Vordefinierte Rollenvorschläge mit Gemini-Unterstützung erhalten

Auf dieser Seite wird beschrieben, wie Sie mit Unterstützung von Gemini vordefinierte IAM-Rollen (Identity and Access Management) für Ihre Hauptkonten finden und zuweisen.

Mit der IAM-Rollenauswahl können Sie Gemini fragen, welche Rollen Sie Ihren Hauptkonten zuweisen sollten. Normalerweise müssen Sie den Index für IAM-Rollen und Berechtigungen oder die Seite Rollen in der Google Cloud Console durchsuchen, um die richtigen vordefinierten Rollen zu finden. Mit der IAM-Rollenauswahl können Sie die Aktionen beschreiben, die das Hauptkonto ausführen soll, und die Ressourcen, die dafür erforderlich sind. Gemini schlägt dann die vordefinierten Rollen vor, die es für geeignet hält.

Gemini kann vordefinierte Rollen für einzelne Hauptkonten vorschlagen. Wenn Gemini vorschlägt, eine Rolle auf Projektebene zuzuweisen, können Sie die IAM-Rollenauswahl verwenden, um diese Rolle zuzuweisen.

Sie können die IAM-Rollenauswahl nicht verwenden, um Vorschläge für Folgendes zu erhalten:

• Benutzerdefinierte Rollen
• Rollen für mehrere Hauptkonten (mit einem einzigen Prompt)
• Rollen für Google Workspace-Produkte wie Google Sheets und Google Docs

Hinweis: Gemini kann über die IAM-Rollenauswahl keine benutzerdefinierten Rollen vorschlagen. Sie können aber weiterhin Vorschläge für benutzerdefinierte Rollen von Gemini erhalten, indem Sie das Chatfenster von Gemini Cloud Assist verwenden. Eine Anleitung finden Sie unter Use Gemini Cloud Assist in the Google Cloud console in der Dokumentation zu Gemini Cloud Assist.

Weitere Informationen dazu, wie und wann Gemini forIhre Daten verwendet. Google Cloud

Erforderliche Rollen

Bitten Sie Ihren Administrator, Ihnen die IAM-Rolle IAM-Administrator für Projekt (roles/resourcemanager.projectIamAdmin) für das Projekt zuzuweisen, um die Berechtigungen zu erhalten, die Sie zum Verwenden der IAM-Rollenauswahl benötigen. Weitere Informationen zum Zuweisen von Rollen finden Sie unter Zugriff auf Projekte, Ordner und Organisationen verwalten.

Diese vordefinierte Rolle enthält die Berechtigungen, die für die Verwendung der IAM-Rollenauswahl erforderlich sind. Maximieren Sie den Abschnitt Erforderliche Berechtigungen , um die notwendigen Berechtigungen anzuzeigen, die erforderlich sind:

Erforderliche Berechtigungen

Die folgenden Berechtigungen sind erforderlich, um die IAM-Rollenauswahl zu verwenden:

• resourcemanager.projects.get
• resourcemanager.projects.getIamPolicy
• resourcemanager.projects.setIamPolicy

Sie können diese Berechtigungen auch mit benutzerdefinierten Rollen oder anderen vordefinierten Rollen erhalten.

Rollen mit Unterstützung von Gemini vorschlagen lassen

Da es sich bei Produkten von Gemini for Google Cloud Technologie in einem frühen Entwicklungsstadium handelt, kann es zu Ergebnissen kommen, die zwar plausibel erscheinen, aber faktisch falsch sind. Ausgaben der Produkte von Gemini für Google Cloud sollten daher vor der Verwendung geprüft werden. Weitere Informationen finden Sie unter Gemini für Google Cloud und verantwortungsbewusste Anwendung von KI.

Wenn Sie Rollenvorschläge von Gemini erhalten möchten, können Sie die IAM-Rollenauswahl auf Seiten in der Google Cloud Console aufrufen, auf denen Sie Zugriff auf Projektebene gewähren können. Die IAM-Rollenauswahl ist beispielsweise auf den folgenden Seiten verfügbar:

• Die Seite IAM
• Die Seite Dienstkonten
• Die Google Cloud Seite Dashboard in der Console

Im folgenden Verfahren wird die Seite IAM als primärer Einstiegspunkt verwendet.

1. Rufen Sie in der Google Cloud Console die IAM Seite auf.

   IAM aufrufen

2. Wählen Sie ein Projekt aus.

3. Wählen Sie ein Hauptkonto aus, für das Sie Rollenvorschläge erhalten möchten:

   • Wenn Sie Rollenvorschläge für ein Hauptkonto erhalten möchten, das bereits andere Rollen für die Ressource hat, suchen Sie die Zeile mit dem Hauptkonto und klicken Sie dann in dieser Zeile auf Hauptkonto bearbeiten.

