Zugriffssteuerung für Ordner mit IAM

Mit IAM-Rollen (Identity and Access Management) auf Ordnerebene können Sie den Zugriff auf Gruppen von Projekten und Ressourcen verwalten. Mit Rollen auf Ordnerebene können Sie das Prinzip der geringsten Berechtigung in Ihrer Ressourcenhierarchie erzwingen, wenn Sie Rollen in Zulassungsrichtlinien an Hauptkonten binden.

Verwenden Sie die Cloud Resource Manager API, um Zulassungsrichtlinien zu erstellen und zu verwalten, oder wenden Sie Ablehnungsrichtlinien an, um bestimmte Berechtigungen explizit zu blockieren. Wenn Sie eine neue Umgebung einrichten und den ersten Zugriff gewähren möchten, folgen Sie der Checkliste für die Einrichtung vonGoogle Cloud . Informationen zum Verwalten des laufenden Zugriffs finden Sie unter Zugriff auf Projekte, Ordner und Organisationen verwalten.

Übersicht über die IAM-Rollen für Ordner

Um Ihnen das Konfigurieren Ihrer IAM-Rollen zu erleichtern, finden Sie in der Tabelle unten Folgendes:

• Die Art der Aktionen, die Sie aktivieren möchten.
• Die Rollen, die zum Ausführen dieser Aktionen erforderlich sind.
• Die Ressourcenebene, auf der Sie diese Rollen anwenden müssen.

Hinweis: Zulassungsrichtlinien sind additiv und werden in der Hierarchie nach unten vererbt. Das bedeutet, dass das Verschieben einer Ressource in einen Ordner einem Nutzer zusätzliche Rollen für diese Ressource gewähren kann. Umgekehrt kann das Verschieben einer Ressource aus einem Ordner dazu führen, dass Rollen für diese Ressource verloren gehen.

Aktionstypen	Erforderliche Rollen	Ressourcenebene
Ordner in der Organisationsressource verwalten	Ordneradministrator	Organisationsressource
Einen Ordner und alle darin enthaltenen Projekte und Ordner verwalten	Ordneradministrator	Spezieller Ordner
Zulassungsrichtlinien eines Ordners aufrufen und verwalten	Ordner-IAM-Administrator	Spezieller Ordner
Neue Ordner erstellen	Ordnerersteller	Übergeordnete Ressource für den Speicherort der neuen Ordner
Ordner und Projekte verschieben	Ordnerverschieber	Übergeordnete Ressource für den Speicherort des ursprünglichen und neuen Ordners
Projekt in einen neuen Ordner verschieben	Projektbearbeiter oder Projektinhaber	Übergeordnete Ressource für den Speicherort des ursprünglichen und neuen Projekts
Ordner löschen	Folder Editor oder Ordneradministrator	Spezieller Ordner

Best Practices für die Verwendung von IAM-Rollen und Berechtigungen mit Ordnern

Beachten Sie beim Zuweisen von IAM-Rollen und Berechtigungen für Ordner Folgendes:

• Verwenden Sie wenn möglich Gruppen, um Hauptkonten zu verwalten.
• Verwenden Sie möglichst wenig einfache Rollen wie Inhaber, Bearbeiter und Betrachter. Verwenden Sie stattdessen gemäß dem Prinzip der geringsten Berechtigung vordefinierte Rollen.
• Weisen Sie für die Verwaltung des gesamten Ordners Berechtigungen auf Ordnerebene zu, die von den Projekten automatisch übernommen werden. Sie können beispielsweise einer Gruppe von Abteilungsadministratoren die Rolle Folder Admin für den Ordner zuweisen. Sie können den Netzwerkadministratoren, die abteilungsübergreifende Berechtigungen benötigen, die Rolle Netzwerkadministrator für den Ordner zuweisen.
• Erwägen Sie vor dem Verschieben einer Ressource aus einem Ordner sorgfältig, welche Berechtigungen sich ändern könnten. Andernfalls werden möglicherweise Anwendungen oder Workflows unterbrochen, die diese Berechtigungen für die jeweilige Ressource benötigen.
• Planen und testen Sie die Ressourcenhierarchie eingehend, bevor Sie Produktionsprojekte in Ordner verschieben. Eine Möglichkeit besteht darin, einen Testordner unter Ihrer Organisationsressource zu erstellen und vorab einen Prototyp der gewünschten Hierarchie zu erstellen.
• Wenn Sie einem Nutzer auf Ordnerebene eine Rolle zuweisen, erhält der Nutzer diese Rolle auch für jede Ressource unter diesem Ordner. Wenn Sie beispielsweise einem Nutzer die Compute Admin-Rolle (roles/compute.admin) für einen Ordner erteilen, hat dieser Nutzer die vollständige Kontrolle über alle Compute Engine-Ressourcen in jedem Projekt in diesem Ordner.

