Panoramica dei ruoli

In questa pagina vengono descritti i ruoli di Identity and Access Management (IAM), che sono raccolte di autorizzazioni IAM.

Un ruolo contiene un insieme di autorizzazioni che ti consentono di eseguire azioni specifiche sulle risorseGoogle Cloud . Per rendere disponibili le autorizzazioni alle entità, tra cui utenti, gruppi e service account, concedi i ruoli alle entità.

Prima di iniziare

Tipi di ruoli

In IAM esistono tre tipi di ruoli:

  • Ruoli di base, che forniscono un ampio accesso alle risorse Google Cloud .
  • Ruoli predefiniti, che forniscono un accesso granulare per un servizio specifico e sono gestiti da Google Cloud.
  • Ruoli personalizzati, che forniscono un accesso granulare in base a un elenco di autorizzazioni specificato dall'utente.

Per determinare se un'autorizzazione è inclusa in un ruolo di base, predefinito o personalizzato, puoi utilizzare uno dei seguenti metodi:

Per indicazioni su quando utilizzare tipi di ruoli specifici, consulta Scegli il tipo di ruolo da utilizzare.

Componenti dei ruoli

Ogni ruolo ha i seguenti componenti:

  • Titolo: un nome leggibile per il ruolo. Il titolo del ruolo viene utilizzato per identificare il ruolo nella console Google Cloud .

  • Nome: un identificatore del ruolo in uno dei seguenti formati:

    • Ruoli predefiniti: roles/SERVICE.IDENTIFIER
    • Ruoli personalizzati a livello di progetto: projects/PROJECT_ID/roles/IDENTIFIER
    • Ruoli personalizzati a livello di organizzazione: organizations/ORG_ID/roles/IDENTIFIER

    Il nome del ruolo viene utilizzato per identificare il ruolo nelle policy di autorizzazione.

  • ID: un identificatore univoco del ruolo. Per i ruoli di base e predefiniti, l'ID corrisponde al nome del ruolo. Per i ruoli personalizzati, l'ID è tutto ciò che segue roles/ nel nome del ruolo.

  • Descrizione: una descrizione del ruolo leggibile da una persona.

  • Fase: la fase del ruolo nel ciclo di vita del lancio, ad esempio ALPHA, BETA o GA. Per saperne di più sulle fasi di lancio, consulta Test e deployment.

  • Autorizzazioni: le autorizzazioni incluse nel ruolo. Le autorizzazioni consentono alle entità di eseguire azioni specifiche sulle risorse Google Cloud . Quando concedi un ruolo a un'entità, quest'ultima riceve tutte le autorizzazioni del ruolo.

    Le autorizzazioni hanno il seguente formato:

    SERVICE.RESOURCE.VERB

    Ad esempio, l'autorizzazione compute.instances.list consente a un utente di elencare le istanze Compute Engine di sua proprietà, mentre compute.instances.stop consente a un utente di arrestare una VM.

    In genere, ma non sempre, le autorizzazioni corrispondono 1:1 ai metodi REST. In altre parole, ogni servizio Google Cloud ha un'autorizzazione associata per ogni metodo REST di cui dispone. Per chiamare un metodo, il chiamante deve disporre dell'autorizzazione associata. Ad esempio, per chiamare il metodo projects.topics.publish dell'API Pub/Sub, devi disporre dell'autorizzazione pubsub.topics.publish.

  • ETag: un identificatore della versione del ruolo per evitare che gli aggiornamenti simultanei si sovrascrivano a vicenda. I ruoli di base e predefiniti hanno sempre l'ETag AA==. Gli ETag per i ruoli personalizzati cambiano ogni volta che modifichi i ruoli.

Ruoli di base

I ruoli di base sono ruoli altamente permissivi che concedono un ampio accesso alle risorseGoogle Cloud .

I ruoli di base in IAM sono Amministratore (roles/admin), Writer (roles/writer) e Reader (roles/reader). IAM ha anche tre ruoli di base legacy che esistevano prima dell'introduzione di IAM: Proprietario (roles/owner), Editor (roles/editor) e Visualizzatore (roles/viewer). Per scoprire di più su questi ruoli, consulta Ruoli di base legacy in questa pagina.

I ruoli di base includono migliaia di autorizzazioni per tutti i servizi Google Cloud . In ambienti di produzione, non concedere ruoli di base a meno che non ci siano alternative. Concedi invece i ruoli predefiniti o i ruoli personalizzati più limitati secondo le tue esigenze.

