评估的来源项目和目标项目中的 IAM 角色

使用 Workload Manager 评估工作负载时，您需要检查可能跨多个 Google Cloud 项目的基础架构资源。了解 IAM 角色在中央评估项目与托管工作负载的项目之间的分配方式，有助于确保您授予安全运行评估所需的最低权限。

本文档介绍了使用方项目和目标项目，并列出了创建和运行 Workload Manager 评估所需的角色和权限。

使用方项目和目标项目

Workload Manager 评估会扫描多个项目（称为 目标项目）中的资源，但评估结果仅存储在一个项目（称为 使用方项目）中。

您可以使用使用方项目在 Google Cloud 控制台中访问 Workload Manager，并创建和运行评估。使用 Google Cloud 控制台创建评估时，您需要在工作流的评估范围 部分中指定包含要评估的资源的目标项目。

如果要评估的资源与创建 Workload Manager 评估的项目位于同一项目中，则该使用方项目也会被视为目标项目之一。

创建和运行评估所需的权限摘要

下表总结了使用方项目和目标项目中的用户使用 Workload Manager 创建和运行评估所需的权限。如需获取所需的权限，请让管理员授予您包含所需权限的角色，或创建自定义角色。

操作 使用方项目 目标项目
启用 Workload Manager API 权限：
serviceusage.services.enable

包含该权限的预定义角色：
roles/serviceusage.serviceUsageAdmin 		无
创建评估 创建服务帐号的权限：
resourcemanager.projects.setIamPolicy

包含该权限的预定义角色：
roles/resourcemanager.projectIamAdmin

仅在您创建第一个评估时需要。

授予创建评估权限的预定义角色：
roles/workloadmanager.evaluationAdmin

授予创建提醒通知权限的预定义角色：
roles/monitoring.metricWriter

如需使用自定义规则创建评估，您还需要以下 权限：

授予读取 Cloud Asset Inventory 数据的权限的预定义角色：
roles/cloudasset.owner

授予读取存储在 Cloud Storage 存储桶中的规则的权限的预定义角色：
roles/storage.objectViewer

授予将评估结果写入 BigQuery 数据集的权限的预定义角色：
roles/bigquery.admin

 创建服务帐号的权限：
resourcemanager.projects.setIamPolicy

包含该权限的预定义角色：
roles/resourcemanager.projectIamAdmin

仅在您创建第一个评估时需要。
运行评估 权限：
workloadmanager.evaluations.run

包含该权限的预定义角色：
roles/workloadmanager.evaluationAdmin

无
查看评估结果 权限：
workloadmanager.results.list

包含该权限的预定义角色：
roles/workloadmanager.evaluationAdmin
或
roles/workloadmanager.evaluationViewer 		无

评估的服务代理

Workload Manager 使用服务代理（roles/workloadmanager.serviceAgent 和 roles/workloadmanager.worker）扫描目标项目中的资源，并从使用方项目执行评估。

如需了解 Workload Manager 如何自动创建服务代理，或如何使用 Workload Manager API 手动创建服务代理，请参阅 Workload Manager 服务代理。

其他角色和权限

如需查看所有 API 的所有 Workload Manager 角色和权限的完整参考，请参阅 Workload Manager IAM 角色和权限。

如需大致了解 Workload Manager 中的 IAM 允许政策和条件访问权限，请参阅使用 IAM 进行访问权限控制。

后续步骤