קבוצות משתמשים מומלצות ותפקידים מומלצים בניהול זהויות והרשאות גישה (IAM)

בטבלה הבאה מתוארים התפקידים במערכת לניהול הזהויות והרשאות הגישה (IAM) שאנחנו ממליצים להשתמש בהם כנקודת התחלה להפעלת עומסי עבודה ב-Google Cloud. כדאי להגדיר את תפקידי ה-IAM כדי להטמיע הפרדה בין תחומי האחריות בסביבה שלכם, וכדי להתאים אותם למידת הסיכון שאתם מוכנים לקחת ולמבנה הארגוני שלכם.

כשמקצים את התפקידים האלה לקבוצות משתמשים בארגון, כדאי לחשוב איפה צריך להחיל תפקידים עם הרשאות פרטניות יותר כדי לתת מענה לתרחישי שימוש ספציפיים ולדרישות גישה לנתונים. בסביבות שבהן נעשה שימוש במידע אישי רגיש (לדוגמה, אם אתם משתמשים במידע אישי רגיש כדי לאמן מודלים), תוכלו לקרוא את המאמר ייבוא נתונים למחסן נתונים מאובטח ב-BigQuery כדי לקבל מידע נוסף על התפקידים שבהם אפשר להשתמש כדי לאפשר גישה לנתונים מאוחסנים.

בטבלה הבאה מתוארות ההמלצות לתפקידים. מיישמים המלצות בסיסיות והמלצות שספציפיות לתרחישי שימוש, לפי הצורך.

