Rolle auswählen

Auf dieser Seite finden Sie eine Anleitung dazu, welche Art von Rolle – vordefiniert, benutzerdefiniert oder einfach – Sie verwenden sollten, um den Zugriff auf Google Cloud Ressourcen zu steuern.

Im Folgenden finden Sie eine Zusammenfassung unserer Empfehlungen zur Auswahl der richtigen Rolle:

  • Wir empfehlen, vordefinierte Rollen zu verwenden, da sie von Google verwaltet werden und ein ausgewogenes Verhältnis zwischen Sicherheit und Komfort bieten.
  • Wenn Sie eine Rolle benötigen, die sich genau an das Prinzip der geringsten Berechtigung hält, und Sie keine vordefinierte Rolle finden, die Ihren Sicherheitsanforderungen entspricht, verwenden Sie benutzerdefinierte Rollen.
  • Verwenden Sie einfache Rollen nur, wenn es keine Alternative gibt oder wenn Sie sie in einer Testumgebung verwenden.

Anwendungsbereiche für vordefinierte Rollen

Im Allgemeinen empfehlen wir, vordefinierte Rollen anstelle von einfachen oder benutzerdefinierten Rollen zuverwenden. Vordefinierte Rollen bieten detaillierten Zugriff auf bestimmte Google Cloud Ressourcen, werden von Google verwaltet und automatisch aktualisiert, wenn neue Berechtigungen, Funktionen oder Dienste zu Google Cloudhinzugefügt werden.

Wir empfehlen, vordefinierte Rollen zu verwenden, die alle Berechtigungen enthalten, die ein Nutzer für einen bestimmten Anwendungsfall wahrscheinlich benötigt. Die meisten Dienste bieten umfassende Administrator-, Bearbeiter- und Betrachterrollen, die diesem Zweck dienen. Die Rolle „Bigtable-Administrator“ bietet beispielsweise Administratorberechtigungen zum Erstellen neuer Instanzen und Zugriff auf alle Tabellendaten in einem Projekt. Die Rolle „Bigtable-Betrachter“ bietet schreibgeschützten Zugriff auf Bigtable in der Google Cloud Konsole.

Es gibt jedoch Fälle, in denen Sie benutzerdefinierte oder einfache Rollen verwenden möchten. Diese Fälle werden in den folgenden Abschnitten beschrieben.

Anwendungsbereiche für benutzerdefinierte Rollen

Im Gegensatz zu vordefinierten Rollen werden benutzerdefinierte Rollen nicht von Google verwaltet. Wenn neue Berechtigungen, Funktionen oder Dienste zu Google Cloud hinzugefügt werden, werden Ihre benutzerdefinierten Rollen also nicht automatisch aktualisiert. Aus diesem Grund empfehlen wir, die am stärksten beschränkten vordefinierten Rollen zuzuweisen, die noch Ihre Anforderungen erfüllen.

In den folgenden Fällen kann es jedoch sinnvoll sein, benutzerdefinierte Rollen zu erstellen und zuzuweisen:

  • Ein Hauptkonto benötigt eine Berechtigung, aber jede vordefinierte Rolle mit dieser Berechtigung enthält auch Berechtigungen, die das Hauptkonto nicht benötigt und nicht haben sollte.
  • Mit Rollenempfehlungen können Sie zu weit gefasste Rollen zuweisungen durch geeignete Rollenzuweisungen ersetzen. In einigen Fällen erhalten Sie möglicherweise eine Empfehlung, eine benutzerdefinierte Rolle zu erstellen.

Beachten Sie bei der Verwendung benutzerdefinierter Rollen die folgenden Beschränkungen:

  • Benutzerdefinierte Rollen können bis zu 3.000 Berechtigungen enthalten.
  • Die maximale Gesamtgröße des Titels, der Beschreibung und der Berechtigungsnamen für eine benutzerdefinierte Rolle beträgt 64 KB.

  • Die Anzahl der benutzerdefinierten Rollen, die Sie erstellen können, ist begrenzt:

    • Sie können in Ihrer Organisation bis zu 300 benutzerdefinierte Rollen auf Organisationsebene erstellen.
    • Sie können in jedem Projekt in Ihrer Organisation bis zu 300 benutzerdefinierte Rollen auf Projektebene erstellen.

Anwendungsbereiche für einfache Rollen

Einfache Rollen umfassen Tausende von Berechtigungen für alle Google Cloud Dienste. In Produktionsumgebungen sollten Sie einfache Rollen nur zuweisen, wenn es keine Alternative gibt. Weisen Sie stattdessen die am stärksten beschränkten vordefinierten Rollen oder benutzerdefinierten Rollen zu, die noch Ihre Anforderungen erfüllen.

Wenn Sie eine einfache Rolle ersetzen müssen, können Sie Rollen empfehlungen verwenden, um zu bestimmen, welche Rollen stattdessen zugewiesen werden sollen. Sie können auch den Policy Simulator verwenden, um sicherzustellen, dass sich eine Änderung der Rolle nicht auf den Zugriff des Prinzipals auswirkt.

Es kann sinnvoll sein, einfache Rollen zuzuweisen, wenn Sie umfassendere Berechtigungen für ein Projekt gewähren möchten. Dies ist oft der Fall, wenn Sie Berechtigungen in Entwicklungs- oder Testumgebungen gewähren.

Nächste Schritte