권장 사용자 그룹 및 Identity and Access Management 역할

다음 표에서는Cloud de Confiance by S3NS에서 워크로드를 실행하기 위한 시작점으로 권장되는 Identity and Access Management (IAM) 역할을 설명합니다. 환경 내에서 직무 분리를 구현하고 위험 감수 범위 및 조직 구조에 맞게 IAM 역할을 구성합니다.

조직의 사용자 그룹에 이러한 역할을 할당할 때 특정 사용 사례와 데이터 액세스 요구사항을 해결하기 위해 더 세밀한 역할을 적용해야 하는 위치를 고려하세요. 매우 민감한 데이터를 사용하는 환경 (예: 민감한 정보를 사용하여 모델을 학습시키는 경우)에서는 저장된 데이터에 대한 액세스를 허용하는 데 사용할 수 있는 역할에 관한 자세한 내용은 보안 BigQuery 데이터 웨어하우스로 데이터 가져오기를 참고하세요.

다음 표에서는 역할 권장사항을 설명합니다. 기본 권장사항과 사용 사례별 권장사항을 적절하게 적용합니다.

서비스 그룹 설명 IAM 역할

기본

grp-gcp-org-admin

이 그룹은 조직에 속한 리소스를 관리합니다. 이 역할은 신중하게 할당하세요. 조직 관리자는 모든 Cloud de Confiance 리소스에 액세스할 수 있습니다. 또는 이 함수는 권한이 다양하므로 그룹을 만드는 대신 개별 계정을 사용하는 것이 좋습니다.
  • 조직 관리자 (roles/resourcemanager.organizationAdmin)
  • 폴더 관리자 (roles/resourcemanager.folderAdmin)
  • 프로젝트 생성자(roles/resourcemanager.projectCreator)
  • 결제 계정 사용자 (roles/billing.user)
  • 조직 역할 관리자(roles/iam.organizationRoleAdmin)
  • 조직 정책 관리자(roles/orgpolicy.policyAdmin)
  • 보안 센터 관리자(roles/securitycenter.admin)
  • 지원 계정 관리자 (roles/cloudsupport.admin)

기본

grp-gcp-network-admins

이 그룹은 네트워크, 서브넷, 방화벽 규칙, 네트워크 기기(Cloud Router, Cloud VPN, Cloud 부하 분산기 등)를 만들 수 있습니다.
  • Compute 네트워크 관리자(roles/compute.networkAdmin)
  • Compute 공유 VPC 관리자 (roles/compute.xpnAdmin)
  • Compute 보안 관리자(roles/compute.securityAdmin)
  • 폴더 뷰어 (roles/resourcemanager.folderViewer)

기본

grp-gcp-billing-admin

이 그룹은 결제 계정을 설정하고 사용량을 모니터링합니다.
  • 결제 계정 관리자(roles/billing.admin)
  • 결제 계정 생성자 (roles/billing.creator)
  • 조직 뷰어(roles/resourcemanager.organizationViewer)

기본

grp-gcp-security-admins

이 그룹은 액세스 관리 및 조직 제약 조건 정책을 비롯한 전체 조직의 보안 정책을 수립하고 관리합니다. Cloud de Confiance 보안 인프라를 계획하려면 엔터프라이즈 기반 청사진을 참고하세요.
  • BigQuery 데이터 뷰어(roles/bigquery.dataViewer)
  • Compute 뷰어 (roles/compute.viewer)
  • 폴더 IAM 관리자(roles/resourcemanager.folderIamAdmin)
  • Kubernetes Engine 뷰어 (roles/container.viewer)
  • 로그 구성 작성자(roles/logging.configWriter)
  • 조직 역할 뷰어 (roles/iam.organizationRoleViewer)
  • 조직 정책 관리자(roles/orgpolicy.policyAdmin)
  • 조직 정책 뷰어 (roles/orgpolicy.policyViewer)
  • 비공개 로그 뷰어(roles/logging.privateLogViewer)
  • 보안 센터 관리자(roles/securitycenter.admin)
  • 보안 검토자(roles/iam.securityReviewer)

기본

grp-gcp-billing-viewer

이 그룹은 프로젝트 비용을 모니터링합니다. 일반적으로 그룹 구성원은 재무팀 소속입니다.
  • 결제 계정 뷰어 (roles/billing.viewer)

기본

grp-gcp-platform-viewer

이 그룹은 Cloud de Confiance조직 전체의 리소스 정보를 검토합니다.
  • 뷰어(roles/viewer)

기본

grp-gcp-security-reviewer

이 그룹은 클라우드 보안을 검토합니다.
  • 보안 검토자(roles/iam.securityReviewer)

기본

grp-gcp-network-viewer

이 그룹은 네트워크 구성을 검토합니다.
  • Compute 네트워크 뷰어(roles/compute.networkViewer)

기본

grp-gcp-audit-viewer

이 그룹은 감사 로그를 볼 수 있습니다.
  • 비공개 로그 뷰어(roles/logging.privateLogViewer)
  • 뷰어(roles/viewer)

기본

grp-gcp-scc-admin

이 그룹은 Security Command Center를 관리합니다.
  • 보안 센터 관리자(roles/securitycenter.admin)

기본

grp-gcp-secrets-admin

이 그룹은 Secret Manager에서 보안 비밀을 관리합니다.
  • Secret Manager 관리자(roles/secretmanager.admin)

Agent Platform 관리자

grp-gcp-vertex-ai-admin

이 그룹에는 Agent Platform의 모든 리소스에 대한 전체 액세스 권한이 있습니다.
  • Vertex AI 관리자(roles/aiplatform.admin)

Agent Platform 뷰어

grp-gcp-vertex-ai-viewer

이 그룹은 Agent Platform의 모든 리소스를 볼 수 있습니다.
  • Vertex AI 뷰어 (roles/aiplatform.viewer)

Agent Platform 사용자

grp-gcp-vertex-ai-user

이 그룹은 Agent Platform의 모든 리소스를 사용합니다.
  • Vertex AI 사용자 (roles/aiplatform.user)

Agent Platform Workbench 관리자

grp-gcp-vertex-ai-notebook-admin

이 그룹은 Agent Platform Workbench의 모든 런타임 템플릿 및 런타임에 대한 전체 액세스 권한을 가집니다.
  • 노트북 런타임 관리자 (roles/aiplatform.notebookRuntimeAdmin)

Agent Platform Workbench 사용자

grp-gcp-vertex-ai-notebook-user

이 그룹은 런타임 템플릿을 사용하여 런타임 리소스를 만들고 생성한 런타임 리소스를 관리합니다.
  • 노트북 런타임 사용자 (roles/aiplatform.notebookRuntimeUser)

다음 단계