Controle de acesso e permissões do Cloud Billing

Este documento descreve os papéis e as permissões de acesso das contas do Cloud Billing.

Uma conta do Cloud Billing é configurada em Cloud de Confiance e acumula e calcula os custos do uso de recursos e serviços em Cloud de Confiance. O Cloud Billing permite controlar quais usuários têm permissões de leitura sobre a administração e os custos de recursos específicos ao definir as políticas do Identity and Access Management (IAM) nos recursos.

Acessar o Cloud Billing

Para conceder ou limitar o acesso ao Cloud Billing, defina uma política do IAM no nível da organização, na conta do Cloud Billing ou no nível do projeto. Os Cloud de Confiance recursos herdam as políticas do IAM do nó pai. Isso significa que é possível definir uma política no nível da organização para aplicá-la a todas as contas do Cloud Billing, projetos e recursos na organização.

É possível controlar as permissões de visualização em níveis diferentes para usuários ou papéis diversos, definindo permissões de acesso no nível do projeto ou da conta de faturamento do Cloud.

Para conceder permissão a um usuário para visualizar os custos de todos os projetos em uma conta de faturamento do Cloud, conceda ao usuário permissão para visualizar os custos de uma conta (billing.accounts.getSpendingInformation). Para conceder permissão a um usuário para visualizar os custos de um projeto específico, conceda ao usuário permissões para visualização para projetos individuais (billing.resourceCosts.get).

Visão geral dos papéis do Cloud Billing no IAM

Você não concede permissões diretamente aos usuários, você atribui a eles papéis com uma ou mais permissões agrupadas.

É possível conceder um ou mais papéis ao mesmo usuário ou no mesmo recurso.

Os seguintes papéis predefinidos do IAM para o Cloud Billing permitem usar o controle de acesso para aplicar a separação de tarefas:

Papel Finalidade Nível Caso de uso
Criador da conta de faturamento
(roles/billing.creator)		 Criar novas contas de faturamento por autoatendimento (on-line). Organização Use este papel para a configuração de faturamento inicial ou para permitir a criação de outras contas de faturamento.
Os usuários precisam ter essa função para se inscrever no Cloud de Confiance com um cartão de crédito usando a identidade corporativa.
Dica: minimize o número de usuários que têm essa função para ajudar a evitar a proliferação de gastos de nuvem não rastreados na sua organização.
Administrador da conta de faturamento
(roles/billing.admin) 		Gerenciar as contas de cobrança (mas sem criá-las). Organização ou conta de faturamento. Esta função é a de proprietário de uma conta de faturamento. Os administradores podem adicionar e editar formas de pagamento, atualizar informações do perfil para pagamentos, incluindo endereços de correspondência, configurar exportações de faturamento, ver informações de custos, fazer um pagamento manual, vincular e desvincular projetos e gerenciar outras funções do usuário na conta de faturamento. Por padrão, a pessoa que cria a conta do Cloud Billing é um administrador da conta de faturamento.
Gerente de custos da conta de faturamento
(roles/billing.costsManager)		 Gerenciar orçamentos e visualizar e exportar informações de custo das contas de faturamento (mas não informações de preço). Organização ou conta de faturamento. Crie, edite e exclua orçamentos, veja informações de custos da conta de faturamento e transações, além de gerenciar a exportação de dados de custo do faturamento para o BigQuery. Não confere o direito de exportar dados de preços ou visualizar os preços personalizados na página Preços. Não permite a vinculação ou desvinculação de projetos ou o gerenciamento das propriedades da conta de faturamento.
Leitor da conta de faturamento
(roles/billing.viewer)		 Ver as transações e as informações de custo da conta de faturamento. Organização ou conta de faturamento. O acesso de Leitor da conta de faturamento geralmente é atribuído às equipes de finanças. Ele fornece acesso de leitura a informações de custo e pagamento, mas não confere o direito de vincular ou desvincular projetos ou gerenciar de outra forma as propriedades da conta de faturamento.
Gerente de custos de faturamento do projeto
(roles/billing.projectCostsManager)		 Ver as informações de custo da conta de faturamento com escopo em projetos. Organização ou conta de faturamento. Quando concedido em conjunto com permissões de visualização de custos em projetos, o gerente de custos de faturamento do projeto fornece acesso a informações de faturamento no escopo dos projetos em que o usuário tem acesso a custos. As informações de faturamento no escopo dos projetos incluem acesso a relatórios, hub de FinOps, orçamentos e alertas e anomalias.
Usuário da conta de faturamento
(roles/billing.user)		 Vincular projetos a contas de cobrança. Organização ou conta de faturamento. Esta função tem permissões muito restritas, por isso pode ser concedida de maneira ampla. Quando concedidos em combinação com o Criador de projetos, os dois papéis permitem que os usuários criem novos projetos vinculados à conta de faturamento em que o papel de usuário da conta de faturamento foi concedido. Quando concedidos em combinação com o papel de gerente de faturamento do projeto, os dois papéis permitem que os usuários vinculem e desvinculem projetos na conta de faturamento em que o papel de usuário da conta de faturamento foi concedido.
Gerente de faturamento do projeto
(roles/billing.projectManager) 		Vincular e desvincular o projeto a uma conta de faturamento. Organização, pasta ou projeto. Quando concedido em combinação com a função de Usuário da conta de faturamento, a função de Gerente de faturamento do projeto permite que os usuários anexem o projeto à conta de faturamento, mas não concede direitos sobre os recursos. Os proprietários do projeto podem usar esse papel para permitir que outra pessoa gerencie o faturamento do projeto sem precisar conceder acesso aos recursos.

