Controllo dell'accesso con IAM

Questa pagina descrive i ruoli di Identity and Access Management (IAM) necessari per la configurazione di Access Context Manager.

Ruoli obbligatori

La tabella seguente elenca le autorizzazioni e i ruoli necessari per creare e elencare i criteri di accesso:

Azione Autorizzazioni e ruoli richiesti
Crea un criterio di accesso a livello di organizzazione o criteri basati su ambito

Autorizzazione: accesscontextmanager.policies.create

Ruolo che fornisce l'autorizzazione: ruolo Editor Gestore contesto accesso (roles/accesscontextmanager.policyEditor)

Elenca un criterio di accesso a livello di organizzazione o criteri basati su ambito

Autorizzazione: accesscontextmanager.policies.list

Ruoli che forniscono l'autorizzazione: ruolo Editor Gestore contesto accesso (roles/accesscontextmanager.policyEditor)

Ruolo Lettore Gestore contesto accesso (roles/accesscontextmanager.policyReader)

Puoi creare, elencare o delegare criteri con ambito solo se disponi di queste autorizzazioni a livello di organizzazione. Dopo aver creato un criterio con ambito, puoi concedere l'autorizzazione a gestire il criterio aggiungendo associazioni IAM al criterio con ambito.

Le autorizzazioni concesse a livello di organizzazione si applicano a tutti i criteri di accesso, tra cui il criterio a livello di organizzazione e gli eventuali criteri con ambito.

I seguenti ruoli IAM selezionati forniscono le autorizzazioni necessarie per visualizzare o configurare i livelli di accesso o concedere autorizzazioni agli utenti con delega di amministratore in base ai criteri con ambito utilizzando lo strumento a riga di comando gcloud:

  • Amministratore Gestore contesto accesso: roles/accesscontextmanager.policyAdmin
  • Access Context Manager Editor: roles/accesscontextmanager.policyEditor
  • Lettore Gestore contesto accesso: roles/accesscontextmanager.policyReader

Inoltre, per consentire agli utenti di gestire Gestore contesto accesso utilizzando la console Google Cloud, è necessario il ruolo Visualizzatore dell'organizzazione Resource Manager (roles/resourcemanager.organizationViewer).

Per concedere uno di questi ruoli, utilizza la console Google Cloud oppure usa lo strumento a riga di comando gcloud:

L'amministratore consente l'accesso in lettura/scrittura

gcloud organizations add-iam-policy-binding ORGANIZATION_ID \
  --member="user:example@customer.org" \
  --role="roles/accesscontextmanager.policyAdmin"

L'editor consente l'accesso in lettura/scrittura

gcloud organizations add-iam-policy-binding ORGANIZATION_ID \
  --member="user:example@customer.org" \
  --role="roles/accesscontextmanager.policyEditor"

Reader consente l'accesso di sola lettura

gcloud organizations add-iam-policy-binding ORGANIZATION_ID \
  --member="user:example@customer.org" \
  --role="roles/accesscontextmanager.policyReader"

Il visualizzatore organizzazione consente di accedere ai Controlli di servizio VPC tramite la console Google Cloud

gcloud organizations add-iam-policy-binding ORGANIZATION_ID \
  --member="user:example@customer.org" \
  --role="roles/resourcemanager.organizationViewer"

Passaggi successivi