleResourceRecommendations.get recommender.computeImageIdleResourceRecommendations.list recommender.computeInstanceGroupManagerMachineTypeRecommendations.get recommender.computeInstanceGroupManagerMachineTypeRecommendations.list recommender.computeInstanceIdleResourceRecommendations.get recommender.computeInstanceIdleResourceRecommendations.list recommender.computeInstanceMachineTypeRecommendations.get recommender.computeInstanceMachineTypeRecommendations.list recommender.costInsights.* recommender.costInsights.get recommender.costInsights.list recommender.costInsights.update recommender.costRecommendations.* recommender.costRecommendations.listAll recommender.costRecommendations.summarizeAll recommender.resourcemanagerProjectUtilizationRecommendations.get recommender.resourcemanagerProjectUtilizationRecommendations.list recommender.spendBasedCommitmentInsights.* recommender.spendBasedCommitmentInsights.get recommender.spendBasedCommitmentInsights.list recommender.spendBasedCommitmentInsights.update recommender.spendBasedCommitmentRecommendations.* recommender.spendBasedCommitmentRecommendations.get recommender.spendBasedCommitmentRecommendations.list recommender.spendBasedCommitmentRecommendations.update recommender.spendBasedCommitmentRecommenderConfig.* recommender.spendBasedCommitmentRecommenderConfig.get recommender.spendBasedCommitmentRecommenderConfig.update recommender.usageCommitmentRecommendations.* recommender.usageCommitmentRecommendations.get recommender.usageCommitmentRecommendations.list recommender.usageCommitmentRecommendations.update resourcemanager.projects.createBillingAssignment resourcemanager.projects.deleteBillingAssignment resourcemanager.projects.get resourcemanager.projects.list
Billing Account Costs Manager (roles/billing.costsManager) Manage budgets for a billing account, and view, analyze, and export cost information of a billing account. Lowest-level resources where you can grant this role: Billing Account	billing.accounts.get billing.accounts.getIamPolicy billing.accounts.getSpendingInformation billing.accounts.getUsageExportSpec billing.accounts.list billing.accounts.updateUsageExportSpec billing.anomalies.get billing.anomalies.list billing.anomaliesConfigs.* billing.anomaliesConfigs.get billing.anomaliesConfigs.update billing.budgets.* billing.budgets.create billing.budgets.delete billing.budgets.get billing.budgets.list billing.budgets.update billing.resourceAssociations.list recommender.costInsights.* recommender.costInsights.get recommender.costInsights.list recommender.costInsights.update
Billing Account Creator (roles/billing.creator) Provides access to create billing accounts. Lowest-level resources where you can grant this role: Organization	billing.accounts.create resourcemanager.organizations.get
Project Billing Manager (roles/billing.projectManager) When granted in conjunction with the Billing Account User role, provides access to assign a project's billing account or disable its billing. Lowest-level resources where you can grant this role: Project	resourcemanager.projects.createBillingAssignment resourcemanager.projects.deleteBillingAssignment
Billing Account User (roles/billing.user) When granted in conjunction with the Project Owner role or Project Billing Manager role, provides access to associate projects with billing accounts. Lowest-level resources where you can grant this role: Billing Account	billing.accounts.get billing.accounts.getIamPolicy billing.accounts.list billing.accounts.redeemPromotion billing.credits.list billing.resourceAssociations.create
Billing Account Viewer (roles/billing.viewer) View billing account cost and pricing information, transactions, and billing and commitment recommendations. Lowest-level resources where you can grant this role: Billing Account	billing.accounts.get billing.accounts.getCarbonInformation billing.accounts.getIamPolicy billing.accounts.getPaymentInfo billing.accounts.getPricing billing.accounts.getSpendingInformation billing.accounts.getUsageExportSpec billing.accounts.list billing.anomalies.get billing.anomalies.list billing.anomaliesConfigs.get billing.billingAccountPrice.get billing.billingAccountPrices.list billing.billingAccountServices.* billing.billingAccountServices.get billing.billingAccountServices.list billing.billingAccountSkuGroupSkus.* billing.billingAccountSkuGroupSkus.get billing.billingAccountSkuGroupSkus.list billing.billingAccountSkuGroups.* billing.billingAccountSkuGroups.get billing.billingAccountSkuGroups.list billing.billingAccountSkus.* billing.billingAccountSkus.get billing.billingAccountSkus.list billing.budgets.get billing.budgets.list billing.credits.list billing.finOpsBenchmarkInformation.get billing.finOpsHealthInformation.get billing.resourceAssociations.list billing.subscriptions.get billing.subscriptions.list commerceoffercatalog.* commerceoffercatalog.agreements.get commerceoffercatalog.agreements.list commerceoffercatalog.documents.get commerceoffercatalog.documents.list commerceoffercatalog.offers.get consumerprocurement.accounts.get consumerprocurement.accounts.list consumerprocurement.consents.check consumerprocurement.consents.list consumerprocurement.orderAttributions.get consumerprocurement.orderAttributions.list consumerprocurement.orders.get consumerprocurement.orders.list dataprocessing.datasources.get dataprocessing.datasources.list dataprocessing.groupcontrols.get dataprocessing.groupcontrols.list recommender.commitmentUtilizationInsights.get recommender.commitmentUtilizationInsights.list recommender.costInsights.get recommender.costInsights.list recommender.costRecommendations.* recommender.costRecommendations.listAll recommender.costRecommendations.summarizeAll recommender.spendBasedCommitmentInsights.get recommender.spendBasedCommitmentInsights.list recommender.spendBasedCommitmentRecommendations.get recommender.spendBasedCommitmentRecommendations.list recommender.spendBasedCommitmentRecommenderConfig.get recommender.usageCommitmentRecommendations.get recommender.usageCommitmentRecommendations.list

Relazioni IAM tra organizzazioni, progetti, account di fatturazione Cloud e profili pagamenti tramite Google

Le interazioni tra organizzazioni, account di fatturazione Cloud e progetti sono regolate da due tipi di relazioni: proprietà e collegamento dei pagamenti.

