Ruoli e autorizzazioni

Cloud Asset Inventory utilizza Identity and Access Management (IAM) per il controllo degli accessi. Ogni metodo dell'API Cloud Asset Inventory richiede che il chiamante disponga delle autorizzazioni necessarie.

Ruoli

Per ottenere le autorizzazioni necessarie per lavorare con i metadati degli asset, chiedi all'amministratore di concederti i seguenti ruoli IAM nell'organizzazione, nella cartella o nel progetto:

• Per visualizzare i metadati della risorsa:
  • Visualizzatore Cloud Asset (roles/cloudasset.viewer)
  • Consumer Service Usage (roles/serviceusage.serviceUsageConsumer)
• Per visualizzare i metadati delle risorse e lavorare con i feed:
  • Proprietario asset Cloud (roles/cloudasset.owner)
  • Consumer Service Usage (roles/serviceusage.serviceUsageConsumer)

Per saperne di più sulla concessione dei ruoli, consulta Gestisci l'accesso a progetti, cartelle e organizzazioni.

Questi ruoli predefiniti contengono le autorizzazioni necessarie per lavorare con i metadati degli asset. Per vedere quali sono esattamente le autorizzazioni richieste, espandi la sezione Autorizzazioni obbligatorie:

Autorizzazioni obbligatorie

Per lavorare con i metadati degli asset sono necessarie le seguenti autorizzazioni:

• Per visualizzare i metadati della risorsa:
  • cloudasset.assets.*
  • recommender.cloudAssetInsights.get
  • recommender.cloudAssetInsights.list
  • serviceusage.services.use
• Per visualizzare i metadati delle risorse e lavorare con i feed:
  • cloudasset.*
  • recommender.cloudAssetInsights.*
  • serviceusage.services.use

Potresti anche ottenere queste autorizzazioni con ruoli personalizzati o altri ruoli predefiniti.

Autorizzazioni

La tabella seguente elenca le autorizzazioni di cui il chiamante deve disporre per chiamare ciascun metodo API in Cloud Asset Inventory o per eseguire attività utilizzando gli strumenti Google Cloud che utilizzano Cloud Asset Inventory, come la console Google Cloud o gcloud CLI.

I ruoli Visualizzatore di asset cloud (roles/cloudasset.viewer) e Proprietario asset cloud (roles/cloudasset.owner) includono molte di queste autorizzazioni. Se al chiamante è stato concesso uno di questi ruoli e il ruolo Consumer servizi (roles/serviceusage.serviceUsageConsumer), potrebbe già disporre delle autorizzazioni necessarie per utilizzare Cloud Asset Inventory.