Negli ambienti di gestione temporanea o di test, preferisci i ruoli Amministratore, Writer e Reader ai ruoli di base legacy. Sebbene entrambi i set di ruoli siano gestiti attivamente, i ruoli Amministratore, Writer e Reader supportano funzionalità aggiuntive, come l'utilizzo delle condizioni IAM.

La tabella seguente riassume le autorizzazioni che i ruoli Amministratore, Writer e Reader concedono alle entità in tutti i servizi Google Cloud :

Ruolo di base Autorizzazioni
Lettore (roles/reader)

Autorizzazioni relative ad azioni di sola lettura senza effetto sullo stato, ad esempio la visualizzazione (ma non la modifica) di risorse o dati esistenti.

Per un elenco delle autorizzazioni nel ruolo Lettore, consulta i dettagli del ruolo nella console Google Cloud :

Vai al ruolo Reader

Writer (roles/writer)

Tutte le autorizzazioni del ruolo Lettore, più le autorizzazioni per le azioni che modificano lo stato, ad esempio la modifica di risorse esistenti.

Le autorizzazioni nel ruolo Writer consentono di creare ed eliminare risorse per la maggior parte dei servizi Google Cloud . Tuttavia, il ruolo Writer non contiene le autorizzazioni per eseguire tutte le azioni per tutti i servizi. Per ulteriori informazioni su come verificare se un ruolo dispone delle autorizzazioni necessarie, consulta Tipi di ruoli in questa pagina.

Per un elenco delle autorizzazioni nel ruolo Writer, consulta i dettagli del ruolo nella console Google Cloud :

Vai al ruolo Writer

Admin (roles/admin)

Tutte le autorizzazioni del ruolo Writer, più le autorizzazioni per azioni come le seguenti:

  • Completamento di attività sensibili, come la gestione delle associazioni di tag per le risorse Compute Engine
  • Gestione dei ruoli e delle autorizzazioni di un progetto e di tutte le risorse che fanno parte del progetto
  • Configurazione della fatturazione per un progetto

Il ruolo Amministratore non contiene tutte le autorizzazioni per tutte le risorse Google Cloud . Ad esempio, non contiene le autorizzazioni per modificare i dati di pagamento della fatturazione Cloud o per creare policy di negazione IAM.

Per un elenco delle autorizzazioni nel ruolo Amministratore, consulta i dettagli del ruolo nella console Google Cloud :

Vai al ruolo di amministratore

Non puoi utilizzare la console Google Cloud per concedere i ruoli Reader, Writer o Admin. Utilizza invece l'API o gcloud CLI. Puoi anche creare diritti per questi ruoli utilizzando Privileged Access Manager.

Per istruzioni, consulta Concessione, modifica e revoca dell'accesso.

Ruoli di base legacy

I ruoli di base legacy esistevano prima dell'introduzione di IAM. Inizialmente erano noti come ruoli primitivi. A differenza di altri ruoli di base, non puoi aggiungere condizioni alle associazioni dei ruoli di base legacy.

I ruoli di base legacy sono Proprietario (roles/owner), Editor (roles/editor) e Visualizzatore (roles/viewer).

I ruoli di base legacy sono ancora gestiti attivamente e disponibili per l'uso. Vengono utilizzati anche in alcuni flussi di lavoro automatizzati. Ad esempio, quando un utente crea un progetto, gli viene concesso automaticamente il ruolo Proprietario per quel progetto. Tuttavia, se devi concedere un ruolo di base, ti consigliamo di concedere il ruolo Amministratore, Writer o Reader anziché un ruolo di base legacy. Questo perché i ruoli più recenti supportano funzionalità aggiuntive, come l'utilizzo delle condizioni IAM.

Quando concedi un ruolo di base legacy a un'entità, quest'ultima riceve tutte le autorizzazioni del ruolo. L'entità riceve anche tutte le autorizzazioni che i servizi forniscono alle entità con ruoli di base legacy, ad esempio le autorizzazioni ottenute tramite i valori di convenienza di Cloud Storage e l'appartenenza a gruppi speciali di BigQuery.

La tabella seguente riassume le autorizzazioni che i ruoli di base legacy concedono alle entità in tutti i servizi Google Cloud :

Ruolo di base legacy Autorizzazioni
Visualizzatore (roles/viewer)

Autorizzazioni relative ad azioni di sola lettura senza effetto sullo stato, ad esempio la visualizzazione (ma non la modifica) di risorse o dati esistenti.

