Zugriffssteuerung für Projekte mit IAM

Mit Identity and Access Management (IAM) können Sie detaillierten Zugriff auf bestimmte Ressourcen von Google Cloud gewähren und unerwünschten Zugriff auf andere Ressourcen verhindern. Mit diesem Modell können Sie das Prinzip der geringsten Berechtigung anwenden und so nur den notwendigen Zugriff auf Ihre Ressourcen gewähren.

Durch das Festlegen von Zulassungsrichtlinien steuern Sie, wer (Nutzer) welchen Zugriff (Rollen) auf welche Ressourcen hat. Wenn Sie den Zugriff auf Projekte verwalten möchten, konfigurieren Sie IAM-Rollen und -Berechtigungen oder verwenden Ablehnungsrichtlinien, um zu verhindern, dass Hauptkonten bestimmte Berechtigungen verwenden. Weitere Informationen finden Sie unter Zugriff auf Projekte, Ordner und Organisationen verwalten.

Wenn Sie mit Google Cloudbeginnen, können Sie im Rahmen des Google Cloud -Einrichtungsprozesses Ihre Ressourcenhierarchie einrichten und den ersten Zugriff gewähren.

Berechtigungen und Rollen

Um den Zugriff auf Ressourcen zu steuern, müssen Konten, die API-Anfragen stellen, in Google Cloud die entsprechenden IAM-Rollen haben. IAM-Rollen enthalten Berechtigungen, mit denen Nutzer bestimmte Aktionen fürGoogle Cloud -Ressourcen ausführen können. Mit der Berechtigung resourcemanager.projects.delete kann ein Nutzer beispielsweise ein Projekt löschen.

Sie erteilen den Nutzern die Berechtigungen nicht direkt, sondern Sie weisen ihnen Rollen zu, die eine oder mehrere Berechtigungen enthalten. Sie weisen diese Rollen einer bestimmten Ressource zu. Sie gelten aber auch für alle Nachfolgerelemente dieser Ressource in der Ressourcenhierarchie.

Berechtigungen

Zum Verwalten von Projekten muss der Aufrufer eine Rolle mit den folgenden Berechtigungen haben. Die Rolle wird für die Organisationsressource oder den Ordner gewährt, die bzw. der die Projekte enthält:

Methode	Erforderliche Berechtigungen
resourcemanager.projects.create	resourcemanager.projects.create
resourcemanager.projects.delete	resourcemanager.projects.delete
resourcemanager.projects.get	resourcemanager.projects.get Wenn Sie diese Berechtigung erteilen, erhalten Sie auch Zugriff auf den Namen des mit dem Projekt verbundenen Abrechnungskontos über die Billing API-Methode billing.projects.getBillingInfo .
resourcemanager.projects.getIamPolicy	resourcemanager.projects.getIamPolicy
resourcemanager.projects.list	resourcemanager.projects.list
resourcemanager.projects.search	resourcemanager.projects.get
resourcemanager.projects.setIamPolicy	resourcemanager.projects.setIamPolicy
resourcemanager.projects.testIamPermissions	Erfordert keine Berechtigungen.
resourcemanager.projects.undelete	resourcemanager.projects.undelete
resourcemanager.projects.patch	Zum Aktualisieren der Metadaten eines Projekts wird die Berechtigung resourcemanager.projects.update benötigt. Wenn Sie das übergeordnete Element eines Projekts aktualisieren und das Projekt in eine Organisationsressource verschieben möchten, benötigen Sie die Berechtigung resourcemanager.projects.create für die Organisationsressource.
projects.move	projects.move

Vordefinierte Rollen verwenden

Mit vordefinierten IAM-Rollen können Sie die Berechtigungen verwalten, die Nutzern zur Verfügung stehen. Eine vollständige Liste der Rollen, die auf Projektebene zugewiesen werden können, finden Sie unter Informationen zu Rollen.

In der folgenden Tabelle sind die vordefinierten Rollen aufgeführt, mit denen Sie Zugriff auf ein Projekt gewähren können. Jede Rolle enthält eine Beschreibung ihres Zwecks und der darin enthaltenen Berechtigungen.