RPC

Metodo	Autorizzazioni obbligatorie
Tutte le API
Tutte le chiamate di Cloud Asset Inventory	Tutte le chiamate Cloud Asset Inventory richiedono l'autorizzazione serviceusage.services.use.
API di analisi
AnalyzeIamPolicy AnalyzeIamPolicyLongRunning BatchGetEffectiveIamPolicies	Tutte le seguenti autorizzazioni: cloudasset.assets.analyzeIamPolicy cloudasset.assets.searchAllIamPolicies cloudasset.assets.searchAllResources iam.roles.get per analizzare le policy con ruoli personalizzati Per lavorare con Google Workspace sono necessarie autorizzazioni aggiuntive.
AnalyzeMove	cloudasset.assets.analyzeMove
AnalyzeOrgPolicies AnalyzeOrgPolicyGovernedContainers	Tutte le seguenti autorizzazioni: cloudasset.assets.analyzeOrgPolicy cloudasset.assets.searchAllResources
AnalyzeOrgPolicyGovernedAssets	Tutte le seguenti autorizzazioni: cloudasset.assets.analyzeOrgPolicy cloudasset.assets.searchAllIamPolicies cloudasset.assets.searchAllResources
API dei feed
CreateFeed	cloudasset.feeds.create Devi anche disporre di una delle seguenti autorizzazioni, a seconda del tipo di contenuti: cloudasset.assets.exportIamPolicy cloudasset.assets.exportResource
DeleteFeed	cloudasset.feeds.delete
GetFeed	cloudasset.feeds.get
ListFeed	cloudasset.feeds.list
UpdateFeed	cloudasset.feeds.update Devi anche disporre di una delle seguenti autorizzazioni, a seconda del tipo di contenuti: cloudasset.assets.exportIamPolicy cloudasset.assets.exportResource
API Inventory
BatchGetAssetsHistory ExportAssets	Una delle seguenti autorizzazioni, a seconda del tipo di contenuti: cloudasset.assets.exportAccessPolicy Quando utilizzi il tipo di contenuti ACCESS_POLICY. cloudasset.assets.exportIamPolicy Quando utilizzi il tipo di contenuti IAM_POLICY. cloudasset.assets.exportOrgPolicy Quando utilizzi il tipo di contenuti ORG_POLICY. cloudasset.assets.exportOSInventories Quando utilizzi il tipo di contenuti OS_INVENTORY. cloudasset.assets.exportResource Quando utilizzi i tipi di contenuti RELATIONSHIP o RESOURCE. Limitazione dell'accesso alle risorse La concessione dell'autorizzazione cloudasset.assets.exportResource a un utente gli consente di esportare tutti i tipi di risorse. Per limitare i tipi di risorse che un utente può esportare, puoi concedere autorizzazioni per ogni tipo di risorsa. Ad esempio, puoi concedere l'autorizzazione cloudasset.assets.exportComputeDisks da sola per consentire a un utente di esportare solo il tipo di risorsa compute.googleapis.com/Disk. Queste autorizzazioni granulari si applicano solo a RESOURCE e ai tipi di contenuti non specificati. Visualizza l'elenco delle autorizzazioni granulari cloudasset.assets.export*.
ListAssets	Una delle seguenti autorizzazioni, a seconda del tipo di contenuti: cloudasset.assets.listAccessPolicy cloudasset.assets.listIamPolicy cloudasset.assets.listOrgPolicy cloudasset.assets.listOSInventories cloudasset.assets.listResource Quando utilizzi i tipi di contenuti RELATIONSHIP o RESOURCE. Limitazione dell'accesso alle risorse La concessione dell'autorizzazione cloudasset.assets.listResource a un utente gli consente di elencare tutti i tipi di risorse. Per limitare i tipi di risorse che un utente può elencare, puoi concedere autorizzazioni per ogni tipo di risorsa. Ad esempio, puoi concedere l'autorizzazione cloudasset.assets.listComputeDisks da sola per consentire a un utente di elencare solo il tipo di risorsa compute.googleapis.com/Disk. Queste autorizzazioni granulari si applicano solo a RESOURCE e ai tipi di contenuti non specificati. Visualizza l'elenco delle autorizzazioni granulari cloudasset.assets.list*.
QueryAssets	Una delle seguenti autorizzazioni, a seconda del tipo di contenuti: cloudasset.assets.queryAccessPolicy cloudasset.assets.queryIamPolicy cloudasset.assets.queryOSInventories cloudasset.assets.queryResource Quando utilizzi i tipi di contenuti RELATIONSHIP o RESOURCE.
API di ricerca
SearchAllIamPolicies	cloudasset.assets.searchAllIamPolicies
SearchAllResources	cloudasset.assets.searchAllResources Devi disporre anche di cloudasset.assets.searchEnrichmentResourceOwners se cerchi l'arricchimento del proprietario della risorsa.