Per un elenco delle autorizzazioni nel ruolo Visualizzatore, consulta i dettagli del ruolo nella console Google Cloud :

Vai al ruolo Visualizzatore

Editor (roles/editor)

Tutte le autorizzazioni di visualizzazione, con l'aggiunta delle autorizzazioni relative ad azioni che modificano lo stato, ad esempio la modifica di risorse esistenti.

Le autorizzazioni nel ruolo Editor ti consentono di creare ed eliminare risorse per la maggior parte dei servizi Google Cloud . Tuttavia, il ruolo Editor non contiene le autorizzazioni per eseguire tutte le azioni per tutti i servizi. Per ulteriori informazioni su come verificare se un ruolo dispone delle autorizzazioni necessarie, consulta Tipi di ruoli in questa pagina.

Per un elenco delle autorizzazioni nel ruolo Editor, consulta i dettagli del ruolo nella console Google Cloud :

Vai al ruolo Editor

Proprietario (roles/owner)

Tutte le autorizzazioni di modifica, più le autorizzazioni per azioni come le seguenti:

  • Completamento di attività sensibili, come la gestione delle associazioni di tag per le risorse Compute Engine
  • Gestione dei ruoli e delle autorizzazioni di un progetto e di tutte le risorse che fanno parte del progetto
  • Configurazione della fatturazione per un progetto

Il ruolo Proprietario non contiene tutte le autorizzazioni per tutte le risorse Google Cloud . Ad esempio, non contiene le autorizzazioni per modificare i dati di pagamento della fatturazione Cloud o per creare policy di negazione IAM.

Per un elenco delle autorizzazioni nel ruolo Proprietario, consulta i dettagli del ruolo nella console Google Cloud :

Vai al Proprietario Owner

In genere, puoi concedere ruoli di base legacy utilizzando la console Google Cloud , l'API o gcloud CLI. Tuttavia, devi utilizzare la consoleGoogle Cloud per concedere il ruolo Proprietario nelle seguenti situazioni:

  • L'utente a cui stai concedendo il ruolo Proprietario non fa parte della tua organizzazione.
  • Il progetto per cui stai concedendo il ruolo Proprietario non fa parte di nessuna organizzazione.

Inoltre, puoi concedere il ruolo Proprietario solo ai seguenti tipi di entità:

  • Account Google
  • Service account nella tua organizzazione
  • Gruppi Google nella tua organizzazione

Per scoprire come concedere i ruoli, consulta Concessione, modifica e revoca dell'accesso.

Ruoli predefiniti

Oltre ai ruoli di base, IAM fornisce ruoli predefiniti aggiuntivi che offrono un accesso granulare a risorse Google Cloudspecifiche. Questi ruoli sono creati e gestiti da Google. Google aggiorna automaticamente le autorizzazioni in base alle necessità, ad esempio quandoGoogle Cloud aggiunge nuove funzionalità o servizi.

Puoi concedere più ruoli allo stesso utente, a qualsiasi livello della gerarchia delle risorse. Ad esempio, lo stesso utente può avere i ruoli Amministratore di rete Compute e Visualizzatore log in un progetto, nonché il ruolo Publisher Pub/Sub in un argomento Pub/Sub all'interno di quel progetto. Per elencare le autorizzazioni contenute in un ruolo, consulta Recupero dei metadati del ruolo.

Per assistenza nella scelta dei ruoli predefiniti più appropriati, consulta Trova i ruoli predefiniti giusti.

Per un elenco dei ruoli predefiniti, consulta il riferimento ai ruoli.

Ruoli personalizzati

IAM consente anche di creare ruoli IAM personalizzati. I ruoli personalizzati ti aiutano ad applicare il principio del privilegio minimo, perché contribuiscono a garantire che le entità della tua organizzazione dispongano solo delle autorizzazioni necessarie.

I ruoli personalizzati sono definiti dall'utente e ti consentono di raggruppare una o più autorizzazioni supportate per soddisfare le tue esigenze specifiche. Quando crei un ruolo personalizzato, devi scegliere un'organizzazione o un progetto in cui crearlo. Puoi quindi concedere il ruolo personalizzato all'organizzazione o al progetto, nonché a tutte le risorse all'interno dell'organizzazione o del progetto. Puoi crearne solo 300 per organizzazione e 300 per progetto.

Puoi concedere un ruolo personalizzato solo all'interno del progetto o dell'organizzazione in cui lo hai creato. Non puoi concedere ruoli personalizzati ad altri progetti o organizzazioni o a risorse all'interno di altri progetti o organizzazioni.

Puoi creare un ruolo personalizzato combinando una o più autorizzazioni IAM supportate. Per scoprire come creare un ruolo personalizzato, consulta Crea e gestisci ruoli personalizzati.

