Workload Manager を使用してワークロードを評価する場合は、複数のプロジェクトにまたがる可能性のあるインフラストラクチャ リソースを検査します。 Google Cloud IAM ロールが中央評価プロジェクトとワークロードをホストするプロジェクトの間でどのように分割されているかを理解することで、評価を安全に実行するために必要な最小限の権限を付与できます。
このドキュメントでは、コンシューマー プロジェクトとターゲット プロジェクトについて説明し、ワークロード マネージャーの評価を作成して実行するために必要なロールと権限を示します。
コンシューマ プロジェクトとターゲット プロジェクト
ワークロード マネージャーの評価では、複数のプロジェクト（ターゲット プロジェクト）のリソースがスキャンされますが、評価はコンシューマー プロジェクトと呼ばれる 1 つのプロジェクトにのみ保存されます。
コンシューマー プロジェクトを使用して、 Google Cloud コンソールでワークロード マネージャーにアクセスし、評価を作成して実行します。 Google Cloud コンソールを使用して評価を作成する場合は、ワークフローの [評価の範囲] セクションで、評価するリソースを保持するターゲット プロジェクトを指定します。
評価するリソースがワークロード マネージャー評価を作成するプロジェクトと同じプロジェクトにある場合、コンシューマー プロジェクトもターゲット プロジェクトの 1 つと見なされます。
評価の作成と実行に必要な権限の概要
次の表に、ワークロード マネージャーを使用して評価を作成して実行するために、コンシューマー プロジェクトとターゲット プロジェクトのユーザーに必要な権限の概要を示します。必要な権限を取得するには、必要な権限を含むロールを付与するか、カスタムロールを作成するよう管理者に依頼してください。
| アクション | コンシューマー プロジェクト | ターゲット プロジェクト |
|---|---|---|
| ワークロード マネージャー API を有効にする |
権限: serviceusage.services.enable権限を含む事前定義ロール: roles/serviceusage.serviceUsageAdmin
|
なし |
| 評価を作成 |
サービス アカウントを作成する権限: resourcemanager.projects.setIamPolicy権限を含む事前定義ロール: roles/resourcemanager.projectIamAdmin
最初の評価を作成する場合にのみ必要です。
評価の作成権限を付与する事前定義ロール:
アラート通知の作成権限を付与する事前定義ロール: カスタムルールを使用して評価を作成するには、次の追加の権限が必要です。 Cloud Asset Inventory データの読み取り権限を付与する事前定義ロール: Cloud Storage バケットに保存されているルールを読み取る権限を付与する事前定義ロール: 評価結果を BigQuery データセットに書き込む権限を付与する事前定義ロール: |
サービス アカウントを作成する権限: resourcemanager.projects.setIamPolicy権限を含む事前定義ロール: roles/resourcemanager.projectIamAdmin
最初の評価を作成する場合にのみ必要です。 |
| 評価を実行する |
権限: workloadmanager.evaluations.run権限を含む事前定義ロール: roles/workloadmanager.evaluationAdmin
|
なし |
| 評価の結果を表示する |
権限: workloadmanager.results.list権限を含む事前定義ロール: roles/workloadmanager.evaluationAdminまたは roles/workloadmanager.evaluationViewer
|
なし |
評価用のサービス エージェント
ワークロード マネージャー は、サービス エージェント（roles/workloadmanager.serviceAgent と roles/workloadmanager.worker）を使用して、ターゲット プロジェクトのリソースをスキャンし、コンシューマー プロジェクトから評価を実行します。
ワークロード マネージャーがサービス エージェントを自動的に作成する方法、またはワークロード マネージャー API を使用して手動で作成する方法については、ワークロード マネージャー サービス エージェントをご覧ください。
追加のロールと権限
すべての API にわたるワークロード マネージャーのすべてのロールと権限のリファレンスについては、ワークロード マネージャーの IAM ロールと権限をご覧ください。
ワークロード マネージャー の IAM 許可ポリシーと条件付きアクセスの概要については、IAM によるアクセス制御をご覧ください。