שירות	קבוצה	תיאור	תפקידי IAM
מאגר בסיסי	grp-gcp-org-admin	הקבוצה הזו מנהלת את המשאבים ששייכים לארגון. מומלץ להקצות את התפקיד הזה רק כשצריך. לאדמינים בארגון יש גישה לכל המשאבים שלכם ב- Google Cloud . לחלופין, מכיוון שלפונקציה הזו יש הרשאות גבוהות, כדאי להשתמש בחשבונות פרטיים במקום ליצור קבוצה.	אדמין של הארגון (roles/resourcemanager.organizationAdmin) אדמין תיקיות (roles/resourcemanager.folderAdmin) Project Creator (roles/resourcemanager.projectCreator) משתמש בחשבון לחיוב (roles/billing.user) אדמין של תפקידים בארגון (roles/iam.organizationRoleAdmin) אדמין של מדיניות הארגון (roles/orgpolicy.policyAdmin) אדמין של Security Center‏ (roles/securitycenter.admin) Support Account Administrator (roles/cloudsupport.admin)
מאגר בסיסי	grp-gcp-network-admins	חברי הקבוצה הזו יכולים ליצור רשתות, רשתות משנה, כללי חומת אש ומכשירי רשת כמו Cloud Router,‏ Cloud VPN ומאזני עומסים בענן.	אדמין של רשת מחשוב (roles/compute.networkAdmin) אדמין של VPC משותף ב-Compute‏ (roles/compute.xpnAdmin) אדמין לענייני אבטחה ב-Compute (roles/compute.securityAdmin) בעל הרשאת צפייה בתיקייה (roles/resourcemanager.folderViewer)
מאגר בסיסי	grp-gcp-billing-admin	הקבוצה הזו מגדירה חשבונות לחיוב ועוקבת אחרי השימוש בהם.	Billing Account Administrator (roles/billing.admin) Billing Account Creator (roles/billing.creator) צפייה בארגון (roles/resourcemanager.organizationViewer)
מאגר בסיסי	grp-gcp-security-admins	הקבוצה הזו מגדירה ומנהלת את מדיניות האבטחה לכלל הארגון, כולל ניהול הרשאות גישה ומדיניות אילוצים בארגון. כדי לתכנן את תשתית האבטחה שלכם, כדאי לעיין בתוכנית לניהול יסודות האבטחה. Google Cloud	צפייה בנתוני BigQuery ‏ (roles/bigquery.dataViewer) צפייה בנתוני מחשוב (roles/compute.viewer) אדמין IAM בתיקייה (roles/resourcemanager.folderIamAdmin) Kubernetes Engine Viewer ‏ (roles/container.viewer) Logs Configuration Writer (roles/logging.configWriter) צפייה בתפקידים בארגון (roles/iam.organizationRoleViewer) אדמין של מדיניות הארגון (roles/orgpolicy.policyAdmin) צפייה במדיניות הארגון (roles/orgpolicy.policyViewer) מציג יומנים פרטיים (roles/logging.privateLogViewer) אדמין של Security Center‏ (roles/securitycenter.admin) בודק אבטחה (roles/iam.securityReviewer)
מאגר בסיסי	grp-gcp-billing-viewer	הקבוצה הזו עוקבת אחרי ההוצאות בפרויקטים. בדרך כלל החברים בקבוצה הם חלק מצוות הכספים.	Billing Account Viewer (roles/billing.viewer)
מאגר בסיסי	grp-gcp-platform-viewer	הקבוצה הזו בודקת את פרטי המשאבים של הארגון ב- Google Cloud.	בעל הרשאת צפייה (roles/viewer)
מאגר בסיסי	grp-gcp-security-reviewer	הקבוצה הזו בודקת את האבטחה בענן.	בודק אבטחה (roles/iam.securityReviewer)
מאגר בסיסי	grp-gcp-network-viewer	הקבוצה הזו בודקת את הגדרות הרשת.	צפייה ברשת Compute (roles/compute.networkViewer)
מאגר בסיסי	grp-gcp-audit-viewer	הקבוצה הזו יכולה לצפות ביומני ביקורת.	מציג יומנים פרטיים (roles/logging.privateLogViewer) בעל הרשאת צפייה (roles/viewer)
מאגר בסיסי	grp-gcp-scc-admin	הקבוצה הזו מנהלת את Security Command Center.	אדמין של Security Center‏ (roles/securitycenter.admin)
מאגר בסיסי	grp-gcp-secrets-admin	הקבוצה הזו מנהלת סודות ב-Secret Manager.	אדמין של Secret Manager‏ (roles/secretmanager.admin)
מנהלי מערכת של Agent Platform	grp-gcp-vertex-ai-admin	לקבוצה הזו יש גישה מלאה לכל המשאבים ב-Agent Platform.	אדמין של Vertex AI ‏ (roles/aiplatform.admin)
מבקרים ב-Agent Platform	grp-gcp-vertex-ai-viewer	הקבוצה הזו יכולה לראות את כל המשאבים ב-Agent Platform.	Vertex AI Viewer ‏ (roles/aiplatform.viewer)
משתמשים ב-Agent Platform	grp-gcp-vertex-ai-user	הקבוצה הזו משתמשת בכל המשאבים ב-Agent Platform.	משתמש Vertex AI‏ (roles/aiplatform.user)
אדמינים של Agent Platform Workbench	grp-gcp-vertex-ai-notebook-admin	לקבוצה הזו יש גישה מלאה לכל תבניות זמן הריצה וזמני הריצה ב-Agent Platform Workbench.	אדמין של זמן ריצה של נוטבוק (roles/aiplatform.notebookRuntimeAdmin)
משתמשים ב-Agent Platform Workbench	grp-gcp-vertex-ai-notebook-user	הקבוצה הזו יוצרת משאבי זמן ריצה באמצעות תבנית זמן ריצה ומנהלת את משאבי זמן הריצה שהיא יצרה.	משתמש בזמן הריצה של Notebook (roles/aiplatform.notebookRuntimeUser)

המאמרים הבאים

• קוראים את ההמלצות לתפקידים בתוכנית הבסיסית של Enterprise.

• כדאי לעיין באמצעי בקרה מאובטחים לניהול הארגון.

• Google Cloud עוד שיטות מומלצות והנחיות בנושא אבטחה