IAM-Rollen in Consumer- und Zielprojekten für Auswertungen

Wenn Sie Arbeitslasten mit Workload Manager bewerten, prüfen Sie Infrastrukturressourcen, die sich möglicherweise über mehrere Google Cloud Projekte erstrecken. Wenn Sie wissen, wie IAM-Rollen zwischen Ihrem zentralen Bewertungsprojekt und den Projekten aufgeteilt sind, in denen Ihre Arbeitslasten gehostet werden, können Sie die Mindestberechtigungen gewähren, die für die sichere Ausführung von Bewertungen erforderlich sind.

In diesem Dokument werden Nutzer- und Zielprojekte erläutert und die Rollen und Berechtigungen aufgeführt, die Sie zum Erstellen und Ausführen von Workload Manager-Bewertungen benötigen.

Nutzer- und Zielprojekte

Bei Workload Manager-Bewertungen werden Ressourcen in mehreren Projekten gescannt, die als Zielprojekte bezeichnet werden. Die Bewertung wird jedoch nur in einem Projekt gespeichert, das als Nutzerprojekt bezeichnet wird.

Über das Nutzerprojekt können Sie in der Google Cloud Console auf Workload Manager zugreifen und Bewertungen erstellen und ausführen. Wenn Sie eine Bewertung mit der Google Cloud Console erstellen, geben Sie im Abschnitt Bewertungsbereich des Workflows die Zielprojekte an, die die zu bewertenden Ressourcen enthalten.

Wenn sich die zu bewertenden Ressourcen in demselben Projekt befinden, in dem Sie eine Workload Manager-Bewertung erstellen, wird das Nutzerprojekt auch als eines Ihrer Zielprojekte betrachtet.

Zusammenfassung der erforderlichen Berechtigungen zum Erstellen und Ausführen einer Bewertung

In der folgenden Tabelle sind die Berechtigungen zusammengefasst, die für Nutzer in den Nutzer- und Zielprojekten erforderlich sind, um mit Workload Manager Bewertungen zu erstellen und auszuführen. Wenn Sie die erforderliche Berechtigung erhalten möchten, bitten Sie Ihren Administrator, Ihnen eine Rolle zuzuweisen, die die erforderliche Berechtigung enthält, oder eine benutzerdefinierte Rolle zu erstellen.

Aktion Nutzerprojekt Zielprojekt
Workload Manager API aktivieren Berechtigung:
serviceusage.services.enable

Vordefinierte Rolle mit der Berechtigung:
roles/serviceusage.serviceUsageAdmin 		Keine
Bewertung erstellen Berechtigung zum Erstellen eines Dienstkontos:
resourcemanager.projects.setIamPolicy

Vordefinierte Rolle mit der Berechtigung:
roles/resourcemanager.projectIamAdmin

Nur beim Erstellen der ersten Bewertung erforderlich.

Vordefinierte Rolle, die die Berechtigung zum Erstellen einer Bewertung gewährt:
roles/workloadmanager.evaluationAdmin

Vordefinierte Rolle, die die Berechtigung zum Erstellen von Benachrichtigungen gewährt:
roles/monitoring.metricWriter

Wenn Sie eine Bewertung mit benutzerdefinierten Regeln erstellen möchten, benötigen Sie die folgenden zusätzlichen Berechtigungen:

Vordefinierte Rolle, die die Berechtigung zum Lesen von Cloud Asset Inventory-Daten gewährt:
roles/cloudasset.owner

Vordefinierte Rolle, die die Berechtigung zum Lesen von Regeln gewährt, die in einem Cloud Storage-Bucket gespeichert sind:
roles/storage.objectViewer

Vordefinierte Rolle, die die Berechtigung zum Schreiben von Bewertungsergebnissen in ein BigQuery-Dataset gewährt:
roles/bigquery.admin

 Berechtigung zum Erstellen eines Dienstkontos:
resourcemanager.projects.setIamPolicy

Vordefinierte Rolle mit der Berechtigung:
roles/resourcemanager.projectIamAdmin

Nur beim Erstellen der ersten Bewertung erforderlich.
Bewertung vornehmen Berechtigung:
workloadmanager.evaluations.run

Vordefinierte Rolle mit der Berechtigung:
roles/workloadmanager.evaluationAdmin

Keine
Bewertungsergebnisse ansehen Berechtigung:
workloadmanager.results.list

Vordefinierte Rolle mit der Berechtigung:
roles/workloadmanager.evaluationAdmin
oder
roles/workloadmanager.evaluationViewer 		Keine

Dienst-Agents für Bewertungen

Workload Manager verwendet Dienst-Agents (roles/workloadmanager.serviceAgent und roles/workloadmanager.worker), um Ressourcen in Zielprojekten zu scannen und Bewertungen aus Nutzerprojekten auszuführen.

Informationen dazu, wie Workload Manager Dienst-Agents automatisch erstellt oder wie Sie sie manuell mit der Workload Manager API erstellen, finden Sie unter Workload Manager-Dienst-Agents.

Weitere Rollen und Berechtigungen

Die vollständige Referenz aller Workload Manager-Rollen und ‑Berechtigungen für alle APIs finden Sie unter IAM-Rollen und ‑Berechtigungen für Workload Manager.

Eine Übersicht über IAM-Zulassungsrichtlinien und bedingten Zugriff in Workload Manager finden Sie unter Zugriffssteuerung mit IAM.

Nächste Schritte