Autorizzazioni supportate

Puoi includere molte, ma non tutte, le autorizzazioni IAM nei ruoli personalizzati. Ogni autorizzazione ha uno dei seguenti livelli di assistenza per l'utilizzo nei ruoli personalizzati:

Livello di assistenza Descrizione
SUPPORTED L'autorizzazione è completamente supportata nei ruoli personalizzati.
TESTING Google sta testando l'autorizzazione per verificarne la compatibilità con i ruoli personalizzati. Puoi includere l'autorizzazione nei ruoli personalizzati, ma potresti riscontrare un comportamento imprevisto. Si sconsiglia l'uso in produzione.
NOT_SUPPORTED L'autorizzazione non è supportata nei ruoli personalizzati.

Per un elenco completo delle autorizzazioni supportate nei ruoli personalizzati, consulta Livelli di assistenza per le autorizzazioni nei ruoli personalizzati.

Un ruolo personalizzato a livello di organizzazione può includere qualsiasi autorizzazione IAM supportata nei ruoli personalizzati. Un ruolo personalizzato a livello di progetto può contenere qualsiasi autorizzazione supportata, ad eccezione delle autorizzazioni che possono essere utilizzate solo a livello di organizzazione o cartella.

Il motivo per cui non puoi includere autorizzazioni specifiche per cartelle e organizzazioni nei ruoli a livello di progetto è che non hanno alcun effetto se concesse a livello di progetto. Questo perché le risorse in Google Cloud sono organizzate in modo gerarchico. Le autorizzazioni vengono ereditate tramite la gerarchia delle risorse, il che significa che sono valide per la risorsa e per tutti i relativi discendenti. Tuttavia, le organizzazioni e le cartelle sono sempre al di sopra dei progetti nella gerarchia delle risorseGoogle Cloud . Di conseguenza, non potrai mai utilizzare un'autorizzazione che ti è stata concessa a livello di progetto per accedere a cartelle o organizzazioni. Di conseguenza, le autorizzazioni specifiche per cartelle e organizzazioni, ad esempio resourcemanager.folders.list, non sono efficaci per i ruoli personalizzati a livello di progetto.

Dipendenze delle autorizzazioni

Alcune autorizzazioni sono valide solo se concesse insieme. Ad esempio, per aggiornare una policy di autorizzazione, devi leggerla prima di poterla modificare e scrivere. Di conseguenza, per aggiornare una policy di autorizzazione, quasi sempre hai bisogno dell'autorizzazione getIamPolicy per quel tipo di servizio e risorsa, oltre all'autorizzazione setIamPolicy.

Per assicurarti che i ruoli personalizzati siano efficaci, puoi crearli in base a ruoli predefiniti con autorizzazioni simili. I ruoli predefiniti sono progettati per attività specifiche e contengono tutte le autorizzazioni necessarie per eseguirle. L'esame di questi ruoli può aiutarti a capire quali autorizzazioni vengono solitamente concesse insieme. Poi, puoi utilizzare queste informazioni per progettare ruoli personalizzati efficaci.

Per scoprire come creare un ruolo personalizzato basato su un ruolo predefinito, consulta Creazione e gestione di ruoli personalizzati.

Ciclo di vita dei ruoli personalizzati

Le sezioni seguenti descrivono le considerazioni principali in ogni fase del ciclo di vita di un ruolo personalizzato. Puoi utilizzare queste informazioni per creare e gestire i tuoi ruoli personalizzati.

Creazione

Quando crei un ruolo personalizzato, scegli un ID, un titolo e una descrizione che ti aiutino a identificare il ruolo:

  • ID ruolo: l'ID ruolo è un identificatore univoco del ruolo. Può avere una lunghezza massima di 64 byte e può contenere caratteri alfanumerici maiuscoli e minuscoli, trattini bassi e punti. Non puoi riutilizzare un ID ruolo all'interno di un'organizzazione o di un progetto.

    Non puoi modificare gli ID ruolo, quindi sceglili con attenzione. Puoi eliminare un ruolo personalizzato, ma non puoi crearne uno nuovo con lo stesso ID nella stessa organizzazione o nello stesso progetto fino al completamento del processo di eliminazione di 44 giorni. Per saperne di più sul processo di eliminazione, consulta Eliminazione di un ruolo personalizzato.

  • Titolo del ruolo: il titolo del ruolo viene visualizzato nell'elenco dei ruoli nella consoleGoogle Cloud . Il titolo non deve essere univoco, ma ti consigliamo di utilizzare titoli univoci e descrittivi per distinguere meglio i ruoli. Inoltre, valuta la possibilità di indicare nel titolo del ruolo se è stato creato a livello di organizzazione o di progetto.