     Wenn Sie einem Dienst-Agenten eine Rolle zuweisen möchten, wählen Sie das Kästchen Von Google-bereitgestellte Rollenzuweisungen einschließen aus, um die E-Mail-Adresse zu sehen.

     Hinweis: Übernommene Rollen können beim Bearbeiten des Zugriffs auf eine Ressource nicht bearbeitet werden. Zur Bearbeitung übernommener Rollen rufen Sie die Ressource auf, der die Rolle zugewiesen wurde.

   • Wenn Sie Rollenvorschläge für ein Hauptkonto erhalten möchten, das noch keine Rollen für die Ressource hat, klicken Sie auf Zugriff zuweisen und geben Sie dann eine Hauptkonto-ID ein, z. B. [e-mail] oder //iam.googleapis.com/locations/global/workforcePools/example-pool/group/[e-mail].

4. Klicken Sie auf Hilfe beim Auswählen von Rollen, um das Dialogfeld „IAM-Rollenauswahl“ zu öffnen.

5. Beschreiben Sie mit Ihren eigenen Worten die Aktion, die das Hauptkonto ausführen soll, und die Ressource im Projekt, für die die Aktion ausgeführt werden soll.

6. Klicken Sie auf Rollen vorschlagen. Gemini schlägt dann die vordefinierten Rollen vor, die es für geeignet hält.

   Wenn Sie weitere Informationen zu den Rollen und den Gründen für die Vorschläge von Gemini erhalten möchten, klicken Sie auf Begründung einblenden. Wir empfehlen außerdem, die Referenz zu Rollen und Berechtigungen zu verwenden, um die von Gemini vorgeschlagenen Rollen zu prüfen, bevor Sie sie dem Hauptkonto zuweisen.

7. Optional: Wenn Gemini nicht die richtigen Rollen vorschlägt, können Sie Ihren Prompt verfeinern.

   1. Klicken Sie auf Bearbeiten, um den Prompt zu ändern.
   2. Bearbeiten Sie die Beschreibung und klicken Sie dann auf Aktualisieren. Gemini aktualisiert die Rollenvorschläge basierend auf der neuen Beschreibung.

8. Klicken Sie auf Rollen hinzufügen, um die Vorschläge zu übernehmen.

9. Optional: Fügen Sie der Rolle eine Bedingung hinzu.

10. Klicken Sie auf Speichern. Dem Hauptkonto wird die Rolle für die Ressource zugewiesen.

Sie können von Gemini vorgeschlagene Rollen auf Projektebene direkt über die IAM-Rollenauswahl zuweisen. Bei Rollenvorschlägen auf Organisations-, Ordner- oder Ressourcenebene notieren Sie sich die vorgeschlagenen Rollen und weisen Sie sie dem Hauptkonto auf der entsprechenden Ebene mit dem üblichen Verfahren in der Google Cloud Console zu. Weitere Informationen zum Zuweisen von Rollen finden Sie unter Zugriff auf Projekte, Ordner und Organisationen.

Wenn Sie nicht die Berechtigungen haben, um die Rollen auf Organisations-, Ordner- oder Ressourcenebene zuzuweisen, wenden Sie sich an Ihren Administrator.

Beispiele für Anwendungsfälle

In der folgenden Tabelle sind einige Beispiele für Anwendungsfälle für die IAM-Rollenauswahl aufgeführt. Standardmäßig schlägt Gemini Rollen vor, die gängige Nutzerabläufe in einem Dienst abdecken. Gemini schlägt beispielsweise häufig die Rollen „Administrator“, „Editor“ oder „Betrachter“ eines Dienstes vor.

Wenn Gemini die detailliertesten Rollen mit den geringsten Berechtigungen vorschlagen soll, müssen Sie diese Präferenz in Ihrem Prompt mit bestimmten Keywords angeben. Eine Liste der Keywords, die Sie verwenden können, finden Sie unter Keywords für Rollen mit den geringsten Berechtigungen. Beachten Sie jedoch, dass Rollen mit den geringsten Berechtigungen möglicherweise nicht für die zukünftigen Anforderungen eines Nutzers ausreichen.

