Ruoli e autorizzazioni

Cloud Asset Inventory utilizza Identity and Access Management (IAM) per il controllo degli accessi. Ogni metodo dell'API Cloud Asset Inventory richiede che chi effettua la chiamata disponga delle autorizzazioni necessarie.

Ruoli

Per ottenere le autorizzazioni necessarie per lavorare con i metadati degli asset, chiedi all'amministratore di concederti i seguenti ruoli IAM nell'organizzazione, nella cartella o nel progetto:

Per ulteriori informazioni sulla concessione dei ruoli, consulta Gestisci l'accesso a progetti, cartelle e organizzazioni.

Questi ruoli predefiniti contengono le autorizzazioni necessarie per lavorare con i metadati degli asset. Per vedere quali sono esattamente le autorizzazioni richieste, espandi la sezione Autorizzazioni obbligatorie:

Autorizzazioni obbligatorie

Per lavorare con i metadati degli asset sono necessarie le seguenti autorizzazioni:

  • Per visualizzare i metadati della risorsa:
    • cloudasset.assets.*
    • recommender.cloudAssetInsights.get
    • recommender.cloudAssetInsights.list
    • serviceusage.services.use
  • Per visualizzare i metadati delle risorse e lavorare con i feed:
    • cloudasset.*
    • recommender.cloudAssetInsights.*
    • serviceusage.services.use

Potresti anche ottenere queste autorizzazioni con ruoli personalizzati o altri ruoli predefiniti.

Autorizzazioni

La tabella seguente elenca le autorizzazioni che il chiamante deve avere per chiamare ogni metodo API in Cloud Asset Inventory o per eseguire attività utilizzando gli strumenti Google Cloud che utilizzano Cloud Asset Inventory, come la console Google Cloud o gcloud CLI.

I ruoli Visualizzatore di asset cloud (roles/cloudasset.viewer) e Proprietario asset cloud (roles/cloudasset.owner) includono molte di queste autorizzazioni. Se al chiamante è stato concesso uno di questi ruoli e il ruolo Consumer servizi (roles/serviceusage.serviceUsageConsumer), potrebbe già disporre delle autorizzazioni necessarie per utilizzare Cloud Asset Inventory.

RPC

Metodo Autorizzazioni obbligatorie
Tutte le API
Tutte le chiamate di Cloud Asset Inventory

Tutte le chiamate Cloud Asset Inventory richiedono l'autorizzazione serviceusage.services.use.

API di analisi

AnalyzeIamPolicy

AnalyzeIamPolicyLongRunning

BatchGetEffectiveIamPolicies

Tutte le seguenti autorizzazioni:

  • cloudasset.assets.analyzeIamPolicy
  • cloudasset.assets.searchAllIamPolicies
  • cloudasset.assets.searchAllResources
  • iam.roles.get per analizzare le policy con ruoli personalizzati

Per lavorare con Google Workspace sono necessarie autorizzazioni aggiuntive.

AnalyzeMove

 cloudasset.assets.analyzeMove

AnalyzeOrgPolicies

AnalyzeOrgPolicyGovernedContainers

Tutte le seguenti autorizzazioni:

  • cloudasset.assets.analyzeOrgPolicy
  • cloudasset.assets.searchAllResources

AnalyzeOrgPolicyGovernedAssets

Tutte le seguenti autorizzazioni:

  • cloudasset.assets.analyzeOrgPolicy
  • cloudasset.assets.searchAllIamPolicies
  • cloudasset.assets.searchAllResources
API dei feed

CreateFeed

cloudasset.feeds.create

Devi anche disporre di una delle seguenti autorizzazioni, a seconda del tipo di contenuti:

  • cloudasset.assets.exportIamPolicy
  • cloudasset.assets.exportResource

DeleteFeed

 cloudasset.feeds.delete

GetFeed

 cloudasset.feeds.get

ListFeed

 cloudasset.feeds.list

UpdateFeed

cloudasset.feeds.update

Devi anche disporre di una delle seguenti autorizzazioni, a seconda del tipo di contenuti:

  • cloudasset.assets.exportIamPolicy
  • cloudasset.assets.exportResource
API Inventory

BatchGetAssetsHistory

ExportAssets

Una delle seguenti autorizzazioni, a seconda del tipo di contenuti:

  • cloudasset.assets.exportAccessPolicy

    Quando utilizzi il tipo di contenuti ACCESS_POLICY.

  • cloudasset.assets.exportIamPolicy

    Quando utilizzi il tipo di contenuti IAM_POLICY.