A tabela a seguir lista os detalhes dos papéis predefinidos de faturamento do IAM, incluindo as permissões incluídas em cada papel.

Role Permissions

(roles/billing.admin)

Provides access to see and manage all aspects of billing accounts.

Lowest-level resources where you can grant this role:

  • Billing Account

billing.accounts.close

billing.accounts.get

billing.accounts.getCarbonInformation

billing.accounts.getIamPolicy

billing.accounts.getPaymentInfo

billing.accounts.getPricing

billing.accounts.getSpendingInformation

billing.accounts.getUsageExportSpec

billing.accounts.list

billing.accounts.move

billing.accounts.redeemPromotion

billing.accounts.removeFromOrganization

billing.accounts.reopen

billing.accounts.setIamPolicy

billing.accounts.update

billing.accounts.updatePaymentInfo

billing.accounts.updateUsageExportSpec

billing.anomalies.*

  • billing.anomalies.get
  • billing.anomalies.list
  • billing.anomalies.submitFeedback

billing.anomaliesConfigs.*

  • billing.anomaliesConfigs.get
  • billing.anomaliesConfigs.update

billing.billingAccountPrice.get

billing.billingAccountPrices.list

billing.billingAccountServices.*

  • billing.billingAccountServices.get
  • billing.billingAccountServices.list

billing.billingAccountSkuGroupSkus.*

  • billing.billingAccountSkuGroupSkus.get
  • billing.billingAccountSkuGroupSkus.list

billing.billingAccountSkuGroups.*

  • billing.billingAccountSkuGroups.get
  • billing.billingAccountSkuGroups.list

billing.billingAccountSkus.*

  • billing.billingAccountSkus.get
  • billing.billingAccountSkus.list

billing.budgets.*

  • billing.budgets.create
  • billing.budgets.delete
  • billing.budgets.get
  • billing.budgets.list
  • billing.budgets.update

billing.credits.list

billing.finOpsBenchmarkInformation.get

billing.finOpsHealthInformation.get

billing.resourceAssociations.*

  • billing.resourceAssociations.create
  • billing.resourceAssociations.delete
  • billing.resourceAssociations.list

billing.subscriptions.*

  • billing.subscriptions.create
  • billing.subscriptions.get
  • billing.subscriptions.list
  • billing.subscriptions.update

chroniclesm.contracts.*

  • chroniclesm.contracts.get
  • chroniclesm.contracts.update

cloudasset.assets.searchAllResources

cloudnotifications.activities.list

cloudsupport.properties.get

cloudsupport.techCases.*

  • cloudsupport.techCases.create
  • cloudsupport.techCases.escalate
  • cloudsupport.techCases.get
  • cloudsupport.techCases.list
  • cloudsupport.techCases.update