Rolle	Berechtigungen
Projektersteller (roles/resourcemanager.projectCreator) Berechtigung zum Erstellen neuer Projekte. Wenn der Nutzer ein Projekt erstellt, wird ihm automatisch die Inhaberrolle für dieses Projekt zugewiesen. Ressourcen auf der niedrigsten Ebene, für die Sie diese Rolle zuweisen können: Ordner	resourcemanager.organizations.get resourcemanager.projects.create
Projektlöscher (roles/resourcemanager.projectDeleter) Berechtigung zum Löschen von Google Cloud -Projekten Ressourcen auf der niedrigsten Ebene, für die Sie diese Rolle zuweisen können: Projekt	resourcemanager.projects.delete
Projektverschieber (roles/resourcemanager.projectMover) Berechtigung zum Aktualisieren und Verschieben von Projekten Ressourcen auf der niedrigsten Ebene, für die Sie diese Rolle zuweisen können: Projekt	resourcemanager.projects.get resourcemanager.projects.move resourcemanager.projects.update
Projekt-IAM-Administrator (roles/resourcemanager.projectIamAdmin) Berechtigung zum Verwalten von „allow”-Richtlinien für Projekte Ressourcen auf der niedrigsten Ebene, für die Sie diese Rolle zuweisen können: Projekt	iam.policybindings.* iam.policybindings.get iam.policybindings.list resourcemanager.projects.createPolicyBinding resourcemanager.projects.deletePolicyBinding resourcemanager.projects.get resourcemanager.projects.getIamPolicy resourcemanager.projects.searchPolicyBindings resourcemanager.projects.setIamPolicy resourcemanager.projects.updatePolicyBinding
Browser (roles/browser) Lesezugriff zum Suchen in der Hierarchie nach einem Projekt, einschließlich Ordner, Organisation und "allow"-Richtlinie. Diese Rolle berechtigt nicht zum Ansehen der Ressourcen im Projekt. Ressourcen auf der niedrigsten Ebene, für die Sie diese Rolle zuweisen können: Projekt	resourcemanager.folders.get resourcemanager.folders.list resourcemanager.organizations.get resourcemanager.projects.get resourcemanager.projects.getIamPolicy resourcemanager.projects.list

Einfache Rollen

Verwenden Sie einfache Rollen nur, wenn es notwendig ist. Diese Rollen sind hochprivilegiert und gewähren umfangreiche Berechtigungen für alle Google Cloud -Dienste. Weitere Informationen dazu, wann einfache Rollen verwendet werden sollten, finden Sie unter Einfache Rollen.

Rolle	Beschreibung	Berechtigungen
roles/owner	Vollzugriff auf alle Ressourcen	Alle Berechtigungen für alle Ressourcen
roles/editor	Schreibzugriff auf die meisten Ressourcen	Zugriff auf die meisten Ressourcen zum Erstellen und Aktualisieren
roles/viewer	Lesezugriff auf die meisten Ressourcen	Zugriff auf die meisten Ressourcen zum Abrufen und Auflisten

Benutzerdefinierte Rollen erstellen

Zusätzlich zu den in diesem Thema beschriebenen vordefinierten Rollen können Sie auch benutzerdefinierte Rollen erstellen. Diese sind Sammlungen von Berechtigungen, die Sie an Ihre Anforderungen anpassen. Beachten Sie beim Erstellen einer benutzerdefinierten Rolle für die Verwendung mit Resource Manager die folgenden Punkte:

• Berechtigungen zum Auflisten und Abrufen, z. B. resourcemanager.projects.get/list, sollten immer als Paar von Berechtigungen zugewiesen werden.
• Wenn Ihre benutzerdefinierte Rolle die Berechtigungen folders.list und folders.get enthält, sollte sie auch projects.list und projects.get enthalten.
• Beachten Sie, dass die Berechtigung setIamPolicy für Organisations-, Ordner- und Projektressourcen es dem Nutzer ermöglicht, alle anderen Berechtigungen zu gewähren. Sie sollte daher mit Bedacht zugewiesen werden.

Zugriffssteuerung auf Projektebene

Sie können Nutzern auf Projektebene Rollen über die Google Cloud console, die Cloud Resource Manager API und die Google Cloud CLI zuweisen. Eine Anleitung finden Sie unter Zugriff gewähren, ändern und entziehen.

Standardrollen

Wenn Sie ein Projekt erstellen, erhalten Sie die Rolle roles/owner, mit der Sie die volle Kontrolle über das Projekt haben. Sie können diese Standardrolle in einer Zulassungsrichtlinie ändern.

VPC Service Controls

VPC Service Controls kann zusätzliche Sicherheit bei der Verwendung der Cloud Resource Manager API bieten. Weitere Informationen zu VPC Service Controls finden Sie in der Übersicht zu VPC Service Controls.

Informationen zu den derzeit geltenden Einschränkungen bei der Verwendung von Resource Manager mit VPC Service Controls finden Sie auf der Seite Unterstützte Produkte und Einschränkungen.