이 문서에는 워크로드 관리자 평가를 사용하고 평가를 실행하기 위한 워크로드 관리자 서비스 계정을 자동으로 만드는 데 필요한 다양한 프로젝트의 역할과 권한이 나열되어 있습니다.
워크로드 관리자 프로젝트
워크로드 관리자 평가에서는 타겟 프로젝트라고 하는 여러 프로젝트의 리소스를 스캔하지만 평가는 소비자 프로젝트라고 하는 하나의 프로젝트에만 저장됩니다.
Google Cloud 콘솔에서 워크로드 관리자에 액세스하고 평가를 만들고 실행하는 데 소비자 프로젝트를 사용합니다. Google Cloud 콘솔을 사용하여 평가를 만들 때 워크플로의 평가 범위 섹션에서 평가할 리소스가 포함된 타겟 프로젝트를 지정합니다.
평가할 리소스가 워크로드 관리자 평가를 만드는 프로젝트에 있는 경우 소비자 프로젝트도 타겟 프로젝트 중 하나로 간주됩니다.
평가를 만들고 실행하는 데 필요한 권한 요약
다음 표에는 워크로드 관리자를 사용하여 평가를 만들고 실행하는 데 필요한 소비자 및 타겟 프로젝트의 사용자 권한이 요약되어 있습니다.
필요한 권한을 얻으려면 관리자에게 필수 권한이 포함된 역할을 부여해 달라고 요청하거나 커스텀 역할을 만드세요.
작업
소비자 프로젝트
대상 프로젝트
Workload Manager API 사용 설정
권한: serviceusage.services.enable
권한이 포함된 사전 정의된 역할: roles/serviceusage.serviceUsageAdmin
없음
평가 생성
서비스 계정 생성 권한: resourcemanager.projects.setIamPolicy
권한이 포함된 사전 정의된 역할: roles/resourcemanager.projectIamAdmin
첫 번째 평가를 만들 때만 필요합니다.
평가를 만들 권한을 부여하는 사전 정의된 역할: roles/workloadmanager.evaluationAdmin
알림 알림을 만들 권한을 부여하는 사전 정의된 역할: roles/monitoring.metricWriter
맞춤 규칙을 사용하여 평가를 만들려면 다음 추가 권한이 필요합니다.
Cloud 애셋 인벤토리 데이터를 읽을 수 있는 권한을 부여하는 사전 정의된 역할: roles/cloudasset.owner
Cloud Storage 버킷에 저장된 규칙을 읽을 권한을 부여하는 사전 정의된 역할: roles/storage.objectViewer
평가 결과를 BigQuery 데이터 세트에 쓸 수 있는 권한을 부여하는 사전 정의된 역할: roles/bigquery.admin
서비스 계정 생성 권한: resourcemanager.projects.setIamPolicy
권한이 포함된 사전 정의된 역할: roles/resourcemanager.projectIamAdmin
첫 번째 평가를 만들 때만 필요합니다.
평가 실행
권한: workloadmanager.evaluations.run
권한이 포함된 사전 정의된 역할: roles/workloadmanager.evaluationAdmin
없음
평가 결과 보기
권한: workloadmanager.results.list
권한이 포함된 사전 정의된 역할: roles/workloadmanager.evaluationAdmin
또는 roles/workloadmanager.evaluationViewer
없음
워크로드 관리자 서비스 에이전트
워크로드 관리자는 서비스 에이전트를 사용하여 리소스와 연결된 프로젝트 간의 액세스 및 통신을 제어합니다.
Google Cloud console 또는 워크로드 관리자 API를 사용하여 워크로드를 평가할 수 있습니다. Google Cloud console를 사용하는 경우 워크로드 관리자가 필요한 모든 서비스 에이전트를 자동으로 만듭니다. Workload Manager API를 사용하는 경우 서비스 에이전트를 수동으로 만들어야 합니다.
필요한 역할
서비스 에이전트를 만드는 데 필요한 권한을 얻으려면 관리자에게 범위 내 각 타겟 프로젝트에 대한 프로젝트 IAM 관리자 (roles/resourcemanager.projectIamAdmin) IAM 역할을 부여해 달라고 요청하세요.
역할 부여에 대한 자세한 내용은 프로젝트, 폴더, 조직에 대한 액세스 관리를 참조하세요.
이 사전 정의된 역할에는 서비스 에이전트를 만드는 데 필요한 resourcemanager.projects.setIamPolicy 권한이 포함되어 있습니다.