• Proprietà si riferisce all'eredità delle autorizzazioni IAM.
• I collegamenti dei pagamenti definiscono l'account di fatturazione Cloud che paga per un determinato progetto.

Il seguente diagramma mostra la relazione tra i collegamenti di proprietà e pagamento per un'organizzazione di esempio.

Nel diagramma, l'organizzazione è proprietaria dei progetti 1, 2 e 3, ovvero è l'organizzazione principale delle autorizzazioni IAM dei tre progetti.

L'account di fatturazione Cloud è collegato ai progetti 1, 2 e 3, il che significa che paga i costi sostenuti dai tre progetti. L'account di fatturazione Cloud può anche pagare i progetti in altre organizzazioni, ma eredita le autorizzazioni IAM dall'organizzazione principale.

L'account di fatturazione Cloud è collegato anche a un profilo pagamenti Google, che memorizza informazioni come nome, indirizzo e metodi di pagamento. Scopri come gestire le autorizzazioni utente del profilo pagamenti Google.

Sebbene tu colleghi gli account di fatturazione Cloud ai progetti, gli account di fatturazione Cloud non sono i progetti principali in un senso IAM e quindi i progetti non ereditano le autorizzazioni dall'account di fatturazione Cloud a cui sono collegati.

In questo esempio, tutti gli utenti a cui sono stati concessi i ruoli di fatturazione IAM nell'organizzazione li hanno anche nell'account di fatturazione Cloud o nei progetti.

Esempi di controllo dell'accesso della fatturazione Cloud

Combina i ruoli IAM come segue per soddisfare le esigenze di una serie di scenari.

Scenario: piccola o media impresa con una preferenza per il controllo centralizzato.
Tipo di utente	Ruoli IAM di fatturazione	Attività di fatturazione
CEO	Amministratore account di fatturazione	Gestisci lo strumento di pagamento. Visualizza e approva le fatture.
CTO	Amministratore account di fatturazione Autore progetto	Imposta gli avvisi relativi al budget. Visualizza la spesa. Crea nuovi progetti fatturabili.
Team di sviluppo	Nessuno	Nessuno

Scenario: piccola o media impresa con preferenza per l'autorità delegata.
Tipo di utente	Ruoli IAM di fatturazione	Attività di fatturazione
CEO	Amministratore account di fatturazione	Gestisci lo strumento di pagamento. Delega l'autorità.
CFO	Amministratore account di fatturazione	Imposta gli avvisi relativi al budget. Visualizza la spesa.
Contabilità fornitori	Visualizzatore account di fatturazione	Visualizzare e approvare le fatture.
Team di sviluppo	Utente account di fatturazione Autore progetto	Creare nuovi progetti fatturabili.

Scenario: funzioni di pianificazione finanziaria e approvvigionamento separate
Tipo di utente	Ruoli IAM di fatturazione	Attività di fatturazione
Procurement o IT centrale	Amministratore account di fatturazione	Gestisci lo strumento di pagamento. Imposta gli avvisi relativi al budget. Comunica la spesa ai team di sviluppo.
Pianificazione finanziaria	Visualizzatore account di fatturazione	Visualizza i report di fatturazione. Elabora le esportazioni. Comunica con i responsabili delle decisioni aziendali.
Contabilità fornitori	Visualizzatore account di fatturazione	Approva le fatture.
Team di sviluppo	Utente account di fatturazione Autore progetto	Creare nuovi progetti fatturabili.

Scenario: agenzia di sviluppo
Tipo di utente	Ruoli IAM di fatturazione	Attività di fatturazione
CEO	Amministratore account di fatturazione	Gestisci lo strumento di pagamento. Delega l'autorità.
CFO	Amministratore account di fatturazione	Imposta gli avvisi relativi al budget. Visualizza la spesa. Approva le fatture.
Capo progetto	Utente account di fatturazione Autore progetto	Creare nuovi progetti fatturabili.
Team di sviluppo del progetto	Nessuno	Sviluppare all'interno di progetti esistenti.
Client	Gestore fatturazione progetto	Acquisisci la proprietà del pagamento del progetto al termine.

Come aggiornare le autorizzazioni per la fatturazione Cloud

Per scoprire come esaminare, aggiungere o rimuovere le autorizzazioni di fatturazione Cloud, segui le indicazioni riportate in Gestire l'accesso agli account di fatturazione Cloud.

Argomenti correlati

• Gestire l'accesso agli account di fatturazione Cloud
• Controllo dell'accesso all'API Cloud Billing
• Concessione, modifica e revoca dell'accesso nella documentazione di IAM
• Creare ruoli personalizzati per la fatturazione Cloud

Provalo

Se non conosci Google Cloud, crea un account per valutare le prestazioni dei nostri prodotti in scenari reali. I nuovi clienti ricevono anche 300 $ di crediti gratuiti per l'esecuzione, il test e il deployment dei carichi di lavoro.

Inizia gratuitamente