Peran IAM di project konsumen dan target untuk evaluasi

Saat mengevaluasi workload menggunakan Workload Manager, Anda akan memeriksa resource infrastruktur yang mungkin mencakup beberapa Google Cloud project. Memahami cara peran IAM dibagi antara project evaluasi pusat dan project yang menghosting workload Anda akan memastikan bahwa Anda memberikan izin minimum yang diperlukan untuk menjalankan evaluasi dengan aman.

Dokumen ini menjelaskan project konsumen dan target serta mencantumkan peran dan izin yang Anda perlukan untuk membuat dan menjalankan evaluasi Workload Manager.

Project konsumen dan target

Evaluasi Workload Manager memindai resource di beberapa project yang disebut project target, tetapi evaluasi hanya disimpan dalam satu project yang disebut project konsumen.

Anda menggunakan project konsumen untuk mengakses Workload Manager di Google Cloud konsol, serta untuk membuat dan menjalankan evaluasi. Saat membuat evaluasi menggunakan Google Cloud konsol, di bagian Cakupan evaluasi alur kerja, Anda menentukan project target yang menyimpan resource yang ingin dievaluasi.

Jika resource yang akan dievaluasi ada di project yang sama dengan tempat Anda membuat evaluasi Workload Manager, project konsumen juga akan dianggap sebagai salah satu project target Anda.

Ringkasan izin yang diperlukan untuk membuat dan menjalankan evaluasi

Tabel berikut merangkum izin yang diperlukan bagi pengguna di project konsumen dan target untuk membuat dan menjalankan evaluasi menggunakan Workload Manager. Untuk mendapatkan izin yang Anda perlukan, minta administrator Anda untuk memberi Anda peran yang menyertakan izin yang diperlukan atau membuat peran kustom.

Tindakan Project konsumen Project target
Mengaktifkan Workload Manager API Izin:
serviceusage.services.enable

Peran bawaan yang menyertakan izin:
roles/serviceusage.serviceUsageAdmin 		Tidak ada
Membuat evaluasi Izin untuk membuat akun layanan:
resourcemanager.projects.setIamPolicy

Peran bawaan yang menyertakan izin:
roles/resourcemanager.projectIamAdmin

Hanya diperlukan saat Anda membuat evaluasi pertama.

Peran bawaan yang memberikan izin untuk membuat evaluasi:
roles/workloadmanager.evaluationAdmin

Peran bawaan yang memberikan izin untuk membuat notifikasi pemberitahuan:
roles/monitoring.metricWriter

Untuk membuat evaluasi menggunakan aturan kustom, Anda memerlukan izin tambahan berikut:

Peran bawaan yang memberikan izin untuk membaca data Inventaris Aset Cloud:
roles/cloudasset.owner

Peran bawaan yang memberikan izin untuk membaca aturan yang disimpan dalam bucket Cloud Storage:
roles/storage.objectViewer

Peran bawaan yang memberikan izin untuk menulis hasil evaluasi ke set data BigQuery:
roles/bigquery.admin

 Izin untuk membuat akun layanan:
resourcemanager.projects.setIamPolicy

Peran bawaan yang menyertakan izin:
roles/resourcemanager.projectIamAdmin

Hanya diperlukan saat Anda membuat evaluasi pertama.
Menjalankan evaluasi Izin:
workloadmanager.evaluations.run

Peran bawaan yang menyertakan izin:
roles/workloadmanager.evaluationAdmin

Tidak ada
Melihat hasil evaluasi Izin:
workloadmanager.results.list

Peran bawaan yang menyertakan izin:
roles/workloadmanager.evaluationAdmin
atau
roles/workloadmanager.evaluationViewer 		Tidak ada

Agen layanan untuk evaluasi

Workload Manager menggunakan agen layanan (roles/workloadmanager.serviceAgent dan roles/workloadmanager.worker) untuk memindai resource di project target dan menjalankan evaluasi dari project konsumen.

Untuk mempelajari cara Workload Manager membuat agen layanan secara otomatis atau cara membuatnya secara manual menggunakan Workload Manager API, lihat Agen layanan Workload Manager.

Peran dan izin tambahan

Untuk referensi lengkap semua peran dan izin Workload Manager di semua API, lihat Peran dan izin IAM Workload Manager.

Untuk ringkasan kebijakan izinkan IAM dan akses bersyarat di Workload Manager, lihat Kontrol akses dengan IAM.

Langkah berikutnya