[[["이해하기 쉬움","easyToUnderstand","thumb-up"],["문제가 해결됨","solvedMyProblem","thumb-up"],["기타","otherUp","thumb-up"]],[["이해하기 어려움","hardToUnderstand","thumb-down"],["잘못된 정보 또는 샘플 코드","incorrectInformationOrSampleCode","thumb-down"],["필요한 정보/샘플이 없음","missingTheInformationSamplesINeed","thumb-down"],["번역 문제","translationIssue","thumb-down"],["기타","otherDown","thumb-down"]],["최종 업데이트: 2025-09-09(UTC)"],[],[],null,["# IAM roles and permissions\n\nThis document lists the roles and permissions you need on different projects to\nuse Workload Manager evaluation and to automatically create\nWorkload Manager service accounts for running the evaluation.\n\nWorkload Manager projects\n-------------------------\n\nWorkload Manager evaluations scan resources across multiple projects\nwhich are called *target projects* , but the evaluation is stored in only one\nproject called a *consumer project*.\n\nYou use the consumer project to access Workload Manager in the\nGoogle Cloud console, and to create and run evaluations. When you create an evaluation\nusing the Google Cloud console, in the **Evaluation scope** section of the workflow,\nyou specify the target projects that hold the resources you want to evaluate.\n\nIf the resources to evaluate are present in the same project where you create a\nWorkload Manager evaluation, then the consumer project is also\nconsidered as one of your target projects.\n\nSummary of required permissions to create and run an evaluation\n---------------------------------------------------------------\n\nThe following table summarizes the permissions required for users\nin the consumer and target projects to create and run evaluations using\nWorkload Manager.\nTo get the permission that you need, ask your administrator to grant you a role\nthat includes the required permission or create a custom role.\n\nWorkload Manager service agents\n-------------------------------\n\nWorkload Manager uses\n[service agents](/iam/docs/service-account-types#service-agents)\nto control access and communication between resources and the associated\nprojects.\n\nYou can use the [Google Cloud console](https://console.cloud.google.com/) or the Workload Manager API\nto evaluate workloads. If you use the [Google Cloud console](https://console.cloud.google.com/), Workload Manager\ncreates all required service agents automatically. If you use the\nWorkload Manager API, you must manually create the service agents.\n\n### Required roles\n\n\nTo get the permission that\nyou need to create a service agent,\n\nask your administrator to grant you the\n\n\n[Project IAM Admin](/iam/docs/roles-permissions/resourcemanager#resourcemanager.projectIamAdmin) (`roles/resourcemanager.projectIamAdmin`)\nIAM role on each target project in scope.\n\n\nFor more information about granting roles, see [Manage access to projects, folders, and organizations](/iam/docs/granting-changing-revoking-access).\n\n\nThis predefined role contains the\n` resourcemanager.projects.setIamPolicy`\npermission,\nwhich is required to\ncreate a service agent.\n\n\nYou might also be able to get\nthis permission\nwith [custom roles](/iam/docs/creating-custom-roles) or\nother [predefined roles](/iam/docs/roles-overview#predefined).\n\n### Create and grant roles to service agents\n\n### Google Cloud console\n\nIf you use the [Google Cloud console](https://console.cloud.google.com/) to evaluate workloads, then Workload Manager\ncreates service agents in the consumer projects automatically.\n\nThe email address for this service agent is\n`service-`\u003cvar translate=\"no\"\u003ePROJECT_NUMBER\u003c/var\u003e`@gcp-sa-workloadmanager.iam.gserviceaccount.com`,\nand it is called Workload Manager Service Account.\n\nWorkload Manager service agents require the following roles to run\nevaluations. If prompted, grant these roles to the service agents.\n\n- Workload Manager Service Agent (`roles/workloadmanager.serviceAgent`): required in the target projects.\n- Workload Manager Worker (`roles/workloadmanager.worker`): required in the consumer project only if you set a frequency for the evaluation.\n\n### Workload Manager API\n\nIf you use the Workload Manager API to evaluate workloads, then you must\nmanually create the Workload Manager service agent in the consumer\nprojects before you create an evaluation.\nTo create a service agent, use the [`gcloud beta services identity create`command](/sdk/gcloud/reference/beta/services/identity/create): \n\n```\n gcloud beta services identity create --service=workloadmanager.googleapis.com \\\n --project=PROJECT_NUMBER\n```\n\nReplace \u003cvar translate=\"no\"\u003ePROJECT_NUMBER\u003c/var\u003e with the numeric ID of the consumer project\nin which you want to create the service agent.\n\nAfter creating the service agent, you must grant the following roles to the service agent:\n\n- Workload Manager Service Agent (`roles/workloadmanager.serviceAgent`): required in the target projects.\n- Workload Manager Worker (`roles/workloadmanager.worker`): required in the consumer project only if you set a frequency for the evaluation.\n\nFor more information, see [Grant a role to the service agent](/iam/docs/create-service-agents#grant-role).\n| **Tip:** A user who has the required permission to create service accounts on the target projects can create the first evaluation and create the service agents. For subsequent evaluations, Workload Manager uses the existing service agent. Other users don't require the permission to create service accounts.\n\nAdditional Workload Manager roles\n---------------------------------\n\nUsers require additional Workload Manager roles to control further\naccess to Workload Manager evaluations and resources.\n\nFor more information, see\n[Workload Manager: Access control with IAM](/workload-manager/docs/access-control).\n\nWhat's next\n-----------\n\n- [Create and run an evaluation](/workload-manager/docs/create-evaluation)"]]