Ordnerrollen und -berechtigungen

Ordner dienen als administrative Grenzen innerhalb Ihrer Organisation. Sie können damit Projekte gruppieren und Richtlinien im großen Maßstab anwenden. Der Zugriff auf diese Ordner wird über eine Kombination aus übernommenen Berechtigungen der Organisation und Rollen verwaltet, die direkt auf Ordnerebene gewährt werden.

Standardrollen

Wenn Sie einen Ordner erstellen, erhalten Sie die Rollen Folder Admin und Folder Editor, die Ihnen die volle Kontrolle über den Ordner geben. In der folgenden Tabelle finden Sie die Berechtigungen, die diese Rollen bieten. Sie können diese Standardrollen in einer Zulassungsrichtlinie ändern.

Vordefinierte Rollen verwenden

Rolle	Berechtigungen
Ordneradministrator (roles/resourcemanager.folderAdmin) Alle verfügbaren Berechtigungen zum Arbeiten mit Ordnern Ressourcen auf der niedrigsten Ebene, für die Sie diese Rolle zuweisen können: Ordner	essentialcontacts.* essentialcontacts.contacts.create essentialcontacts.contacts.delete essentialcontacts.contacts.get essentialcontacts.contacts.list essentialcontacts.contacts.send essentialcontacts.contacts.update iam.policybindings.* iam.policybindings.get iam.policybindings.list orgpolicy.constraints.list orgpolicy.policies.list orgpolicy.policy.get resourcemanager.capabilities.* resourcemanager.capabilities.get resourcemanager.capabilities.update resourcemanager.folders.* resourcemanager.folders.create resourcemanager.folders.createPolicyBinding resourcemanager.folders.delete resourcemanager.folders.deletePolicyBinding resourcemanager.folders.get resourcemanager.folders.getIamPolicy resourcemanager.folders.list resourcemanager.folders.move resourcemanager.folders.searchPolicyBindings resourcemanager.folders.setIamPolicy resourcemanager.folders.undelete resourcemanager.folders.update resourcemanager.folders.updatePolicyBinding resourcemanager.hierarchyNodes.* resourcemanager.hierarchyNodes.createTagBinding resourcemanager.hierarchyNodes.deleteTagBinding resourcemanager.hierarchyNodes.listEffectiveTags resourcemanager.hierarchyNodes.listTagBindings resourcemanager.projects.createPolicyBinding resourcemanager.projects.deletePolicyBinding resourcemanager.projects.get resourcemanager.projects.getIamPolicy resourcemanager.projects.list resourcemanager.projects.move resourcemanager.projects.searchPolicyBindings resourcemanager.projects.setIamPolicy resourcemanager.projects.updatePolicyBinding
Ordner-IAM-Administrator (roles/resourcemanager.folderIamAdmin) Berechtigungen zur Verwaltung von „allow”-Richtlinien für Ordner Ressourcen auf der niedrigsten Ebene, für die Sie diese Rolle zuweisen können: Ordner	iam.policybindings.* iam.policybindings.get iam.policybindings.list resourcemanager.folders.createPolicyBinding resourcemanager.folders.deletePolicyBinding resourcemanager.folders.get resourcemanager.folders.getIamPolicy resourcemanager.folders.searchPolicyBindings resourcemanager.folders.setIamPolicy resourcemanager.folders.updatePolicyBinding
