Ruoli e autorizzazioni

Google Cloud offre Identity and Access Management (IAM), che permette di concedere un accesso più granulare a determinate risorse Google Cloud e impedisce l'accesso indesiderato ad altre risorse. In questa pagina vengono descritti i ruoli dell'API Cloud DNS. Per una descrizione dettagliata di IAM, consulta la documentazione di Identity and Access Management.

IAM consente di adottare il principio di sicurezza del privilegio minimo in modo da concedere solo le autorizzazioni necessarie alle tue risorse.

IAM consente di controllare chi ha quali autorizzazioni per quali risorse impostando i criteri IAM. I criteri IAM concedono ruoli specifici a un utente, concedendo all'utente determinate autorizzazioni. Ad esempio, un utente specifico potrebbe dover creare e modificare le risorse di record DNS (Domain Name System). Quindi, assegna a quell'utente (chi) il ruolo /roles/dns.admin, che dispone delle autorizzazioni dns.changes.create e dns.resourceRecordSets.create, in modo che possa creare e aggiornare i set di record di risorse (quali). D'altra parte, un reparto di assistenza potrebbe avere bisogno di visualizzare solo i set di record di risorse esistenti, quindi ottiene un ruolo /roles/dns.reader.

Cloud DNS supporta le autorizzazioni IAM a livello di progetto e di singola zona DNS (disponibile in Anteprima). L'autorizzazione predefinita è a livello di progetto. Per configurare le autorizzazioni a livello di singola zona (o risorsa) DNS, consulta Creare una zona con autorizzazioni IAM specifiche.

Autorizzazioni e ruoli

Ogni metodo dell'API Cloud DNS richiede al chiamante di disporre delle autorizzazioni IAM necessarie. Le autorizzazioni vengono assegnate concedendo ruoli a un account utente, gruppo o servizio. Oltre ai ruoli di base Proprietario, Editor e Visualizzatore, puoi concedere ruoli API Cloud DNS agli utenti del progetto.

Autorizzazioni

Nella tabella seguente sono elencate le autorizzazioni che il chiamante deve chiamare ogni metodo.

Metodo	Autorizzazioni obbligatorie
dns.changes.create per creare un set di record di risorse.	dns.changes.create e dns.resourceRecordSets.create nel progetto contenente il set di record.
dns.changes.create per l'aggiornamento di un set di record di risorse.	dns.changes.create e dns.resourceRecordSets.update nel progetto contenente il set di record.
dns.changes.create per eliminare un set di record di risorse.	dns.changes.create e dns.resourceRecordSets.delete nel progetto contenente il set di record.
dns.changes.get	dns.changes.get per il progetto contenente la zona gestita.
dns.changes.list	dns.changes.list per il progetto contenente la zona gestita.
dns.dnsKeys.get	dns.dnsKeys.get per il progetto contenente la zona gestita.
dns.dnsKeys.list	dns.dnsKeys.list per il progetto contenente la zona gestita.
dns.managedZoneOperations.get	dns.managedZoneOperations.get per il progetto contenente la zona gestita.
dns.managedZoneOperations.list	dns.managedZoneOperations.list per il progetto contenente la zona gestita.
dns.managedZones.create	dns.managedZones.create per il progetto contenente la zona gestita. Se crei una zona privata, devi avere anche dns.networks.bindPrivateDNSZone e dns.networks.targetWithPeeringZone per ogni progetto contenente ogni rete VPC che autorizzi ad accedere alla zona.
dns.managedZones.delete	dns.managedZones.delete per il progetto contenente la zona gestita.
dns.managedZones.get	dns.managedZones.get per il progetto contenente la zona gestita.
dns.managedZones.list	dns.managedZones.list per il progetto contenente la zona gestita.
dns.managedZones.update	dns.managedZones.update per il progetto contenente la zona gestita. Se crei una zona privata, devi avere anche dns.networks.bindPrivateDNSZone e dns.networks.targetWithPeeringZone per ogni progetto contenente ogni rete VPC che autorizzi ad accedere alla zona.
dns.policies.create	dns.policies.create per il progetto contenente il criterio. Se il criterio viene creato su una rete VPC, devi avere anche dns.networks.bindPrivateDNSPolicy per ogni progetto contenente ogni rete VPC.
dns.policies.delete	dns.policies.delete per il progetto contenente il criterio.
dns.policies.get	dns.policies.get per il progetto contenente il criterio.
dns.policies.list	dns.policies.list per il progetto contenente il criterio.
dns.policies.update	dns.policies.update per il progetto contenente il criterio. Se il criterio viene aggiornato in modo che sia su una rete VPC, devi avere dns.networks.bindPrivateDNSPolicy anche per ogni progetto contenente ogni rete VPC.
dns.policies.update	dns.policies.update per il progetto contenente il criterio.
dns.projects.get	dns.projects.get per il progetto.
dns.resourceRecordSets.create	dns.resourceRecordSets.create per il progetto contenente il set di record.
dns.resourceRecordSets.delete	dns.resourceRecordSets.delete per il progetto contenente il set di record.
dns.resourceRecordSets.get	dns.resourceRecordSets.get per il progetto contenente il set di record.
dns.resourceRecordSets.list	dns.resourceRecordSets.list per il progetto contenente la zona gestita.
dns.resourceRecordSets.update	dns.resourceRecordSets.update per il progetto contenente il set di record.
dns.responsePolicies.create	dns.responsePolicies.create per il progetto contenente il criterio di risposta. È necessario anche dns.networks.bindDNSResponsePolicy per convalidare la richiesta.
dns.responsePolicies.delete	dns.responsePolicies.delete per il progetto contenente il criterio di risposta.
dns.responsePolicies.get	dns.responsePolicies.get per il progetto contenente il criterio di risposta.
dns.responsePolicies.list	dns.responsePolicies.list per il progetto.
dns.responsePolicies.update	dns.responsePolicies.update per il progetto contenente il criterio di risposta. È necessario anche dns.networks.bindDNSResponsePolicy per convalidare la richiesta.
dns.responsePolicyRules.create	dns.responsePolicyRules.create per il progetto contenente la regola del criterio di risposta.
dns.responsePolicyRules.delete	dns.responsePolicyRules.delete per il progetto contenente la regola del criterio di risposta.
dns.responsePolicyRules.get	dns.responsePolicyRules.get per il progetto contenente la regola del criterio di risposta.
dns.responsePolicyRules.list	dns.responsePolicyRules.list per il progetto contenente il criterio di risposta.
dns.responsePolicyRules.update	dns.responsePolicyRules.update per il progetto contenente la regola del criterio di risposta.