Anwendungsfall	Beispiele für Prompts
Rollen für die allgemeine Dienstverwaltung ermitteln	„Welche Berechtigungen benötige ich, um unsere AlloyDB for PostgreSQL-Einrichtung zu verwalten?“ „Welche Rollen benötige ich, um mit BigQuery zu arbeiten?“ „Wie gewähre ich jemandem Zugriff, um Cloud Run-Dienste auszuführen und zu debuggen?“ „Ich muss eine Vertex AI-Agentenidentität bereitstellen, um einfache Toolaufrufe auszuführen.“
Die Rollen ermitteln, die zum Ausführen bestimmter Aufgaben erforderlich sind	„Welche Rolle ist erforderlich, um VMs zu erstellen, zu starten und zu beenden?“ „Ich muss einem Nutzer erlauben, BigQuery-Datasets und -Tabellen zu erstellen und zu verwalten.“ „Ich muss einem Dienstkonto Zugriff gewähren, um Cloud Run-Funktionen aufzurufen.“ „Ich möchte, dass mein Agent einen lokalen MCP-Server auslöst, den ich in Cloud Run bereitgestellt habe.“ Prompts, die Rollenvorschläge mit den geringsten Berechtigungen liefern: „Welche Mindestrolle ist erforderlich, um VMs zu erstellen, zu starten und zu beenden?“ „Welche IAM-Rollen mit den geringsten Berechtigungen sind erforderlich, um IAM-Richtlinien zu erstellen?“ „Ich muss einem Dienstkonto Zugriff gewähren, um Cloud Run-Funktionen aufzurufen. Welcher Zugriff mit den geringsten Berechtigungen ist erforderlich?“ „Welche Rolle mit den geringsten Berechtigungen benötigt mein Agent, um einen lokalen MCP-Server auszulösen, den ich in Cloud Run bereitgestellt habe?“
Rollen ermitteln, die zum Ausführen von Google Cloud CLI-Befehlen erforderlich sind	„Welche IAM-Rolle ist erforderlich, um gcloud compute instances create instance-1 auszuführen?“ Prompt, der Rollenvorschläge mit den geringsten Berechtigungen liefert: „Welche kleinste Rolle benötigt ein Dienstkonto, um gcloud datastore instances describe auszuführen?“
Rollen für eine Aufgabe ermitteln, die transitive Abhängigkeiten umfasst	„Ich muss eine Compute Engine-Instanz so konfigurieren, dass sie automatisch anhand der CPU-Auslastung skaliert wird. Welche IAM-Rollen sollte ich dem Dienstkonto zuweisen?“ Prompt, der Rollenvorschläge mit den geringsten Berechtigungen liefert: „Ich muss eine Compute Engine-Instanz so konfigurieren, dass sie automatisch anhand der CPU-Auslastung skaliert wird. Welche Mindestberechtigungen muss ich einem Dienstkonto zuweisen, das von einem Autoscaler für Compute Engine-Instanzen verwendet wird?“
Rollen für eine Aufgabe ermitteln, die möglicherweise eine Kombination aus mehreren detaillierten Rollen erfordert	„Nutzern nur Zugriff auf ein bestimmtes Dataset in BigQuery gewähren. Sie sollen keine Datasets erstellen oder löschen können.“ Prompt, der Rollenvorschläge mit den geringsten Berechtigungen liefert: „Welche sicherste Rolle kann ich Nutzern zuweisen, um ihnen schreibgeschützten Zugriff auf ein einzelnes Dataset in BigQuery zu gewähren, ohne dass sie Aktionen zum Erstellen oder Löschen für Datasets ausführen können?“

Best Practices

Damit Gemini möglichst genaue Vorschläge für Ihren Anwendungsfall machen kann, empfehlen wir Ihnen, beim Verfassen Ihres Prompts die folgenden Best Practices zu beachten.

• Beschreiben Sie Ihren Anwendungsfall klar. Vermeiden Sie vage Formulierungen in Ihren Prompts. Beschreiben Sie so klar wie möglich, welche Aktionen das Hauptkonto für welche Dienste und Ressourcentypen ausführen soll. Wenn Sie möchten, dass Gemini Rollen mit den geringsten Berechtigungen vorschlägt, müssen Sie Ihren Prompt mit bestimmten Keywords erstellen, die Ihre Absicht beschreiben, das Prinzip der geringsten Berechtigung einzuhalten.