REST

Metodo	Autorizzazioni obbligatorie
Tutte le API
Tutte le chiamate di Cloud Asset Inventory	Tutte le chiamate Cloud Asset Inventory richiedono l'autorizzazione serviceusage.services.use.
API di analisi
analyzeIamPolicy analyzeIamPolicyLongRunning effectiveIamPolicies.batchGet	Tutte le seguenti autorizzazioni: cloudasset.assets.analyzeIamPolicy cloudasset.assets.searchAllIamPolicies cloudasset.assets.searchAllResources iam.roles.get per analizzare le policy con ruoli personalizzati Per lavorare con Google Workspace sono necessarie autorizzazioni aggiuntive.
analyzeMove	cloudasset.assets.analyzeMove
analyzeOrgPolicies analyzeOrgPolicyGovernedContainers	Tutte le seguenti autorizzazioni: cloudasset.assets.analyzeOrgPolicy cloudasset.assets.searchAllResources
analyzeOrgPolicyGovernedAssets	Tutte le seguenti autorizzazioni: cloudasset.assets.analyzeOrgPolicy cloudasset.assets.searchAllIamPolicies cloudasset.assets.searchAllResources
API dei feed
feeds.create	cloudasset.feeds.create Devi anche disporre di una delle seguenti autorizzazioni, a seconda del tipo di contenuti: cloudasset.assets.exportIamPolicy cloudasset.assets.exportResource
feeds.delete	cloudasset.feeds.delete
feeds.get	cloudasset.feeds.get
feeds.list	cloudasset.feeds.list
feeds.patch	cloudasset.feeds.update Devi anche disporre di una delle seguenti autorizzazioni, a seconda del tipo di contenuti: cloudasset.assets.exportIamPolicy cloudasset.assets.exportResource
API Inventory
batchGetAssetsHistory exportAssets	Una delle seguenti autorizzazioni, a seconda del tipo di contenuti: cloudasset.assets.exportAccessPolicy Quando utilizzi il tipo di contenuti ACCESS_POLICY. cloudasset.assets.exportIamPolicy Quando utilizzi il tipo di contenuti IAM_POLICY. cloudasset.assets.exportOrgPolicy Quando utilizzi il tipo di contenuti ORG_POLICY. cloudasset.assets.exportOSInventories Quando utilizzi il tipo di contenuti OS_INVENTORY. cloudasset.assets.exportResource Quando utilizzi i tipi di contenuti RELATIONSHIP o RESOURCE. Limitazione dell'accesso alle risorse La concessione dell'autorizzazione cloudasset.assets.exportResource a un utente gli consente di esportare tutti i tipi di risorse. Per limitare i tipi di risorse che un utente può esportare, puoi concedere autorizzazioni per ogni tipo di risorsa. Ad esempio, puoi concedere l'autorizzazione cloudasset.assets.exportComputeDisks da sola per consentire a un utente di esportare solo il tipo di risorsa compute.googleapis.com/Disk. Queste autorizzazioni granulari si applicano solo a RESOURCE e ai tipi di contenuti non specificati. Visualizza l'elenco delle autorizzazioni granulari cloudasset.assets.export*.
assets.list	Una delle seguenti autorizzazioni, a seconda del tipo di contenuti: cloudasset.assets.listAccessPolicy cloudasset.assets.listIamPolicy cloudasset.assets.listOrgPolicy cloudasset.assets.listOSInventories cloudasset.assets.listResource Quando utilizzi i tipi di contenuti RELATIONSHIP o RESOURCE. Limitazione dell'accesso alle risorse La concessione dell'autorizzazione cloudasset.assets.listResource a un utente gli consente di elencare tutti i tipi di risorse. Per limitare i tipi di risorse che un utente può elencare, puoi concedere autorizzazioni per ogni tipo di risorsa. Ad esempio, puoi concedere l'autorizzazione cloudasset.assets.listComputeDisks da sola per consentire a un utente di elencare solo il tipo di risorsa compute.googleapis.com/Disk. Queste autorizzazioni granulari si applicano solo a RESOURCE e ai tipi di contenuti non specificati. Visualizza l'elenco delle autorizzazioni granulari cloudasset.assets.list*.
queryAssets	Una delle seguenti autorizzazioni, a seconda del tipo di contenuti: cloudasset.assets.queryAccessPolicy cloudasset.assets.queryIamPolicy cloudasset.assets.queryOSInventories cloudasset.assets.queryResource Quando utilizzi i tipi di contenuti RELATIONSHIP o RESOURCE.
API di ricerca
searchAllIamPolicies	cloudasset.assets.searchAllIamPolicies
searchAllResources	cloudasset.assets.searchAllResources Devi disporre anche di cloudasset.assets.searchEnrichmentResourceOwners se cerchi l'arricchimento del proprietario della risorsa.