commerceoffercatalog.*

  • commerceoffercatalog.agreements.get
  • commerceoffercatalog.agreements.list
  • commerceoffercatalog.documents.get
  • commerceoffercatalog.documents.list
  • commerceoffercatalog.offers.get

compute.commitments.create

compute.commitments.get

compute.commitments.list

compute.commitments.update

compute.commitments.updateReservations

consumerprocurement.accounts.*

  • consumerprocurement.accounts.create
  • consumerprocurement.accounts.delete
  • consumerprocurement.accounts.get
  • consumerprocurement.accounts.list

consumerprocurement.consents.check

consumerprocurement.consents.grant

consumerprocurement.consents.list

consumerprocurement.consents.revoke

consumerprocurement.events.*

  • consumerprocurement.events.get
  • consumerprocurement.events.list

consumerprocurement.licensePools.*

  • consumerprocurement.licensePools.assign
  • consumerprocurement.licensePools.enumerateLicensedUsers
  • consumerprocurement.licensePools.get
  • consumerprocurement.licensePools.unassign
  • consumerprocurement.licensePools.update

consumerprocurement.orderAttributions.*

  • consumerprocurement.orderAttributions.get
  • consumerprocurement.orderAttributions.list
  • consumerprocurement.orderAttributions.update

consumerprocurement.orders.*

  • consumerprocurement.orders.cancel
  • consumerprocurement.orders.get
  • consumerprocurement.orders.list
  • consumerprocurement.orders.modify
  • consumerprocurement.orders.place

dataprocessing.datasources.get

dataprocessing.datasources.list

dataprocessing.groupcontrols.get

dataprocessing.groupcontrols.list

discoveryengine.billingAccountLicenseConfigs.*

  • discoveryengine.billingAccountLicenseConfigs.distribute
  • discoveryengine.billingAccountLicenseConfigs.get
  • discoveryengine.billingAccountLicenseConfigs.list
  • discoveryengine.billingAccountLicenseConfigs.retract

logging.logEntries.list

logging.logServiceIndexes.list

logging.logServices.list

logging.logs.list

logging.privateLogEntries.list

recommender.cloudsqlIdleInstanceRecommendations.get

recommender.cloudsqlIdleInstanceRecommendations.list

recommender.cloudsqlOverprovisionedInstanceRecommendations.get

recommender.cloudsqlOverprovisionedInstanceRecommendations.list

recommender.commitmentUtilizationInsights.*

  • recommender.commitmentUtilizationInsights.get
  • recommender.commitmentUtilizationInsights.list
  • recommender.commitmentUtilizationInsights.update

recommender.computeAddressIdleResourceRecommendations.get

recommender.computeAddressIdleResourceRecommendations.list

recommender.computeDiskIdleResourceRecommendations.get

recommender.computeDiskIdleResourceRecommendations.list

recommender.computeImageIdleResourceRecommendations.get

recommender.computeImageIdleResourceRecommendations.list

recommender.computeInstanceGroupManagerMachineTypeRecommendations.get

recommender.computeInstanceGroupManagerMachineTypeRecommendations.list

recommender.computeInstanceIdleResourceRecommendations.get

recommender.computeInstanceIdleResourceRecommendations.list

recommender.computeInstanceMachineTypeRecommendations.get

recommender.computeInstanceMachineTypeRecommendations.list

recommender.costInsights.*

  • recommender.costInsights.get
  • recommender.costInsights.list
  • recommender.costInsights.update

recommender.costRecommendations.*

  • recommender.costRecommendations.listAll
  • recommender.costRecommendations.summarizeAll

recommender.resourcemanagerProjectUtilizationRecommendations.get

recommender.resourcemanagerProjectUtilizationRecommendations.list

recommender.spendBasedCommitmentInsights.*

  • recommender.spendBasedCommitmentInsights.get
  • recommender.spendBasedCommitmentInsights.list
  • recommender.spendBasedCommitmentInsights.update

recommender.spendBasedCommitmentRecommendations.*

  • recommender.spendBasedCommitmentRecommendations.get
  • recommender.spendBasedCommitmentRecommendations.list
  • recommender.spendBasedCommitmentRecommendations.update

recommender.spendBasedCommitmentRecommenderConfig.*

  • recommender.spendBasedCommitmentRecommenderConfig.get
  • recommender.spendBasedCommitmentRecommenderConfig.update

recommender.usageCommitmentRecommendations.*

  • recommender.usageCommitmentRecommendations.get
  • recommender.usageCommitmentRecommendations.list
  • recommender.usageCommitmentRecommendations.update

resourcemanager.projects.createBillingAssignment

resourcemanager.projects.deleteBillingAssignment

resourcemanager.projects.get

resourcemanager.projects.list

(roles/billing.projectManager)

When granted in conjunction with the Billing Account User role, provides access to assign a project's billing account or disable its billing.

