本页面介绍了如何使用 Identity and Access Management (IAM) 控制 Security Command Center 组织级激活中资源的访问权限。如果满足以下任一条件，则此页面与您相关：
- Security Command Center 在组织级而不是项目级激活。
- Security Command Center 标准级层已在组织级层激活。此外，您已在一个或多个项目中激活 Security Command Center 高级方案。
如果您在项目级而不是组织级激活了 Security Command Center，请参阅适用于项目级激活的 IAM。
在 Security Command Center 的组织级激活中，您可以控制资源层次结构不同级层对资源的访问权限。您可以通过 Security Command Center 的 IAM 角色来控制谁可以对 Security Command Center 环境中的资源、发现结果和安全来源执行哪些操作。您可以向个人和应用授予角色，每个角色提供特定权限。
权限
要设置 Security Command Center 或更改组织的配置，您需要在组织级别拥有以下两个角色：
- Organization Admin (
roles/resourcemanager.organizationAdmin) - Security Center Admin (
roles/securitycenter.admin)
如果用户不需要修改权限，请考虑授予其查看者角色。
如需在 Security Command Center 中查看所有资源、发现结果和攻击路径，用户需要在组织级层具有 Security Center Admin Viewer (roles/securitycenter.adminViewer) 角色。
如需查看设置，用户需要在组织级层具有 Security Center Admin (roles/securitycenter.admin) 角色。
如需限制对各个文件夹和项目的访问权限，请不要在组织级层授予所有角色。请改为在文件夹或 项目级层授予以下角色：
- Security Center Assets Viewer (
roles/securitycenter.assetsViewer) - Security Center Findings Viewer (
roles/securitycenter.findingsViewer)
组织级角色
在组织级层应用 IAM 角色时，该组织下的项目和文件夹会继承其角色绑定。
下图展示了在组织级层授予角色的典型 Security Command Center 资源层次结构。
IAM 角色包含查看、修改、更新、创建或删除资源的权限。在 Security Command Center 中授予组织级角色，可让您对整个组织中的发现结果、资产和安全来源执行规定的操作。例如，具有 Security Center Findings Editor 角色 (roles/securitycenter.findingsEditor) 的用户可以查看或修改附加到项目的任何项目或文件夹中的任何资源的发现结果。使用此结构，您无需在每个文件夹或项目中授予用户角色。
如需了解如何管理角色和权限，请参阅管理对项目、文件夹和组织的访问权限。
组织级角色并不适用于所有使用场景，尤其是对于需要严格的访问权限控制的敏感应用或合规性标准。如需创建精细的访问权限政策，您可以在文件夹和项目级层授予角色。
文件夹级和项目级角色
通过 Security Command Center，您可以为组织内的特定文件夹和项目授予 Security Command Center IAM 角色，从而创建多个视图或孤岛。您可以向用户和群组授予对组织内的文件夹和项目的不同访问权限和修改权限。
以下视频介绍了如何授予文件夹级和项目级角色，以及如何在 Security Command Center 信息中心内管理这些角色。
通过文件夹和项目角色，具有 Security Command Center 角色的用户能够管理指定项目或文件夹中的资源和发现结果。例如，安全工程师可被授予部分文件夹和项目的有限访问权限，而安全管理员可以管理组织级层的所有资源。
借助文件夹角色和项目角色，您可以在组织资源层次结构的较低级层应用 Security Command Center 权限，但不会更改层次结构。下图展示了一个具有访问某个特定项目中发现结果的 Security Command Center 权限的用户。
具有文件夹和项目角色的用户可以查看组织资源的子集。他们执行的任何操作均限于相同的范围。例如，如果用户拥有某个文件夹的权限，则可以访问文件夹内任何项目的资源。用户可通过项目权限访问该项目中的资源。
如需了解如何管理角色和权限，请参阅管理对项目、文件夹和组织的访问权限。
角色限制
在文件夹或项目级层授予 Security Command Center 角色后，Security Command Center 管理员可以执行以下操作：
- 限制 Security Command Center 视图或修改特定文件夹和项目的权限
- 向特定用户或团队授予对一组资源或发现结果的查看或修改权限
- 仅限有权访问底层发现结果的个人或群组查看或修改详细信息（包括更新安全标记和发现结果状态）
- 控制对 Security Command Center 设置的访问权限，只有具有组织级层角色的个人才能查看这些设置
Security Command Center 功能
可用的 Security Command Center 功能也取决于查看和修改权限。
在 Google Cloud 控制台中，Security Command Center 允许没有组织级层权限的用户仅选择他们有权访问的资源。用户所做的选择会更新界面的所有元素，包括资源、发现结果和设置控件。用户可以看到与其角色关联的权限，以及是否能够访问或修改当前范围内的发现结果。
Security Command Center API 和 Google Cloud CLI 还限制函数只能在规定的文件夹和项目中使用。如果用于列出资源和发现结果或对其进行分组的调用是由具有文件夹或项目角色的用户发出的，则系统只会返回这些范围内的发现结果或资源。
对于 Security Command Center 的组织级激活，创建或更新发现结果和发现结果通知的调用仅支持组织范围。您需要组织级角色才能执行这些任务。
如需查看通过攻击路径模拟生成的攻击路径，必须在组织级层授予适当的权限，并将 Google Cloud 控制台视图设置为组织。
发现结果的父级资源
发现结果通常会关联到资源，例如虚拟机或防火墙。Security Command Center 将发现结果与生成发现结果的资源的最直接容器关联。例如，如果一个虚拟机生成发现结果，则该发现结果将关联到包含该虚拟机的项目。未连接到 Google Cloud 资源的发现结果将关联到组织，并对具有组织级 Security Command Center 权限的所有人可见。
Security Command Center 中的 IAM 角色
下面列出了 Security Command Center 可用的 IAM 角色及其包含的权限。Security Command Center 支持在组织、文件夹或项目级层授予这些角色。
| Role | Permissions |
|---|---|