gcloud

Dichiarazione di posizionamento	Autorizzazioni obbligatorie
Tutte le API
Tutte le chiamate di Cloud Asset Inventory	Tutte le chiamate Cloud Asset Inventory richiedono l'autorizzazione serviceusage.services.use.
API di analisi
analyze-iam-policy analyze-iam-policy-longrunning get-effective-iam-policy	Tutte le seguenti autorizzazioni: cloudasset.assets.analyzeIamPolicy cloudasset.assets.searchAllIamPolicies cloudasset.assets.searchAllResources iam.roles.get per analizzare le policy con ruoli personalizzati Per lavorare con Google Workspace sono necessarie autorizzazioni aggiuntive.
analyze-move	cloudasset.assets.analyzeMove
analyze-org-policies analyze-org-policy-governed-containers	Tutte le seguenti autorizzazioni: cloudasset.assets.analyzeOrgPolicy cloudasset.assets.searchAllResources
analyze-org-policy-governed-assets	Tutte le seguenti autorizzazioni: cloudasset.assets.analyzeOrgPolicy cloudasset.assets.searchAllIamPolicies cloudasset.assets.searchAllResources
API dei feed
feeds create	cloudasset.feeds.create Devi anche disporre di una delle seguenti autorizzazioni, a seconda del tipo di contenuti: cloudasset.assets.exportIamPolicy cloudasset.assets.exportResource
feeds delete	cloudasset.feeds.delete
feeds describe	cloudasset.feeds.get
feeds list	cloudasset.feeds.list
feeds update	cloudasset.feeds.update Devi anche disporre di una delle seguenti autorizzazioni, a seconda del tipo di contenuti: cloudasset.assets.exportIamPolicy cloudasset.assets.exportResource
API Inventory
export get-history	Una delle seguenti autorizzazioni, a seconda del tipo di contenuti: cloudasset.assets.exportAccessPolicy Quando utilizzi il tipo di contenuti ACCESS_POLICY. cloudasset.assets.exportIamPolicy Quando utilizzi il tipo di contenuti IAM_POLICY. cloudasset.assets.exportOrgPolicy Quando utilizzi il tipo di contenuti ORG_POLICY. cloudasset.assets.exportOSInventories Quando utilizzi il tipo di contenuti OS_INVENTORY. cloudasset.assets.exportResource Quando utilizzi i tipi di contenuti RELATIONSHIP o RESOURCE. Limitazione dell'accesso alle risorse La concessione dell'autorizzazione cloudasset.assets.exportResource a un utente gli consente di esportare tutti i tipi di risorse. Per limitare i tipi di risorse che un utente può esportare, puoi concedere autorizzazioni per ogni tipo di risorsa. Ad esempio, puoi concedere l'autorizzazione cloudasset.assets.exportComputeDisks da sola per consentire a un utente di esportare solo il tipo di risorsa compute.googleapis.com/Disk. Queste autorizzazioni granulari si applicano solo a RESOURCE e ai tipi di contenuti non specificati. Visualizza l'elenco delle autorizzazioni granulari cloudasset.assets.export*.
list	Una delle seguenti autorizzazioni, a seconda del tipo di contenuti: cloudasset.assets.listAccessPolicy cloudasset.assets.listIamPolicy cloudasset.assets.listOrgPolicy cloudasset.assets.listOSInventories cloudasset.assets.listResource Quando utilizzi i tipi di contenuti RELATIONSHIP o RESOURCE. Limitazione dell'accesso alle risorse La concessione dell'autorizzazione cloudasset.assets.listResource a un utente gli consente di elencare tutti i tipi di risorse. Per limitare i tipi di risorse che un utente può elencare, puoi concedere autorizzazioni per ogni tipo di risorsa. Ad esempio, puoi concedere l'autorizzazione cloudasset.assets.listComputeDisks da sola per consentire a un utente di elencare solo il tipo di risorsa compute.googleapis.com/Disk. Queste autorizzazioni granulari si applicano solo a RESOURCE e ai tipi di contenuti non specificati. Visualizza l'elenco delle autorizzazioni granulari cloudasset.assets.list*.
query	Una delle seguenti autorizzazioni, a seconda del tipo di contenuti: cloudasset.assets.queryAccessPolicy cloudasset.assets.queryIamPolicy cloudasset.assets.queryOSInventories cloudasset.assets.queryResource Quando utilizzi i tipi di contenuti RELATIONSHIP o RESOURCE.
API di ricerca
search-all-iam-policies	cloudasset.assets.searchAllIamPolicies
search-all-resources	cloudasset.assets.searchAllResources Devi disporre anche di cloudasset.assets.searchEnrichmentResourceOwners se cerchi l'arricchimento del proprietario della risorsa.

Console

La console Google Cloud utilizza l'API SearchAllResources per richiedere i dati. Per utilizzare Cloud Asset Inventory nella console Google Cloud , concedi le seguenti autorizzazioni:

• cloudasset.assets.searchAllResources
• serviceusage.services.use

## Controlli di servizio VPC

I Controlli di servizio VPC possono essere utilizzati con Cloud Asset Inventory per fornire ulteriore sicurezza per i tuoi asset. Per saperne di più sui Controlli di servizio VPC, consulta la panoramica dei Controlli di servizio VPC.

Per informazioni sulle limitazioni dell'utilizzo di Cloud Asset Inventory con i Controlli di servizio VPC, consulta la sezione Prodotti supportati e limitazioni.