  • cloudasset.assets.exportOrgPolicy

    Quando utilizzi il tipo di contenuti ORG_POLICY.

  • cloudasset.assets.exportOSInventories

    Quando utilizzi il tipo di contenuti OS_INVENTORY.

  • cloudasset.assets.exportResource

    Quando utilizzi i tipi di contenuti RELATIONSHIP o RESOURCE.

    Limitazione dell'accesso alle risorse

    La concessione dell'autorizzazione cloudasset.assets.exportResource a un utente gli consente di esportare tutti i tipi di risorse. Per limitare i tipi di risorse che un utente può esportare, puoi concedere autorizzazioni per ogni tipo di risorsa. Ad esempio, puoi concedere l'autorizzazione cloudasset.assets.exportComputeDisks da sola per consentire a un utente di esportare solo il tipo di risorsa compute.googleapis.com/Disk.

    Queste autorizzazioni granulari si applicano solo a RESOURCE e ai tipi di contenuti non specificati.

    Visualizza l'elenco delle autorizzazioni granulari cloudasset.assets.export*.

ListAssets

Una delle seguenti autorizzazioni, a seconda del tipo di contenuti:

  • cloudasset.assets.listAccessPolicy
  • cloudasset.assets.listIamPolicy
  • cloudasset.assets.listOrgPolicy
  • cloudasset.assets.listOSInventories

  • cloudasset.assets.listResource

    Quando utilizzi i tipi di contenuti RELATIONSHIP e RESOURCE.

    Limitazione dell'accesso alle risorse

    La concessione dell'autorizzazione cloudasset.assets.listResource a un utente gli consente di elencare tutti i tipi di risorse. Per limitare i tipi di risorse che un utente può elencare, puoi concedere autorizzazioni per ogni tipo di risorsa. Ad esempio, puoi concedere l'autorizzazione cloudasset.assets.listComputeDisks da sola per consentire a un utente di elencare solo il tipo di risorsa compute.googleapis.com/Disk.

    Queste autorizzazioni granulari si applicano solo a RESOURCE e ai tipi di contenuti non specificati.

    Visualizza l'elenco delle autorizzazioni granulari cloudasset.assets.list*.

QueryAssets

Una delle seguenti autorizzazioni, a seconda del tipo di contenuti:

  • cloudasset.assets.queryAccessPolicy
  • cloudasset.assets.queryIamPolicy
  • cloudasset.assets.queryOSInventories
  • cloudasset.assets.queryResource per i tipi di contenuti RELATIONSHIP e RESOURCE.
API di ricerca

SearchAllIamPolicies

 cloudasset.assets.searchAllIamPolicies

SearchAllResources

cloudasset.assets.searchAllResources

Devi anche avere cloudasset.assets.searchEnrichmentResourceOwners se cerchi l'arricchimento del proprietario della risorsa.

REST

Metodo Autorizzazioni obbligatorie
Tutte le API
Tutte le chiamate di Cloud Asset Inventory

Tutte le chiamate Cloud Asset Inventory richiedono l'autorizzazione serviceusage.services.use.

API di analisi

analyzeIamPolicy

analyzeIamPolicyLongRunning

effectiveIamPolicies.batchGet

Tutte le seguenti autorizzazioni:

  • cloudasset.assets.analyzeIamPolicy
  • cloudasset.assets.searchAllIamPolicies
  • cloudasset.assets.searchAllResources
  • iam.roles.get per analizzare le policy con ruoli personalizzati

Per lavorare con Google Workspace sono necessarie autorizzazioni aggiuntive.

analyzeMove

 cloudasset.assets.analyzeMove

analyzeOrgPolicies

analyzeOrgPolicyGovernedContainers

Tutte le seguenti autorizzazioni:

  • cloudasset.assets.analyzeOrgPolicy
  • cloudasset.assets.searchAllResources

analyzeOrgPolicyGovernedAssets

Tutte le seguenti autorizzazioni:

  • cloudasset.assets.analyzeOrgPolicy
  • cloudasset.assets.searchAllIamPolicies
  • cloudasset.assets.searchAllResources
API dei feed

feeds.create

cloudasset.feeds.create

Devi anche disporre di una delle seguenti autorizzazioni, a seconda del tipo di contenuti:

  • cloudasset.assets.exportIamPolicy
  • cloudasset.assets.exportResource

feeds.delete

 cloudasset.feeds.delete

feeds.get

 cloudasset.feeds.get

feeds.list

 cloudasset.feeds.list

feeds.patch

cloudasset.feeds.update

Devi anche disporre di una delle seguenti autorizzazioni, a seconda del tipo di contenuti:

  • cloudasset.assets.exportIamPolicy
  • cloudasset.assets.exportResource
API Inventory

batchGetAssetsHistory

exportAssets

Una delle seguenti autorizzazioni, a seconda del tipo di contenuti:

  • cloudasset.assets.exportAccessPolicy

    Quando utilizzi il tipo di contenuti ACCESS_POLICY.