Lowest-level resources where you can grant this role:

  • Project

resourcemanager.projects.createBillingAssignment

resourcemanager.projects.deleteBillingAssignment

(roles/billing.viewer)

View billing account cost and pricing information, transactions, and billing and commitment recommendations.

Lowest-level resources where you can grant this role:

  • Billing Account

billing.accounts.get

billing.accounts.getCarbonInformation

billing.accounts.getIamPolicy

billing.accounts.getPaymentInfo

billing.accounts.getPricing

billing.accounts.getSpendingInformation

billing.accounts.getUsageExportSpec

billing.accounts.list

billing.anomalies.get

billing.anomalies.list

billing.anomaliesConfigs.get

billing.billingAccountPrice.get

billing.billingAccountPrices.list

billing.billingAccountServices.*

  • billing.billingAccountServices.get
  • billing.billingAccountServices.list

billing.billingAccountSkuGroupSkus.*

  • billing.billingAccountSkuGroupSkus.get
  • billing.billingAccountSkuGroupSkus.list

billing.billingAccountSkuGroups.*

  • billing.billingAccountSkuGroups.get
  • billing.billingAccountSkuGroups.list

billing.billingAccountSkus.*

  • billing.billingAccountSkus.get
  • billing.billingAccountSkus.list

billing.budgets.get

billing.budgets.list

billing.credits.list

billing.finOpsBenchmarkInformation.get

billing.finOpsHealthInformation.get

billing.resourceAssociations.list

billing.subscriptions.get

billing.subscriptions.list

chroniclesm.contracts.get

commerceoffercatalog.*

  • commerceoffercatalog.agreements.get
  • commerceoffercatalog.agreements.list
  • commerceoffercatalog.documents.get
  • commerceoffercatalog.documents.list
  • commerceoffercatalog.offers.get

consumerprocurement.accounts.get

consumerprocurement.accounts.list

consumerprocurement.consents.check

consumerprocurement.consents.list

consumerprocurement.orderAttributions.get

consumerprocurement.orderAttributions.list

consumerprocurement.orders.get

consumerprocurement.orders.list

dataprocessing.datasources.get

dataprocessing.datasources.list

dataprocessing.groupcontrols.get

dataprocessing.groupcontrols.list

discoveryengine.billingAccountLicenseConfigs.get

discoveryengine.billingAccountLicenseConfigs.list

recommender.commitmentUtilizationInsights.get

recommender.commitmentUtilizationInsights.list

recommender.costInsights.get

recommender.costInsights.list

recommender.costRecommendations.*

  • recommender.costRecommendations.listAll
  • recommender.costRecommendations.summarizeAll

recommender.spendBasedCommitmentInsights.get

recommender.spendBasedCommitmentInsights.list

recommender.spendBasedCommitmentRecommendations.get

recommender.spendBasedCommitmentRecommendations.list

recommender.spendBasedCommitmentRecommenderConfig.get

recommender.usageCommitmentRecommendations.get

recommender.usageCommitmentRecommendations.list

(roles/billing.carbonViewer)

billing.accounts.get

billing.accounts.getCarbonInformation

billing.accounts.list

(roles/billing.costsManager)

Manage budgets for a billing account, and view, analyze, and export cost information of a billing account.