  Dos	Don'ts	Details
  „Welche Rolle ist erforderlich, um SQL-Abfragen für eine BigQuery-Tabelle auszuführen und die Daten daraus zu lesen?“	„Welche Rolle ist erforderlich, um SQL-Anweisungen auszuführen?“	SQL ist eine allgemeine Sprache, die in mehreren Google Cloud Diensten verwendet wird. Ohne Angabe des Dienstes oder der Aktionen kann Gemini keine genaue Rolle vorschlagen.
  „Ich benötige Rollen, um Compute Engine-VM-Instanzen zu starten, zu beenden und neu zu starten.“	„Ich muss meine virtuellen Maschinen verwalten.“	Der Begriff verwalten ist zu vage. „Verwalten“ kann das Erstellen, Löschen, Aktualisieren oder Aufrufen von VMs bedeuten. Wenn Sie die auszuführenden Aktionen (Starten, Beenden, Neustarten) und den genauen Ressourcentyp (Compute Engine-VM-Instanzen) klar angeben, erhalten Sie genauere Vorschläge.
  „Ich muss Objekte in einen Cloud Storage-Bucket mit dem Namen example-bucket hochladen und daraus herunterladen.“	„Gewähren Sie mir Zugriff auf den Speicher.“	Der Begriff Speicher allein kann sich auf verschiedene Dienste wie Cloud Storage, Filestore oder Persistent Disk beziehen. Außerdem sind keine Aktionen angegeben. Ohne Angabe des Dienstes (Cloud Storage), des Ressourcentypnamens (example-bucket) oder der Aktionen (Objekte hochladen und herunterladen) hat Gemini nicht genügend Informationen, um die richtigen Rollen vorzuschlagen.
  „Ich benötige die Rolle mit den geringsten Berechtigungen, die nur Lesezugriff auf Secret Manager bietet.“	„Ich benötige eingeschränkten Zugriff, um meine Secrets zu verwalten.“	Die Formulierung eingeschränkter Zugriff definiert die erforderlichen Einschränkungen nicht klar. Meine Secrets verwalten umfasst eine breite Palette von Aktionen (Versionen erstellen, auflisten, aktualisieren, löschen, aufrufen). Ohne explizite Keywords wie geringste Berechtigung schlägt Gemini standardmäßig allgemeinere dienstspezifische Administrator-, Editor- oder Betrachterrollen vor.

• Verwenden Sie offizielle Namen. Verwenden Sie in Ihrem Prompt die offiziellen Namen von Google Cloud Diensten, Ressourcentypen und API-Vorgängen. Wenn Sie sich nicht sicher sind, wie die offiziellen Namen von Diensten, Ressourcentypen oder API-Vorgängen lauten, empfehlen wir Ihnen, die offizielle Produktdokumentation zu lesen.

  Dos	Don'ts	Details
  „Welche Rolle benötige ich, um BigQuery-Datasets zu aktualisieren?“	„Welche Rolle benötige ich, um Big query-Datasets zu aktualisieren?	BigQuery ist der offizielle Name des Produkts, nicht Big query.
  „Welche Rolle ist erforderlich, um einen Cloud Storage-Bucket in meinem Projekt zu erstellen?“	„Welche Rolle ist erforderlich, um einen Storage-Bucket in meinem Projekt zu erstellen?“	Storage-Bucket kann sich auf verschiedene Ressourcentypen aus Diensten wie Cloud Storage, Filestore oder Persistent Disk beziehen. Wenn Sie den Produktnamen und den zugehörigen Ressourcentyp angeben, erhalten Sie genauere Vorschläge.

Keywords für Rollen mit den geringsten Berechtigungen

Wenn Sie Rollenvorschläge von Gemini benötigen, die dem Prinzip der geringsten Berechtigung entsprechen, müssen Sie in Ihrem Prompt bestimmte Keywords verwenden. Im Folgenden finden Sie eine nicht vollständige Liste von Keywords, mit denen Sie Rollen mit den geringsten Berechtigungen anfordern können:

• mit den geringsten Berechtigungen
• sicherste
• kleinste Rolle
• mit den geringsten Berechtigungen
• Mindestberechtigungen
• streng detailliert
• Zugriff mit den geringsten Berechtigungen
• nur das absolute Minimum
• nur mit den genauen Berechtigungen

Fehlerbehebung

In diesem Abschnitt werden Lösungen für häufige Probleme mit der IAM-Rollenauswahl beschrieben.

Gemini schlägt Rollen vor, die Sie nicht auf Projektebene zuweisen können

Gemini kann Rollen auf allen Ressourcenebenen vorschlagen. Sie können jedoch nur die vorgeschlagenen Rollen auf Projektebene mit der IAM-Rollenauswahl zuweisen. Wenn Gemini Rollen auf Organisations-, Ordner- oder Ressourcenebene vorschlägt, zeigt die IAM-Rollenauswahl an, dass es vorgeschlagene Rollen gibt, die nicht zugewiesen werden können, und die Schaltfläche Rollen hinzufügen ist deaktiviert.

In diesem Fall können Sie die vorgeschlagenen Rollen kopieren und sie dem Hauptkonto auf der entsprechenden Ebene mit dem üblichen Verfahren in der Google Cloud Console zuweisen. Weitere Informationen zum Zuweisen von Rollen finden Sie unter Zugriff auf Projekte, Ordner und Organisationen verwalten.

Wenn Sie nicht die Berechtigungen haben, um die Rollen auf Organisations-, Ordner- oder Ressourcenebene zuzuweisen, wenden Sie sich an Ihren Administrator.

Nächste Schritte

• Lesen Sie die Übersicht zu Gemini für Google Cloud overview.
• Weitere Informationen dazu, wie und wann Gemini forIhre Daten Google Cloud verwendet
• Informationen zum manuellen Suchen nach den richtigen vordefinierten Rollen.