이 문서에서는 구성 컨트롤러에 Google Cloud 리소스 관리 권한을 부여하는 방법을 설명합니다.
최소 권한
Identity and Access Management를 안전하게 사용하기 위해 Google Cloud 에서는 다음과 같은 최소 권한 권장사항이 추천됩니다. 프로덕션 환경에서는 의도한 기능을 수행하는 데 본질적으로 중요한 권한만 사용자 계정 또는 프로세스에 부여합니다.
구성 커넥터의 IAM 권한
IAM은 구성 커넥터가 Google Cloud 리소스에 대해 조치를 취할 수 있는 권한을 부여합니다.
(권장) 사전 정의된 역할 또는 커스텀 역할
최소 권한 권장사항을 따르기 위해서는 가장 제한적인 사전 정의된 역할 또는 사용자 요구를 충족하는 커스텀 역할을 부여합니다. 예를 들어 GKE 클러스터 생성을 관리하기 위해 구성 커넥터가 필요한 경우 Kubernetes Engine 클러스터 관리자 역할(roles/container.clusterAdmin)을 부여합니다.
역할 추천을 사용해서 대신 부여할 역할을 결정할 수 있습니다. 정책 시뮬레이터를 사용하여 역할을 변경해도 주 구성원의 액세스에 영향을 미치지 않도록 할 수 있습니다.
기본 역할
최소 권한 권장사항에 따라 프로덕션 환경과 비프로덕션 환경에서 동일한 권한을 갖는 것이 좋습니다. 동일한 권한을 가지면 비프로덕션에서 프로덕션 구성을 테스트하고 문제를 조기에 감지할 수 있는 이점이 있습니다.
그렇지만 특정 상황에서 구성 커넥터의 실험 속도를 높여야 하는 경우도 있습니다. 비프로덕션 환경의 경우 가장 제한된 권한을 결정하기 전에 기본 역할 중 하나를 실험적으로 사용할 수 있습니다.
소유자 역할(roles/owner)은 구성 커넥터가 IAM 리소스를 포함하여 프로젝트에서 대부분의 Google Cloud 리소스를 관리하는 것을 허용합니다.
편집자 역할(roles/editor)은 IAM 수정과 같은 프로젝트 또는 조직 전체 구성을 제외한 대부분의 구성 커넥터 기능을 허용합니다.
[[["이해하기 쉬움","easyToUnderstand","thumb-up"],["문제가 해결됨","solvedMyProblem","thumb-up"],["기타","otherUp","thumb-up"]],[["이해하기 어려움","hardToUnderstand","thumb-down"],["잘못된 정보 또는 샘플 코드","incorrectInformationOrSampleCode","thumb-down"],["필요한 정보/샘플이 없음","missingTheInformationSamplesINeed","thumb-down"],["번역 문제","translationIssue","thumb-down"],["기타","otherDown","thumb-down"]],["최종 업데이트: 2025-07-22(UTC)"],[],[],null,["# IAM permissions for Config Controller\n\nThis document describes how to grant Config Controller permissions to manage\nyour Google Cloud resources.\n\nLeast privilege\n---------------\n\nTo use Identity and Access Management securely, Google Cloud recommends following the\n[least privilege](/iam/docs/using-iam-securely#least_privilege)\nbest practice. In production environments, give any user accounts or processes\nonly those privileges which are essentially vital to perform its intended\nfunctions.\n\nIAM permissions for Config Connector\n------------------------------------\n\nIAM authorizes Config Connector to take actions on Google Cloud resources.\n\n### (Recommended) Predefined or custom roles\n\nTo follow the least privilege best practice, grant the most limited\n[predefined roles](/iam/docs/understanding-roles#predefined_roles)\nor\n[custom roles](/iam/docs/understanding-custom-roles)\nthat meet your needs. For example, if you need Config Connector to manage your\nGKE cluster creation, grant the\n[Kubernetes Engine Cluster Admin role](/kubernetes-engine/docs/how-to/iam#predefined)\n(`roles/container.clusterAdmin`).\n\nYou can use\n[role recommendations](/iam/docs/recommender-overview)\nto determine which roles to grant instead. You can also use the\n[Policy Simulator](/iam/docs/understanding-simulator)\nto ensure that changing the role won't affect the principal's access.\n\n### Basic roles\n\nIt is recommended to have the same permissions in a non-production environment\nthat you have in a production environment, following the least privilege best\npractice. Having the same permissions has the benefit of testing the production\nconfigurations in non-production, and detecting issues earlier.\n\nThat said, for certain situations you may want to speed up experimenting with\nConfig Connector. For non-production environments, you can use one of the basic roles\nas an experiment, before deciding on the most limited permissions.\n| **Caution:** Basic roles include thousands of permissions across all Google Cloud services. In production environments, don't grant basic roles unless there is no alternative. Instead, grant the most limited [predefined roles](/iam/docs/understanding-roles#predefined_roles) or [custom roles](/iam/docs/understanding-custom-roles) that meet your needs.\n\nThe\n[Owner role](/iam/docs/understanding-roles#basic)\n(`roles/owner`) allows Config Connector to manage most of Google Cloud resources in\nyour project, including IAM resources.\n\nThe\n[Editor role](/iam/docs/understanding-roles#basic)\n(`roles/editor`) allows most Config Connector capabilities except Project or\nOrganization-wide configurations such as IAM modifications.\n\nTo learn more about IAM permissions for Config Connector:\n\n- Read [IAM permissions for Config Connector](/config-connector/docs/how-to/configure-iam-permissions).\n- Read [Config Connector permission troubleshooting guide](/config-connector/docs/troubleshooting#error_403_caller_is_missing_iam_permission)."]]