Security Center Admin( Admin(super user) access to security center Lowest-level resources where you can grant this role:
|
|
Security Center Admin Editor( Admin Read-write access to security center Lowest-level resources where you can grant this role:
|
|
Security Center Admin Viewer( Admin Read access to security center Lowest-level resources where you can grant this role:
|
|
Security Center Asset Security Marks Writer( Write access to asset security marks Lowest-level resources where you can grant this role:
|
|
Security Center Assets Discovery Runner( Run asset discovery access to assets Lowest-level resources where you can grant this role:
|
|
Security Center Assets Viewer( Read access to assets Lowest-level resources where you can grant this role:
|
|
Security Center Attack Paths Reader( Read access to security center attack paths |
|
Security Center BigQuery Exports Editor( Read-Write access to security center BigQuery Exports |
|
Security Center BigQuery Exports Viewer( Read access to security center BigQuery Exports |
|
Security Center Compliance Snapshots Viewer Beta( Read access to security center compliance snapshots |
|
Security Center External Systems Editor( Write access to security center external systems |
|
Security Center Finding Security Marks Writer( Write access to finding security marks Lowest-level resources where you can grant this role:
|
|
Security Center Findings Bulk Mute Editor( Ability to mute findings in bulk |
|
Security Center Findings Editor( Read-write access to findings Lowest-level resources where you can grant this role:
|
|
Security Center Findings Mute Setter( Set mute access to findings |
|
Security Center Findings State Setter( Set state access to findings Lowest-level resources where you can grant this role:
|
|
Security Center Findings Viewer( Read access to findings Lowest-level resources where you can grant this role:
|
|
Security Center Findings Workflow State Setter Beta( Set workflow state access to findings Lowest-level resources where you can grant this role:
|
|
Security Center Mute Configurations Editor( Read-Write access to security center mute configurations |
|
Security Center Mute Configurations Viewer( Read access to security center mute configurations |
|
Security Center Notification Configurations Editor( Write access to notification configurations Lowest-level resources where you can grant this role:
|
|
Security Center Notification Configurations Viewer( Read access to notification configurations Lowest-level resources where you can grant this role:
|
|
Security Center Resource Value Configurations Editor( Read-Write access to security center resource value configurations |
|
Security Center Resource Value Configurations Viewer( Read access to security center resource value configurations |
|
Security Health Analytics Custom Modules Tester( Test access to Security Health Analytics Custom Modules |
|
Security Center Settings Admin( Admin(super user) access to security center settings Lowest-level resources where you can grant this role:
|
|
Security Center Settings Editor( Read-Write access to security center settings Lowest-level resources where you can grant this role:
|
|