Ordnerersteller (roles/resourcemanager.folderCreator) Berechtigung zum Durchsuchen der Hierarchie und zum Erstellen von Ordnern Ressourcen auf der niedrigsten Ebene, für die Sie diese Rolle zuweisen können: Ordner	essentialcontacts.contacts.get essentialcontacts.contacts.list orgpolicy.constraints.list orgpolicy.policies.list orgpolicy.policy.get resourcemanager.capabilities.get resourcemanager.folders.create resourcemanager.folders.get resourcemanager.folders.list resourcemanager.projects.get resourcemanager.projects.list
Ordnerbearbeiter (roles/resourcemanager.folderEditor) Berechtigung zum Ändern von Ordnern und zum Anzeigen der „allow”-Richtlinie eines Ordners Ressourcen auf der niedrigsten Ebene, für die Sie diese Rolle zuweisen können: Ordner	essentialcontacts.contacts.get essentialcontacts.contacts.list orgpolicy.constraints.list orgpolicy.policies.list orgpolicy.policy.get resourcemanager.capabilities.* resourcemanager.capabilities.get resourcemanager.capabilities.update resourcemanager.folders.delete resourcemanager.folders.get resourcemanager.folders.getIamPolicy resourcemanager.folders.list resourcemanager.folders.searchPolicyBindings resourcemanager.folders.undelete resourcemanager.folders.update resourcemanager.projects.get resourcemanager.projects.list
Ordnerverschieber (roles/resourcemanager.folderMover) Berechtigung zum Verschieben von Projekten und Ordnern in eine übergeordnete Organisation oder einen übergeordneten Ordner und aus dieser bzw. diesem Ressourcen auf der niedrigsten Ebene, für die Sie diese Rolle zuweisen können: Ordner	resourcemanager.folders.move resourcemanager.projects.move
Ordnerbetrachter (roles/resourcemanager.folderViewer) Berechtigung zum Abrufen eines Ordners und zur Auflistung der Ordner und Ressourcen unter einer Ressource Ressourcen auf der niedrigsten Ebene, für die Sie diese Rolle zuweisen können: Ordner	essentialcontacts.contacts.get essentialcontacts.contacts.list orgpolicy.constraints.list orgpolicy.policies.list orgpolicy.policy.get resourcemanager.capabilities.get resourcemanager.folders.get resourcemanager.folders.list resourcemanager.projects.get resourcemanager.projects.list

Benutzerdefinierte Rollen erstellen

Zusätzlich zu den in diesem Thema beschriebenen vordefinierten Rollen können Sie auch benutzerdefinierte Rollen erstellen. Diese sind Sammlungen von Berechtigungen, die Sie an Ihre Anforderungen anpassen. Beachten Sie beim Erstellen einer benutzerdefinierten Rolle für die Verwendung mit Resource Manager die folgenden Punkte:

• Berechtigungen zum Auflisten und Abrufen, z. B. resourcemanager.projects.get/list, sollten immer als Paar von Berechtigungen zugewiesen werden.
• Wenn Ihre benutzerdefinierte Rolle die Berechtigungen folders.list und folders.get enthält, sollte sie auch projects.list und projects.get enthalten.
• Beachten Sie, dass die Berechtigung setIamPolicy für Organisations-, Ordner- und Projektressourcen es dem Nutzer ermöglicht, alle anderen Berechtigungen zu gewähren. Sie sollte daher mit Bedacht zugewiesen werden.