  • cloudasset.assets.exportIamPolicy

    Quando utilizzi il tipo di contenuti IAM_POLICY.

  • cloudasset.assets.exportOrgPolicy

    Quando utilizzi il tipo di contenuti ORG_POLICY.

  • cloudasset.assets.exportOSInventories

    Quando utilizzi il tipo di contenuti OS_INVENTORY.

  • cloudasset.assets.exportResource

    Quando utilizzi i tipi di contenuti RELATIONSHIP o RESOURCE.

    Limitazione dell'accesso alle risorse

    La concessione dell'autorizzazione cloudasset.assets.exportResource a un utente gli consente di esportare tutti i tipi di risorse. Per limitare i tipi di risorse che un utente può esportare, puoi concedere autorizzazioni per ogni tipo di risorsa. Ad esempio, puoi concedere l'autorizzazione cloudasset.assets.exportComputeDisks da sola per consentire a un utente di esportare solo il tipo di risorsa compute.googleapis.com/Disk.

    Queste autorizzazioni granulari si applicano solo a RESOURCE e ai tipi di contenuti non specificati.

    Visualizza l'elenco delle autorizzazioni granulari cloudasset.assets.export*.

assets.list

Una delle seguenti autorizzazioni, a seconda del tipo di contenuti:

  • cloudasset.assets.listAccessPolicy
  • cloudasset.assets.listIamPolicy
  • cloudasset.assets.listOrgPolicy
  • cloudasset.assets.listOSInventories

  • cloudasset.assets.listResource

    Quando utilizzi i tipi di contenuti RELATIONSHIP e RESOURCE.

    Limitazione dell'accesso alle risorse

    La concessione dell'autorizzazione cloudasset.assets.listResource a un utente gli consente di elencare tutti i tipi di risorse. Per limitare i tipi di risorse che un utente può elencare, puoi concedere autorizzazioni per ogni tipo di risorsa. Ad esempio, puoi concedere l'autorizzazione cloudasset.assets.listComputeDisks da sola per consentire a un utente di elencare solo il tipo di risorsa compute.googleapis.com/Disk.

    Queste autorizzazioni granulari si applicano solo a RESOURCE e ai tipi di contenuti non specificati.

    Visualizza l'elenco delle autorizzazioni granulari cloudasset.assets.list*.

queryAssets

Una delle seguenti autorizzazioni, a seconda del tipo di contenuti:

  • cloudasset.assets.queryAccessPolicy
  • cloudasset.assets.queryIamPolicy
  • cloudasset.assets.queryOSInventories
  • cloudasset.assets.queryResource per i tipi di contenuti RELATIONSHIP e RESOURCE.
API di ricerca

searchAllIamPolicies

 cloudasset.assets.searchAllIamPolicies

searchAllResources

cloudasset.assets.searchAllResources

Devi anche avere cloudasset.assets.searchEnrichmentResourceOwners se cerchi l'arricchimento del proprietario della risorsa.

gcloud

Dichiarazione di posizionamento Autorizzazioni obbligatorie
Tutte le API
Tutte le chiamate di Cloud Asset Inventory

Tutte le chiamate Cloud Asset Inventory richiedono l'autorizzazione serviceusage.services.use.

API di analisi

analyze-iam-policy

analyze-iam-policy-longrunning

get-effective-iam-policy

Tutte le seguenti autorizzazioni:

  • cloudasset.assets.analyzeIamPolicy
  • cloudasset.assets.searchAllIamPolicies
  • cloudasset.assets.searchAllResources
  • iam.roles.get per analizzare le policy con ruoli personalizzati

Per lavorare con Google Workspace sono necessarie autorizzazioni aggiuntive.

analyze-move

 cloudasset.assets.analyzeMove

analyze-org-policies

analyze-org-policy-governed-containers

Tutte le seguenti autorizzazioni:

  • cloudasset.assets.analyzeOrgPolicy
  • cloudasset.assets.searchAllResources

analyze-org-policy-governed-assets

Tutte le seguenti autorizzazioni:

