Gruppi di utenti e ruoli Identity and Access Management consigliati

La seguente tabella descrive i ruoli Identity and Access Management (IAM) che consigliamo come punto di partenza per l'esecuzione dei workload suGoogle Cloud. Configura i ruoli IAM per implementare la separazione dei compiti all'interno del tuo ambiente e per allinearti alla tua propensione al rischio e alla tua struttura organizzativa.

Quando assegni questi ruoli ai gruppi di utenti della tua organizzazione, valuta dove devi applicare ruoli più granulari per soddisfare casi d'uso e requisiti di accesso ai dati specifici. Per gli ambienti in cui vengono utilizzati dati altamente sensibili (ad esempio, se utilizzi dati sensibili per addestrare i modelli), consulta Importa i dati in un data warehouse BigQuery protetto per ulteriori informazioni sui ruoli che puoi utilizzare per consentire l'accesso ai dati archiviati.

La tabella seguente descrive i suggerimenti sui ruoli. Applica i suggerimenti di base e quelli specifici per il caso d'uso, a seconda delle esigenze.

Servizio Gruppo Descrizione Ruoli IAM

Di base

grp-gcp-org-admin

Questo gruppo amministra le risorse che appartengono all'organizzazione. Assegna questo ruolo con parsimonia. Gli amministratori dell'organizzazione hanno accesso a tutte le tue risorse Google Cloud . In alternativa, poiché questa funzione è altamente privilegiata, valuta la possibilità di utilizzare account individuali anziché creare un gruppo.
  • Amministratore dell'organizzazione (roles/resourcemanager.organizationAdmin)
  • Amministratore cartelle (roles/resourcemanager.folderAdmin)
  • Autore progetto (roles/resourcemanager.projectCreator)
  • Utente account di fatturazione (roles/billing.user)
  • Organization Role Administrator (roles/iam.organizationRoleAdmin)
  • Organization Policy Administrator (roles/orgpolicy.policyAdmin)
  • Security Center Admin (roles/securitycenter.admin)
  • Amministratore account di assistenza (roles/cloudsupport.admin)

Di base

grp-gcp-network-admins

Questo gruppo può creare reti, subnet, regole firewall e dispositivi di rete come router Cloud, Cloud VPN e bilanciatori del carico cloud.
  • Compute Network Admin (roles/compute.networkAdmin)
  • Compute Shared VPC Admin (roles/compute.xpnAdmin)
  • Compute Security Admin (roles/compute.securityAdmin)
  • Folder Viewer (roles/resourcemanager.folderViewer)

Di base

grp-gcp-billing-admin

Questo gruppo configura gli account di fatturazione e ne monitora l'utilizzo.
  • Amministratore account di fatturazione (roles/billing.admin)
  • Creatore account di fatturazione (roles/billing.creator)
  • Visualizzatore organizzazione (roles/resourcemanager.organizationViewer)

Di base

grp-gcp-security-admins

Questo gruppo stabilisce e gestisce le policy di sicurezza per l'intera organizzazione, tra cui policy di gestione degli accessi e vincoli dell'organizzazione. Per pianificare la tua infrastruttura di sicurezza Google Cloud , consulta il progetto base di Enterprise.
  • BigQuery Data Viewer (roles/bigquery.dataViewer)
  • Compute Viewer (roles/compute.viewer)
  • Folder IAM Admin (roles/resourcemanager.folderIamAdmin)
  • Visualizzatore Kubernetes Engine (roles/container.viewer)
  • Logs Configuration Writer (roles/logging.configWriter)
  • Organization Role Viewer (roles/iam.organizationRoleViewer)
  • Organization Policy Administrator (roles/orgpolicy.policyAdmin)
  • Organization Policy Viewer (roles/orgpolicy.policyViewer)
  • Private Logs Viewer (roles/logging.privateLogViewer)
  • Security Center Admin (roles/securitycenter.admin)
  • Security Reviewer (roles/iam.securityReviewer)

Di base

grp-gcp-billing-viewer

Questo gruppo monitora la spesa per i progetti. In genere, i membri del gruppo fanno parte del team finanziario.
  • Visualizzatore account di fatturazione (roles/billing.viewer)

Di base

grp-gcp-platform-viewer

Questo gruppo esamina le informazioni sulle risorse nell'organizzazione Google Cloud.
  • Visualizzatore (roles/viewer)

Di base

grp-gcp-security-reviewer

Questo gruppo esamina la sicurezza del cloud.
  • Security Reviewer (roles/iam.securityReviewer)

Di base

grp-gcp-network-viewer

Questo gruppo esamina le configurazioni di rete.
  • Compute Network Viewer (roles/compute.networkViewer)

Di base

grp-gcp-audit-viewer

Questo gruppo visualizza gli audit log.
  • Private Logs Viewer (roles/logging.privateLogViewer)
  • Visualizzatore (roles/viewer)

Di base

grp-gcp-scc-admin

Questo gruppo amministra Security Command Center.
  • Security Center Admin (roles/securitycenter.admin)

Di base

grp-gcp-secrets-admin

Questo gruppo gestisce i secret in Secret Manager.
  • Secret Manager Admin (roles/secretmanager.admin)

Amministratori di Agent Platform

grp-gcp-vertex-ai-admin

Questo gruppo ha accesso completo a tutte le risorse in Agent Platform.
  • Vertex AI Administrator (roles/aiplatform.admin)

Visualizzatori di Agent Platform

grp-gcp-vertex-ai-viewer

Questo gruppo visualizza tutte le risorse in Agent Platform.
  • Vertex AI Viewer (roles/aiplatform.viewer)

Utenti di Agent Platform

grp-gcp-vertex-ai-user

Questo gruppo utilizza tutte le risorse di Agent Platform.
  • Vertex AI User (roles/aiplatform.user)

Amministratori di Agent Platform Workbench

grp-gcp-vertex-ai-notebook-admin

Questo gruppo ha accesso completo a tutti i modelli e runtime in Agent Platform Workbench.
  • Amministratore runtime notebook (roles/aiplatform.notebookRuntimeAdmin)

Utenti di Agent Platform Workbench

grp-gcp-vertex-ai-notebook-user

Questo gruppo crea risorse di runtime utilizzando un template di runtime e gestisce le risorse di runtime che ha creato.
  • Notebook Runtime User (roles/aiplatform.notebookRuntimeUser)

Passaggi successivi