Rollen zuweisen, um das Durchsuchen von Ordnern zu ermöglichen

Listenberechtigungen ermöglichen das Durchsuchen von Ordnern. Die beiden Arten von Listenberechtigungen, die normalerweise gewährt werden müssen, sind resourcemanager.folders.list, mit der Nutzer Ordner unter einer Ressource auflisten können, und resourcemanager.projects.list, mit der Nutzer Projekte unter einer Organisationsressource oder einem Ordner durchsuchen können. Der Organisationsadministrator wird mit beiden Berechtigungen initialisiert. Für Nutzer, denen die Rolle Organization Administrator nicht zugewiesen wurde:

• resourcemanager.folders.list kann mit den Rollen Ordnerbetrachter und Ordnerbearbeiter gewährt werden.
• resourcemanager.projects.list kann mit der Rolle Betrachter oder Browser gewährt werden.

Damit Hauptkonten von Organisationsressourcen die gesamte Hierarchie der Organisationsressourcen durchsuchen können, sollten Berechtigungen zum Auflisten auf Ebene der Organisationsressource gewährt werden.

Rollen zum Erstellen von Ordnern gewähren

Nutzern, die Ordner erstellen sollen, muss die Rolle Ordnerersteller für eine Ressource in der Hierarchie oberhalb der Ebene gewährt werden, auf der der Ordner erstellt werden soll. Es ist hilfreich, zusätzlich zur Berechtigung, Ordner zu erstellen, auch die zum Durchsuchen zu gewähren, damit die Nutzer zu der Stelle in der Hierarchie navigieren können, an der der Ordner angelegt wird. Weitere Informationen zu Berechtigungen zum Durchsuchen finden Sie im vorherigen Abschnitt.

Die Rolle Ordnerersteller gewährt einem Nutzer keine Berechtigung zum Löschen eines Ordners. Wenn ein Nutzer einen Ordner erstellt, wird ihm jedoch automatisch die Rolle Ordnerbearbeiter zugewiesen. Mit der Rolle Ordnerbearbeiter können Ordner gelöscht werden.

Rollen zum Verschieben von Ordnern zuweisen

Damit Nutzer einen Ordner von einer übergeordneten Ressource in eine andere verschieben können, benötigen sie für die alte und neue übergeordnete Ressource oder einen gemeinsamen Ancestor die Rolle Ordnerverschieber.

Rollen zum Verschieben von Projekten gewähren

Um ein Projekt in einen Ordner zu verschieben, müssen Nutzer die Rolle Project Editor oder Project Owner für das Projekt und die Rolle Project Mover für die übergeordneten Quell- und Zielressourcen haben.

Dies unterscheidet sich geringfügig von den Anforderungen für das Verschieben eines Projekts, das nicht der Organisation gehört, in die Organisationsressource. Hier müssen Nutzer die Rolle Project Editor oder Project Owner für das Projekt und die Rolle Project Creator für die Organisationsressource haben.

Ordnerspezifische Rollen zuweisen, um die Projekterstellung zu ermöglichen

Um Projekte erstellen zu können, müssen Nutzer über die Rolle Projektersteller verfügen. Es kann hilfreich sein, Nutzern nur das Anzeigen und Erstellen von Projekten in einem Ordner zu ermöglichen und ihnen nicht die Berechtigung zur Erstellung von Projekten in der gesamten Organisation zu gewähren.

So gewähren Sie ordnerspezifische Berechtigungen:

1. Weisen Sie dem Nutzer die Rolle Organization Viewer auf der Ebene der Organisationsressource (z. B. domain.com) zu. Wählen Sie in der Google Cloud Console oben auf der Seite in der Projekt- und Organisationsauswahl Ihre Organisationsressource aus oder klicken Sie auf der Seite IAM in der Spalte Übernahme auf Ihre Domain.
2. Erstellen Sie einen neuen Ordner.
3. Fügen Sie den Nutzer auf Ordnerebene zu IAM hinzu und weisen Sie ihm die Rollen Folder Viewer und Project Creator zu.

So kann der Nutzer Projekte in seinem Ordner erstellen, ohne dass er alle Projekte in der übergeordneten Organisationsressource sehen kann.