קבוצות משתמשים מומלצות ותפקידים מומלצים בניהול זהויות והרשאות גישה (IAM)

בטבלה הבאה מתוארים התפקידים בניהול זהויות והרשאות גישה (IAM) שמומלצים כנקודת התחלה להרצת עומסי עבודה ב-Google Cloud. להגדיר את תפקידי ה-IAM כדי להטמיע הפרדת תפקידים בסביבה שלכם, בהתאם למידת הסיכון שאתם מוכנים לקחת ולמבנה הארגוני שלכם.

כשמקצים את התפקידים האלה לקבוצות משתמשים בארגון, כדאי לחשוב איפה צריך להחיל תפקידים עם הרשאות פרטניות יותר כדי לתת מענה לתרחישי שימוש ספציפיים ולדרישות גישה לנתונים. בסביבות שבהן משתמשים במידע אישי רגיש מאוד (לדוגמה, אם אתם משתמשים במידע אישי רגיש כדי לאמן מודלים), תוכלו לקרוא מידע נוסף על התפקידים שבהם אפשר להשתמש כדי לאפשר גישה לנתונים שמאוחסנים במאמר ייבוא נתונים למחסן נתונים מאובטח ב-BigQuery.

בטבלה הבאה מתוארות ההמלצות לתפקידים. מיישמים המלצות בסיסיות והמלצות ספציפיות לתרחישי שימוש, לפי הצורך.

שירות	קבוצה	תיאור	תפקידי IAM
מאגר בסיסי	grp-gcp-org-admin	הקבוצה הזו מנהלת את המשאבים ששייכים לארגון. כדאי להקצות את התפקיד הזה במשורה. לאדמינים של הארגון יש גישה לכל המשאבים שלכם ב- Google Cloud . לחלופין, מכיוון שלפונקציה הזו יש הרשאות גבוהות, כדאי להשתמש בחשבונות פרטיים במקום ליצור קבוצה.	מנהל חשבון ארגוני (roles/resourcemanager.organizationAdmin) אדמין תיקיות (roles/resourcemanager.folderAdmin) יצירת פרויקטים (roles/resourcemanager.projectCreator) משתמש בחשבון לחיוב (roles/billing.user) אדמין של תפקידים בארגון (roles/iam.organizationRoleAdmin) אדמין של Organization Policy (roles/orgpolicy.policyAdmin) אדמין ב-Security Center‏ (roles/securitycenter.admin) Support Account Administrator (roles/cloudsupport.admin)
מאגר בסיסי	grp-gcp-network-admins	הקבוצה הזו יכולה ליצור רשתות, רשתות משנה, כללי חומת אש ומכשירי רשת, למשל Cloud Router,‏ Cloud VPN ומאזני עומסים בענן.	אדמין של רשת Compute‏ (roles/compute.networkAdmin) אדמין של VPC משותף ב-Compute‏ (roles/compute.xpnAdmin) אדמין אבטחה ב-Compute (roles/compute.securityAdmin) צפייה בתיקייה (roles/resourcemanager.folderViewer)
מאגר בסיסי	grp-gcp-billing-admin	הקבוצה הזו מגדירה חשבונות לחיוב ועוקבת אחרי השימוש בהם.	Billing Account Administrator (roles/billing.admin) יצירת חשבונות לחיוב (roles/billing.creator) צפייה בארגון (roles/resourcemanager.organizationViewer)
מאגר בסיסי	grp-gcp-security-admins	הקבוצה הזו מגדירה ומנהלת את מדיניות האבטחה לכלל הארגון, כולל ניהול הרשאות גישה ומדיניות אילוצים בארגון. כדי לתכנן את תשתית האבטחה של Google Cloud , תוכלו להיעזר בתוכנית לניהול יסודות האבטחה בארגון.	צפייה בנתוני BigQuery‏ (roles/bigquery.dataViewer) צפייה בנתוני מחשוב (roles/compute.viewer) אדמין IAM בתיקייה (roles/resourcemanager.folderIamAdmin) Kubernetes Engine Viewer ‏ (roles/container.viewer) כתיבת הגדרות של יומנים (roles/logging.configWriter) צפייה בתפקידים בארגון (roles/iam.organizationRoleViewer) אדמין של מדיניות הארגון (roles/orgpolicy.policyAdmin) צפייה במדיניות הארגון (roles/orgpolicy.policyViewer) צפייה ביומנים פרטיים (roles/logging.privateLogViewer) אדמין ב-Security Center‏ (roles/securitycenter.admin) בודק אבטחה (roles/iam.securityReviewer)
מאגר בסיסי	grp-gcp-billing-viewer	הקבוצה הזו עוקבת אחרי ההוצאות בפרויקטים. בדרך כלל החברים בקבוצה נמצאים במחלקה הפיננסית.	Billing Account Viewer (roles/billing.viewer)
מאגר בסיסי	grp-gcp-platform-viewer	הקבוצה הזו בודקת את פרטי המשאבים של הארגון ב- Google Cloud.	צופה (roles/viewer)
מאגר בסיסי	grp-gcp-security-reviewer	הקבוצה הזו בודקת את האבטחה בענן.	בודק אבטחה (roles/iam.securityReviewer)
מאגר בסיסי	grp-gcp-network-viewer	הקבוצה הזו בודקת את הגדרות הרשת.	צפייה ברשת Compute (roles/compute.networkViewer)
מאגר בסיסי	grp-gcp-audit-viewer	הקבוצה הזו צופה ביומני הביקורת.	מציג יומנים פרטיים (roles/logging.privateLogViewer) צופה (roles/viewer)
מאגר בסיסי	grp-gcp-scc-admin	הקבוצה הזו מנהלת את Security Command Center.	אדמין במרכז האבטחה (roles/securitycenter.admin)
מאגר בסיסי	grp-gcp-secrets-admin	הקבוצה הזו מנהלת סודות ב-Secret Manager.	אדמין של Secret Manager‏ (roles/secretmanager.admin)
אדמינים ב-Agent Platform	grp-gcp-vertex-ai-admin	לקבוצה הזו יש גישה מלאה לכל המשאבים ב-Agent Platform.	אדמין של Vertex AI ‏ (roles/aiplatform.admin)
צופים ב-Agent Platform	grp-gcp-vertex-ai-viewer	הקבוצה הזו יכולה לראות את כל המשאבים ב-Agent Platform.	‫צפייה ב-Vertex AI‏ (roles/aiplatform.viewer)
משתמשים ב-Agent Platform	grp-gcp-vertex-ai-user	הקבוצה הזו משתמשת בכל המשאבים ב-Agent Platform.	משתמש ב-Vertex AI‏ (roles/aiplatform.user)
אדמינים של Agent Platform Workbench	grp-gcp-vertex-ai-notebook-admin	לקבוצה הזו יש גישה מלאה לכל התבניות ולכל סביבות זמן הריצה ב-Agent Platform Workbench.	אדמין של סביבת זמן ריצה של Notebook‏ (roles/aiplatform.notebookRuntimeAdmin)
משתמשי Agent Platform Workbench	grp-gcp-vertex-ai-notebook-user	חברי הקבוצה הזו יוצרים משאבי זמן ריצה באמצעות תבנית זמן ריצה, ומנהלים את משאבי זמן הריצה שהם יצרו.	משתמש Notebook Runtime ‏ (roles/aiplatform.notebookRuntimeUser)

המאמרים הבאים

• המלצות לתפקידים בתוכנית היסודות לארגונים.

• אמצעי בקרה לאבטחת היסודות של הארגון

• Google Cloud מידע נוסף על שיטות מומלצות והנחיות בנושא אבטחה