    I titoli dei ruoli possono avere una lunghezza massima di 100 byte e possono contenere caratteri alfanumerici maiuscoli e minuscoli e simboli. Puoi modificare i titoli dei ruoli in qualsiasi momento.

  • Descrizione ruolo: la descrizione del ruolo è un campo facoltativo in cui puoi fornire informazioni aggiuntive su un ruolo. Ad esempio, puoi includere lo scopo previsto del ruolo, la data di creazione o modifica di un ruolo e gli eventuali ruoli predefiniti su cui si basa il ruolo personalizzato. Le descrizioni possono contenere fino a 300 byte e possono includere caratteri alfanumerici maiuscoli e minuscoli e simboli.

Inoltre, tieni presente le dipendenze delle autorizzazioni quando crei ruoli personalizzati.

Per scoprire come creare un ruolo personalizzato basato su un ruolo predefinito, consulta Crea e gestisci ruoli personalizzati.

Avvia

I ruoli personalizzati includono una fase di lancio come parte dei metadati del ruolo. Le fasi di lancio più comuni per i ruoli personalizzati sono ALPHA, BETA e GA. Queste fasi di lancio sono informative e ti aiutano a monitorare se ogni ruolo è pronto per l'uso diffuso. Un'altra fase di lancio comune è DISABLED. Questa fase di lancio ti consente di disattivare un ruolo personalizzato.

Ti consigliamo di utilizzare le fasi di lancio per comunicare le seguenti informazioni sul ruolo:

  • EAP o ALPHA: il ruolo è ancora in fase di sviluppo o test oppure include autorizzazioni per servizi o funzionalità Google Cloud non ancora pubblici. Non è pronta per l'uso generalizzato.
  • BETA: il ruolo è stato testato in modo limitato o include autorizzazioni per servizi o funzionalità Google Cloud che non sono generalmente disponibili.
  • GA: il ruolo è stato ampiamente testato e tutte le relative autorizzazioni riguardano servizi o funzionalitàGoogle Cloud disponibili a livello generale.
  • DEPRECATED: il ruolo non è più in uso.

Per scoprire come modificare la fase di lancio di un ruolo, consulta Modifica di un ruolo personalizzato esistente.

Manutenzione

Sei responsabile della gestione dei ruoli personalizzati. Ciò include l'aggiornamento dei ruoli man mano che cambiano le responsabilità degli utenti, nonché l'aggiornamento dei ruoli per consentire agli utenti di accedere a nuove funzionalità che richiedono autorizzazioni aggiuntive.

Se basi il tuo ruolo personalizzato su ruoli predefiniti, ti consigliamo di controllare regolarmente questi ruoli predefiniti per verificare se sono state apportate modifiche alle autorizzazioni. Il monitoraggio di queste modifiche può aiutarti a decidere quando e come aggiornare il tuo ruolo personalizzato. Ad esempio, potresti notare che un ruolo predefinito è stato aggiornato con le autorizzazioni per utilizzare una nuova funzionalità in anteprima e decidere di aggiungere queste autorizzazioni anche al tuo ruolo personalizzato.

Per semplificare l'identificazione dei ruoli predefiniti da monitorare, ti consigliamo di elencare tutti i ruoli predefiniti su cui si basa il tuo ruolo personalizzato nel campo della descrizione del ruolo personalizzato. La console Google Cloud esegue questa operazione automaticamente quando utilizzi la console Google Cloud per creare un ruolo personalizzato basato su ruoli predefiniti.

Per scoprire come aggiornare le autorizzazioni e la descrizione di un ruolo personalizzato, consulta Modifica di un ruolo personalizzato esistente.

Consulta il log delle modifiche alle autorizzazioni per determinare quali ruoli e autorizzazioni sono stati modificati di recente.

In fase di disabilitazione

Se non vuoi più che le entità della tua organizzazione utilizzino un ruolo personalizzato, puoi disattivarlo. Per disattivare il ruolo, cambia la fase di lancio in DISABLED.

I ruoli disattivati vengono comunque visualizzati nelle policy IAM e possono essere concessi alle entità, ma non hanno alcun effetto.

Per scoprire come disabilitare un ruolo personalizzato, consulta Disabilitazione di un ruolo personalizzato.

Passaggi successivi

  • Utilizza lo strumento Policy Troubleshooter per capire perché un utente ha o non ha accesso a una risorsa o l'autorizzazione per chiamare un'API.