Ruoli

La tabella riportata di seguito elenca i ruoli IAM dell'API Cloud DNS con un elenco corrispondente di tutte le autorizzazioni incluse in ciascun ruolo. Ogni autorizzazione è applicabile a un determinato tipo di risorsa.

Puoi anche utilizzare i ruoli di base per apportare modifiche al DNS.

Ruolo	Autorizzazioni
Amministratore DNS (roles/dns.admin) Fornisce l'accesso in lettura/scrittura a tutte le risorse Cloud DNS. Risorse di livello più basso in cui puoi concedere questo ruolo: Progetto	compute.networks.get compute.networks.list dns.modifiche.* dns.modifiche.create dns.modifiche.get dns.modifiche.elenco dns.dnsKeys.* dns.dnsKeys.get dns.dnsKeys.list dns.managedZoneOperations.* dns.managedZoneOperations.get dns.managedZoneOperations.list dns.managedZones.create dns.managedZones.delete dns.managedZones.get dns.managedZones.getIamPolicy dns.managedZones.list dns.managedZones.update dns.networks.* dns.reti.bindDNSResponsePolicy dns.reti.bindPrivateDNSPolicy dns.reti.bindPrivateDNSZone dns.reti.targetWithPeeringZone dns.policies.create dns.policies.delete dns.policies.get dns.policies.getIamPolicy dns.policies.list dns.policies.update dns.projects.get dns.resourceRecordSets.* dns.resourceRecordSets.create dns.resourceRecordSets.delete dns.resourceRecordSets.get dns.resourceRecordSets.list dns.resourceRecordSets.update dns.responsePolicies.* dns.responsePolicies.create dns.responsePolicies.delete dns.responsePolicies.get dns.responsePolicies.list dns.responsePolicies.update dns.responsePolicyRegole.* dns.responsePolicyPolicy.create dns.responsePolicyRegole.delete dns.responsePolicyRegole.get dns.responsePolicyRegole.list dns.responsePolicyRegole.update resourcemanager.projects.get resourcemanager.projects.list
Peer DNS (roles/dns.peer) Accesso alle reti target per le zone con peering DNS.	dns.reti.targetWithPeeringZone
Lettore DNS (roles/dns.reader) Fornisce l'accesso in sola lettura a tutte le risorse Cloud DNS. Risorse di livello più basso in cui puoi concedere questo ruolo: Progetto	compute.networks.get dns.modifiche.get dns.modifiche.elenco dns.dnsKeys.* dns.dnsKeys.get dns.dnsKeys.list dns.managedZoneOperations.* dns.managedZoneOperations.get dns.managedZoneOperations.list dns.managedZones.get dns.managedZones.list dns.policies.get dns.policies.list dns.projects.get dns.resourceRecordSets.get dns.resourceRecordSets.list dns.responsePolicies.get dns.responsePolicies.list dns.responsePolicyRegole.get dns.responsePolicyRegole.list resourcemanager.projects.get resourcemanager.projects.list

Gestione del controllo dell'accesso

Puoi utilizzare Google Cloud Console per gestire il controllo dell'accesso per i tuoi argomenti e progetti.

Per impostare i controlli di accesso a livello di progetto, segui questi passaggi.

console

1. Nella console Google Cloud, vai alla pagina IAM.

   Vai alla pagina IAM

2. Seleziona il progetto nel menu a discesa in alto.

3. Fai clic su Aggiungi.

4. In Nuove entità, inserisci l'indirizzo email di una nuova entità.

5. Seleziona il ruolo desiderato dal menu a discesa.

6. Fai clic su Salva.

7. Verifica che l'entità sia elencata con il ruolo che hai concesso.

Passaggi successivi

• Per iniziare a utilizzare Cloud DNS, vedi Guida rapida: configurare i record DNS per un nome di dominio con Cloud DNS.
• Per trovare soluzioni a problemi comuni che potresti riscontrare quando utilizzi Cloud DNS, consulta la sezione Risoluzione dei problemi.