Lowest-level resources where you can grant this role:

  • Billing Account

billing.accounts.get

billing.accounts.getIamPolicy

billing.accounts.getSpendingInformation

billing.accounts.getUsageExportSpec

billing.accounts.list

billing.accounts.updateUsageExportSpec

billing.anomalies.get

billing.anomalies.list

billing.anomaliesConfigs.*

  • billing.anomaliesConfigs.get
  • billing.anomaliesConfigs.update

billing.budgets.*

  • billing.budgets.create
  • billing.budgets.delete
  • billing.budgets.get
  • billing.budgets.list
  • billing.budgets.update

billing.resourceAssociations.list

recommender.costInsights.*

  • recommender.costInsights.get
  • recommender.costInsights.list
  • recommender.costInsights.update

(roles/billing.creator)

Provides access to create billing accounts.

Lowest-level resources where you can grant this role:

  • Organization

billing.accounts.create

resourcemanager.organizations.get

(roles/billing.linkAdmin)

Authorized to manage billing account hierarchy

billing.accounts.create

billing.accounts.get

billing.accounts.getCarbonInformation

billing.accounts.getIamPolicy

billing.accounts.getPaymentInfo

billing.accounts.getPricing

billing.accounts.getSpendingInformation

billing.accounts.getUsageExportSpec

billing.accounts.list

billing.accounts.move

billing.accounts.removeFromOrganization

billing.anomalies.get

billing.anomalies.list

billing.anomaliesConfigs.get

billing.billingAccountPrice.get

billing.billingAccountPrices.list

billing.billingAccountServices.*

  • billing.billingAccountServices.get
  • billing.billingAccountServices.list

billing.billingAccountSkuGroupSkus.*

  • billing.billingAccountSkuGroupSkus.get
  • billing.billingAccountSkuGroupSkus.list

billing.billingAccountSkuGroups.*

  • billing.billingAccountSkuGroups.get
  • billing.billingAccountSkuGroups.list

billing.billingAccountSkus.*

  • billing.billingAccountSkus.get
  • billing.billingAccountSkus.list

billing.budgets.get

billing.budgets.list

billing.credits.list

billing.finOpsBenchmarkInformation.get

billing.finOpsHealthInformation.get

billing.resourceAssociations.list

billing.subscriptions.get

billing.subscriptions.list

commerceoffercatalog.*

  • commerceoffercatalog.agreements.get
  • commerceoffercatalog.agreements.list
  • commerceoffercatalog.documents.get
  • commerceoffercatalog.documents.list
  • commerceoffercatalog.offers.get

consumerprocurement.accounts.get

consumerprocurement.accounts.list

consumerprocurement.consents.check

consumerprocurement.consents.list

consumerprocurement.orderAttributions.get

consumerprocurement.orderAttributions.list

consumerprocurement.orders.get

consumerprocurement.orders.list

dataprocessing.datasources.get

dataprocessing.datasources.list

dataprocessing.groupcontrols.get

dataprocessing.groupcontrols.list

recommender.commitmentUtilizationInsights.get

recommender.commitmentUtilizationInsights.list

recommender.costInsights.get

recommender.costInsights.list

recommender.costRecommendations.*

  • recommender.costRecommendations.listAll
  • recommender.costRecommendations.summarizeAll

recommender.spendBasedCommitmentInsights.get

recommender.spendBasedCommitmentInsights.list

recommender.spendBasedCommitmentRecommendations.get

recommender.spendBasedCommitmentRecommendations.list

recommender.spendBasedCommitmentRecommenderConfig.get

recommender.usageCommitmentRecommendations.get

recommender.usageCommitmentRecommendations.list

(roles/billing.projectCostsManager)

When granted in conjunction with cost view permissions on projects, provides access to billing information scoped to the projects to which the user has cost access.

Lowest-level resources where you can grant this role:

  • Billing Account

billing.accounts.get

billing.accounts.getIamPolicy

billing.accounts.getSpendingInformationScoped

billing.costRecommendations.listScoped

(roles/billing.user)

When granted in conjunction with the Project Owner role or Project Billing Manager role, provides access to associate projects with billing accounts.

Lowest-level resources where you can grant this role:

  • Billing Account

billing.accounts.get

billing.accounts.getIamPolicy

billing.accounts.list

billing.accounts.redeemPromotion

billing.credits.list

billing.resourceAssociations.create

Relacionamentos do IAM entre organizações, projetos e contas do Cloud Billing

Dois tipos de relacionamento controlam as interações entre organizações, contas de faturamento do Cloud e projetos: propriedade e vínculo de pagamento.

