Rollen und Berechtigungen

Google Cloud bietet Identity and Access Management (IAM), mit dem sich der Zugriff auf einzelne Ressourcen von Google Cloud präzise steuern und unerwünschter Zugriff auf andere Ressourcen verhindern lässt. Auf dieser Seite werden die Rollen und Berechtigungen für Service Extensions beschrieben.

Durch IAM können Sie das Prinzip der geringsten Berechtigung anwenden und somit nur den notwendigen Zugriff auf Ihre Ressourcen gewähren.

Rollen sind Sammlungen von IAM-Berechtigungen. Wenn Sie Hauptkonten Berechtigungen erteilen möchten, einschließlich Nutzern, Gruppen und Dienstkonten, weisen Sie den Hauptkonten Rollen zu. In IAM können Sie steuern, wer welche Berechtigungen für welche Ressourcen hat. Dazu legen Sie die IAM-Richtlinien fest. IAM-Richtlinien gewähren Hauptkonten bestimmte Rollen und dadurch bestimmte Berechtigungen.

Ausführliche Informationen zu IAM-Rollen finden Sie unter Rollen und Berechtigungen.

Vordefinierte Rollen und Berechtigungen für Service Extensions

Service Extensions unterstützt IAM-Berechtigungen auf Projektebene.

In der folgenden Tabelle sind die IAM-Rollen für Service Extensions und die Berechtigungen der einzelnen Rollen aufgeführt.

Rollen Berechtigungen

Service Extensions Administrator

(roles/networkservices.serviceExtensionsAdmin)

Berechtigungen zum Erstellen, Aktualisieren, Auflisten, Aufrufen und Löschen von Erweiterungen.

 networkservices.authzExtensions.create
networkservices.authzExtensions.delete
networkservices.authzExtensions.get
networkservices.authzExtensions.list
networkservices.authzExtensions.update
networkservices.authzExtensions.use
networkservices.lbEdgeExtensions.create
networkservices.lbEdgeExtensions.delete
networkservices.lbEdgeExtensions.get
networkservices.lbEdgeExtensions.list
networkservices.lbEdgeExtensions.update
networkservices.lbRouteExtensions.create
networkservices.lbRouteExtensions.delete
networkservices.lbRouteExtensions.get
networkservices.lbRouteExtensions.list
networkservices.lbRouteExtensions.update
networkservices.lbTrafficExtensions.create
networkservices.lbTrafficExtensions.delete
networkservices.lbTrafficExtensions.get
networkservices.lbTrafficExtensions.list
networkservices.lbTrafficExtensions.update
networkservices.cdnEdgeExtensions.create
networkservices.cdnEdgeExtensions.delete
networkservices.cdnEdgeExtensions.get
networkservices.cdnEdgeExtensions.list
networkservices.cdnEdgeExtensions.update
networkservices.wasmPlugins.create
networkservices.wasmPlugins.delete
networkservices.wasmPlugins.get
networkservices.wasmPlugins.list
networkservices.wasmPlugins.update
networkservices.wasmPlugins.use
networkservices.wasmPluginVersions.create
networkservices.wasmPluginVersions.delete
networkservices.wasmPluginVersions.get
networkservices.wasmPluginVersions.list

Service Extensions Viewer

(roles/networkservices.serviceExtensionsViewer)

Berechtigungen zum Auflisten und Ansehen von Erweiterungen.

 networkservices.authzExtensions.get
networkservices.authzExtensions.list
networkservices.lbEdgeExtensions.get
networkservices.lbEdgeExtensions.list
networkservices.lbRouteExtensions.get
networkservices.lbRouteExtensions.list
networkservices.lbTrafficExtensions.get
networkservices.lbTrafficExtensions.list
networkservices.cdnEdgeExtensions.get
networkservices.cdnEdgeExtensions.list
networkservices.wasmPlugins.get
networkservices.wasmPlugins.list
networkservices.wasmPluginVersions.get
networkservices.wasmPluginVersions.list

In der folgenden Tabelle sind die IAM-Rollen aufgeführt, die Sie für andere Dienste benötigen, sowie die Berechtigungen, die jede Rolle enthält.

Rollen Berechtigungen

Administrator für Compute-Load-Balancer

(roles/compute.loadBalancerAdmin)

Berechtigungen zum Aktualisieren von Weiterleitungsregeln. Erforderlich beim Erstellen und Aktualisieren von Erweiterungen, die an Weiterleitungsregeln angehängt werden.

compute.forwardingRules.update
compute.globalForwardingRules.update

Nutzer von Compute-Load-Balancer-Diensten

(roles/compute.loadBalancerServiceUser)

Berechtigungen zur Verwendung von Backend-Diensten. Erforderlich beim Erstellen und Aktualisieren von Erweiterungen, die Backend-Dienste als Erweiterungsdienste verwenden.

compute.backendServices.use
compute.regionBackendBuckets.use
Role Permissions

(roles/serviceextensions.admin)

Grants full access to Service Extensions resources.

resourcemanager.projects.get

resourcemanager.projects.list

serviceextensions.*

  • serviceextensions.callouts.invoke
  • serviceextensions.locations.get
  • serviceextensions.locations.list

(roles/serviceextensions.editor)

Grants access to edit Service Extensions resources.

resourcemanager.projects.get

resourcemanager.projects.list

serviceextensions.*

  • serviceextensions.callouts.invoke
  • serviceextensions.locations.get
  • serviceextensions.locations.list

(roles/serviceextensions.viewer)

Grants read access to Service Extensions resources.

resourcemanager.projects.get

resourcemanager.projects.list

serviceextensions.locations.*

  • serviceextensions.locations.get
  • serviceextensions.locations.list

Service agent roles

Service agent roles should only be granted to service agents.

Role Permissions

(roles/networkactions.serviceAgent)

Gives Network Actions service account access to read required resources.

artifactregistry.files.download

artifactregistry.repositories.downloadArtifacts

Zugriffssteuerung verwalten

So legen Sie Zugriffssteuerungen auf Projektebene fest:

  1. Rufen Sie in der Google Cloud Console die Seite IAM auf.

    IAM aufrufen

  2. Wählen Sie Ihr Projekt aus.

  3. Klicken Sie auf Hinzufügen.

  4. Geben Sie unter Neue Hauptkonten die E-Mail-Adresse eines neuen Hauptkontos ein.

  5. Wählen Sie die erforderliche Rolle aus.

  6. Klicken Sie auf Speichern.

  7. Prüfen Sie, ob das Hauptkonto mit der Rolle aufgelistet wird, die Sie ihm zugewiesen haben.

Berechtigungen in einer Rolle identifizieren

Um zu ermitteln, ob eine oder mehrere Berechtigungen in einer Rolle enthalten sind, können Sie eine der folgenden Methoden verwenden:

Nächste Schritte