Security Center Settings Viewer( Read access to security center settings Lowest-level resources where you can grant this role:
|
|
Security Center Simulations Reader( Read access to security center simulations |
|
Security Center Sources Admin( Admin access to sources Lowest-level resources where you can grant this role:
|
|
Security Center Sources Editor( Read-write access to sources Lowest-level resources where you can grant this role:
|
|
Security Center Sources Viewer( Read access to sources Lowest-level resources where you can grant this role:
|
|
Security Center Valued Resources Reader( Read access to security center valued resources |
|
安全状况服务中的 IAM 角色
以下是 Security Posture 服务和基础架构即代码验证功能可用的 IAM 角色和权限列表。您可以在组织、文件夹或项目级别授予这些角色。 请注意，Security Posture Admin 角色仅在组织级层提供。
| 角色 | 权限 |
|---|---|
Security Posture 管理员( 拥有对 Security Posture 服务 API 的完整访问权限。 |
|
Security Posture 资源编辑者( 拥有对 Posture 资源的更改和读取权限。 |
|
Security Posture 部署者( 拥有对 Posture Deployment 资源的更改和读取权限。 |
|
Security Posture 资源查看者( 拥有对 Posture 资源的只读权限。 |
|
Security Posture Deployment Viewer( 拥有对 Posture Deployment 资源的只读权限。 |
|
安全状况左移验证器( 创建报告访问权限，例如 IaC 验证报告。 |
|
Security Posture Viewer( 拥有对所有 SecurityPosture 服务资源的只读权限。 |
|
服务代理角色
服务代理是由 Google 代管式服务帐号，允许服务访问您的资源。
激活 Security Command Center 后，系统会为您创建两个服务代理：
service-org-ORGANIZATION_ID@security-center-api.iam.gserviceaccount.com.此服务代理需要
roles/securitycenter.serviceAgentIAM 角色。service-org-ORGANIZATION_ID@gcp-sa-ktd-hpsa.iam.gserviceaccount.com.此服务代理需要
roles/containerthreatdetection.serviceAgentIAM 角色。
在 Security Command Center 的激活过程中，系统会提示您向每个服务代理授予一个或多个必需的 IAM 角色。必须向每个服务代理授予角色，Security Command Center 才能正常运行。
如需查看每个角色的权限，请参阅以下内容：
如需授予这些角色，您必须拥有 roles/resourcemanager.organizationAdmin 角色。
如果您没有 roles/resourcemanager.organizationAdmin 角色，组织管理员可以使用以下 gcloud CLI 命令向服务代理授予这些角色：
gcloud organizations add-iam-policy-binding ORGANIZATION_ID \
--member="SERVICE_AGENT_NAME" \
--role="IAM_ROLE"
替换以下内容：
ORGANIZATION_ID：您的组织 ID。SERVICE_AGENT_NAME：您要向其授予角色的服务代理的名称。该名称是以下服务代理名称之一：service-org-ORGANIZATION_ID@security-center-api.iam.gserviceaccount.comservice-org-ORGANIZATION_ID@gcp-sa-ktd-hpsa.iam.gserviceaccount.com
IAM_ROLE：与指定的服务代理对应的以下所需角色：roles/securitycenter.serviceAgentroles/containerthreatdetection.serviceAgent
如需详细了解 IAM 角色，请参阅 了解角色。
Web Security Scanner
IAM 角色介绍了如何使用 Web Security Scanner。下表列出了 Web Security Scanner 可用的每个 IAM 角色及其可用方法。在 项目 级层授予这些角色。为了让用户能够创建和管理安全扫描，您需要将用户添加到项目中并使用角色授予他们权限。
Web Security Scanner 支持基本角色和预定义角色，后者提供对 Web Security Scanner 资源的更精细的访问权限。
基本 IAM 角色
下文介绍了基本角色授予的 Web Security Scanner 权限。
| 角色 | 说明 |
|---|---|
| Owner | 拥有所有 Web Security Scanner 资源的完整访问权限 |
| Editor | 拥有所有 Web Security Scanner 资源的完整访问权限 |
| Viewer | 无法拥有对 Web Security Scanner 的访问权限 |
预定义 IAM 角色
下面介绍了 Web Security Scanner 角色授予的 Web Security Scanner 权限。
| Role | Permissions |
|---|---|
Web Security Scanner Editor( Full access to all Web Security Scanner resources Lowest-level resources where you can grant this role:
|
|
Web Security Scanner Runner( Read access to Scan and ScanRun, plus the ability to start scans Lowest-level resources where you can grant this role:
|
|
Web Security Scanner Viewer( Read access to all Web Security Scanner resources Lowest-level resources where you can grant this role:
|
|
如需详细了解 IAM 角色，请参阅 了解角色。