  • Propriedade se refere à herança de permissão do IAM.
  • Vínculos de pagamento definem a Conta de faturamento do Cloud que paga por um determinado projeto.

O diagrama a seguir mostra a relação de propriedade e os vínculos de pagamento de uma organização de exemplo.

Ilustra como os projetos estão relacionados a uma conta do Cloud Billing e um perfil para pagamentos do Google. Um lado mostra seus recursos no nível do Cloud de Confiance(conta do Cloud Billing e projetos associados), e o outro, dividido por uma linha pontilhada vertical, mostra seu recurso no nível do Google (um perfil para pagamentos do Google). Os projetos são pagos pela conta do Cloud Billing, que está vinculada a um perfil para pagamentos do Google.

No diagrama, o nó da organização tem propriedade sobre os projetos 1, 2 e 3, o que significa que é a permissão principal do IAM dos três projetos.

A Conta de faturamento do Cloud está vinculada aos projetos 1, 2 e 3. Isso significa que ela paga pelos custos derivados dos três projetos. A conta do Cloud Billing também pode pagar por projetos em outras organizações, mas a conta de faturamento herda as permissões do IAM da organização principal.

Embora as contas do Cloud Billing estejam vinculadas a projetos, elas não são pais de projetos no sentido do IAM. Portanto, os projetos não herdam permissões da conta do Cloud Billing a que estão vinculados.

Neste exemplo, qualquer usuário que tenha funções de faturamento do IAM concedidas na organização também têm essas funções na conta do Cloud Billing ou nos projetos.

Exemplos de controle de acesso do Faturamento do Cloud

Combine os papéis do IAM da seguinte forma para atender às necessidades de diferentes cenários.

Cenário: empresa de pequeno a médio porte com preferência por controle centralizado.
Tipo de usuário Papéis do IAM de faturamento Atividades de faturamento
CEO Administrador da conta de faturamento Gerenciar o instrumento de pagamento.
Ver e aprovar as faturas.
CTO Administrador da conta de faturamento
Criador do projeto		 Definir alertas de orçamento.
Ver gastos.
Criar novos projetos faturáveis.
Equipes de desenvolvimento Nenhum Nenhum
Cenário: empresa de pequeno a médio porte com preferência por autoridade delegada.
Tipo de usuário Papéis do IAM de faturamento Atividades de faturamento
CEO Administrador da conta de faturamento Gerenciar o instrumento de pagamento.
Delegar autoridade.
diretor financeiro Administrador da conta de faturamento Definir alertas de orçamento.
Ver gastos.
Contas a pagar Leitor da conta de faturamento Ver e aprovar as faturas.
Equipes de desenvolvimento Usuário da conta de faturamento
Criador do projeto		 Criar novos projetos faturáveis.
Cenário: funções separadas de planejamento financeiro e aquisição
Tipo de usuário Papéis do IAM de faturamento Atividades de faturamento
Compras ou TI central Administrador da conta de faturamento Gerenciar o instrumento de pagamento.
Definir alertas de orçamento
Comunicar gastos às equipes de desenvolvimento.
Planejamento financeiro Leitor da conta de faturamento Ver relatórios de cobrança.
Processar exportações.
Comunicar-se com o CxO.
Contas a pagar Leitor da conta de faturamento Aprovar faturas.
Equipes de desenvolvimento Usuário da conta de faturamento
Criador do projeto		 Criar novos projetos faturáveis.
Cenário: agência de desenvolvimento.
Tipo de usuário Papéis do IAM de faturamento Atividades de faturamento
CEO Administrador da conta de faturamento Gerenciar o instrumento de pagamento.
Delegar autoridade.
diretor financeiro Administrador da conta de faturamento Definir alertas de orçamento.
Ver gastos.
Aprovar faturas.
Líder de projeto Usuário da conta de faturamento
Criador do projeto		 Criar novos projetos faturáveis.
Equipe de desenvolvimento de projetos Nenhum Desenvolver dentro dos projetos existentes.
Cliente Gerente de faturamento do projeto Assumir o pagamento do projeto quando ele for concluído.

Como atualizar as permissões do Cloud Billing

Para saber como revisar, adicionar ou remover permissões do Cloud Billing, siga as orientações em Gerenciar acesso às contas do Cloud Billing.