  • cloudasset.assets.analyzeOrgPolicy
  • cloudasset.assets.searchAllIamPolicies
  • cloudasset.assets.searchAllResources
API dei feed

feeds create

cloudasset.feeds.create

Devi anche disporre di una delle seguenti autorizzazioni, a seconda del tipo di contenuti:

  • cloudasset.assets.exportIamPolicy
  • cloudasset.assets.exportResource

feeds delete

 cloudasset.feeds.delete

feeds describe

 cloudasset.feeds.get

feeds list

 cloudasset.feeds.list

feeds update

cloudasset.feeds.update

Devi anche disporre di una delle seguenti autorizzazioni, a seconda del tipo di contenuti:

  • cloudasset.assets.exportIamPolicy
  • cloudasset.assets.exportResource
API Inventory

export

get-history

Una delle seguenti autorizzazioni, a seconda del tipo di contenuti:

  • cloudasset.assets.exportAccessPolicy

    Quando utilizzi il tipo di contenuti ACCESS_POLICY.

  • cloudasset.assets.exportIamPolicy

    Quando utilizzi il tipo di contenuti IAM_POLICY.

  • cloudasset.assets.exportOrgPolicy

    Quando utilizzi il tipo di contenuti ORG_POLICY.

  • cloudasset.assets.exportOSInventories

    Quando utilizzi il tipo di contenuti OS_INVENTORY.

  • cloudasset.assets.exportResource

    Quando utilizzi i tipi di contenuti RELATIONSHIP o RESOURCE.

    Limitazione dell'accesso alle risorse

    La concessione dell'autorizzazione cloudasset.assets.exportResource a un utente gli consente di esportare tutti i tipi di risorse. Per limitare i tipi di risorse che un utente può esportare, puoi concedere autorizzazioni per ogni tipo di risorsa. Ad esempio, puoi concedere l'autorizzazione cloudasset.assets.exportComputeDisks da sola per consentire a un utente di esportare solo il tipo di risorsa compute.googleapis.com/Disk.

    Queste autorizzazioni granulari si applicano solo a RESOURCE e ai tipi di contenuti non specificati.

    Visualizza l'elenco delle autorizzazioni granulari cloudasset.assets.export*.

list

Una delle seguenti autorizzazioni, a seconda del tipo di contenuti:

  • cloudasset.assets.listAccessPolicy
  • cloudasset.assets.listIamPolicy
  • cloudasset.assets.listOrgPolicy
  • cloudasset.assets.listOSInventories

  • cloudasset.assets.listResource

    Quando utilizzi i tipi di contenuti RELATIONSHIP e RESOURCE.

    Limitazione dell'accesso alle risorse

    La concessione dell'autorizzazione cloudasset.assets.listResource a un utente gli consente di elencare tutti i tipi di risorse. Per limitare i tipi di risorse che un utente può elencare, puoi concedere autorizzazioni per ogni tipo di risorsa. Ad esempio, puoi concedere l'autorizzazione cloudasset.assets.listComputeDisks da sola per consentire a un utente di elencare solo il tipo di risorsa compute.googleapis.com/Disk.

    Queste autorizzazioni granulari si applicano solo a RESOURCE e ai tipi di contenuti non specificati.

    Visualizza l'elenco delle autorizzazioni granulari cloudasset.assets.list*.

query

Una delle seguenti autorizzazioni, a seconda del tipo di contenuti:

  • cloudasset.assets.queryAccessPolicy
  • cloudasset.assets.queryIamPolicy
  • cloudasset.assets.queryOSInventories
  • cloudasset.assets.queryResource per i tipi di contenuti RELATIONSHIP e RESOURCE.
API di ricerca

search-all-iam-policies

 cloudasset.assets.searchAllIamPolicies

search-all-resources

cloudasset.assets.searchAllResources

Devi anche avere cloudasset.assets.searchEnrichmentResourceOwners se cerchi l'arricchimento del proprietario della risorsa.

Console

La console Google Cloud utilizza l'API SearchAllResources per richiedere i dati. Per utilizzare Cloud Asset Inventory nella console Google Cloud , concedi le seguenti autorizzazioni:

  • cloudasset.assets.searchAllResources
  • serviceusage.services.use

Controlli di servizio VPC

I Controlli di servizio VPC possono essere utilizzati con Cloud Asset Inventory per fornire ulteriore sicurezza per i tuoi asset. Per scoprire di più sui Controlli di servizio VPC, consulta la Panoramica dei Controlli di servizio VPC.

Per informazioni sulle limitazioni relative all'utilizzo di Cloud Asset Inventory con Controlli di servizio VPC, consulta la sezione Prodotti supportati e limitazioni.