使用 IAM 控管存取權

總覽

Cyber Insurance Hub 使用身分與存取權管理 (IAM) 來管理模型資源的存取權限。如要授予模型資源的存取權，請將一或多個 IAM 角色指派給使用者、群組或服務帳戶。Cyber Insurance Hub 權限會併入 IAM 角色。

如要進一步瞭解 IAM 角色，請參閱「IAM 角色和權限索引」。

Cyber Insurance Hub 角色

Cyber Insurance Hub 提供預先定義的角色，可授予特定 Cyber Insurance Hub 資源多項權限。

下表列出 Cyber Insurance Hub 的預先定義角色、說明，以及這些角色包含的權限。在機構層級授予這些角色。

角色 名稱 說明 權限
riskmanager.admin Risk Manager 管理員 所有 Cyber Insurance Hub 權限 riskmanager.serviceaccount.create
riskmanager.reports.get
riskmanager.reports.list
riskmanager.reports.create
riskmanager.reports.delete
riskmanager.reports.review
riskmanager.reports.share
riskmanager.operations.get
riskmanager.operations.list
riskmanager.operations.delete
riskmanager.policies.get
riskmanager.policies.list
riskmanager.settings.get
riskmanager.settings.update
riskmanager.controlScoreBreakdowns.get
riskmanager.controlScoreBreakdowns.list
riskmanager.editor Risk Manager 編輯者 可編輯 Cyber Insurance Hub 資源 (具備所有權限，但無法分享或查看報告) riskmanager.serviceaccount.create
riskmanager.reports.get
riskmanager.reports.list
riskmanager.reports.create
riskmanager.reports.delete
riskmanager.operations.get
riskmanager.operations.list
riskmanager.operations.delete
riskmanager.policies.get
riskmanager.policies.list
riskmanager.settings.get
riskmanager.settings.update
riskmanager.controlScoreBreakdowns.get
riskmanager.controlScoreBreakdowns.list
riskmanager.viewer Risk Manager 檢視者 具備查看 Cyber Insurance Hub 資源的權限 riskmanager.reports.get
riskmanager.reports.list
riskmanager.operations.get
riskmanager.operations.list
riskmanager.policies.get
riskmanager.policies.list
riskmanager.settings.get
riskmanager.controlScoreBreakdowns.get
riskmanager.controlScoreBreakdowns.list
riskmanager.reviewer Risk Manager 報告審查者 具備審查/核准 Cyber Insurance Hub 報告的權限 riskmanager.reports.get
riskmanager.reports.list
riskmanager.reports.review
riskmanager.operations.get
riskmanager.operations.list

Risk Manager 服務代理角色

註冊 Cyber Insurance Hub 時，系統會以 organizations-ORGANIZATION_ID@gcp-sa-riskmanager.iam.gserviceaccount.com 格式為您建立服務代理程式。這個服務代理需要機構層級的 riskmanager.serviceAgent 角色。這個角色可讓 Cyber Insurance Hub 服務代理從其他服務擷取必要資料，以產生 Cyber Insurance Hub 報告。 Google Cloud

這個「風險管理員服務代理人」(roles/riskmanager.serviceAgent) 角色包含下列權限：

角色 名稱 說明 權限
roles/riskmanager.serviceAgent Risk Manager 服務代理 您需要有權從其他 Google Cloud 服務擷取資料，才能產生 Cyber Insurance Hub 報告。
  • resourcemanager.organizations.get

此外，還包含下列角色的所有權限：

  • cloudasset.viewer
  • securitycenter.assetsViewer
  • securitycenter.findingsViewer
  • securitycenter.settingsViewer

如要取得授予 Risk Manager 服務代理角色所需的權限，請要求管理員授予您組織的組織管理員 (roles/resourcemanager.organizationAdmin) IAM 角色。如要進一步瞭解如何授予角色，請參閱「管理專案、資料夾和組織的存取權」。

這個預先定義的角色具備授予 Risk Manager 服務代理角色所需的權限。如要查看確切的必要權限，請展開「Required permissions」(必要權限) 部分：

所需權限

如要授予 Risk Manager 服務代理角色，必須具備下列權限：

  • resourcemanager.organizations.getIamPolicy
  • resourcemanager.organizations.setIamPolicy

您或許還可透過自訂角色或其他預先定義的角色取得這些權限。

您可以在首次設定 Cyber Insurance Hub 時，將 Risk Manager 服務代理程式角色授予服務代理程式。您也可以執行下列 CLI 指令，將 Risk Manager 服務代理角色授予服務代理：

gcloud organizations add-iam-policy-binding ORGANIZATION_ID \
  --member="serviceAccount:organizations-ORGANIZATION_ID@gcp-sa-riskmanager.iam.gserviceaccount.com" \
  --role="roles/riskmanager.serviceAgent"

將 ORGANIZATION_ID 替換為組織的數字 ID。

Cyber Insurance Hub 自訂角色

除了預先定義的角色，Cyber Insurance Hub 也支援建立自訂 IAM 角色。您可以建立自訂 IAM 角色，並為該角色指派一或多個權限。接著，您可以授予協作者新角色。您可以使用自訂角色，直接根據自己的需求建立存取權控制模型；此外，Google 也提供預先定義的角色。

本文件不會說明如何建立自訂角色。如要深入瞭解自訂角色，以及建立自訂角色的逐步操作說明，請參閱 IAM 說明文件中的「建立及管理自訂角色」。