Einige oder alle Informationen auf dieser Seite gelten möglicherweise nicht für Cloud de Confiance von S3NS. Weitere Informationen finden Sie unter Unterschiede zu Google Cloud.

Google verwendet KI-Technologie, um Inhalte in Ihre bevorzugte Sprache zu übersetzen. KI-Übersetzungen können Fehler enthalten.

Cloud NGFW-Rollen und -Berechtigungen

Auf dieser Seite sind alle IAM-Rollen (Identity and Access Management) und Berechtigungen für die Cloud NGFW aufgeführt.

IAM-Rollen und -Berechtigungen für die Cloud NGFW

Verwenden Sie die Suchleiste, um nach bestimmten Aufgaben, Rollen oder Berechtigungen zu suchen, oder wählen Sie eine Aufgabenkategorie aus dem Drop-down-Menü aus, um die Liste zu filtern.

Aufgabenkategorie	Aufgabe oder Fähigkeit	Erforderliche Rolle	Erforderliche Berechtigungen
Hierarchische Firewallrichtlinien	Neue hierarchische Firewallrichtlinie erstellen	Rolle „Administrator von Compute-Firewall-Richtlinien für die Organisation” (`roles/compute.orgFirewallPolicyAdmin`) für die Ressource, auf der die Richtlinie ausgeführt wird Weitere Informationen finden Sie unter IAM-Rollen für die Verwendung hierarchischer Firewallrichtlinien.	`compute.firewallPolicies.create`
	Richtlinie mit einer Ressource verknüpfen	Eine der folgenden Rollen: Rolle Administrator für Compute-Organisationsressourcen (`roles/compute.orgSecurityResourceAdmin`) für die Zielressource und Rolle Nutzer von Compute-Firewallrichtlinien für die Organisation (`roles/compute.orgFirewallPolicyUser`) für die Ressource, auf der sich die Richtlinie befindet, oder für die Richtlinie selbst Rolle „Administrator für Compute-Organisationsressourcen“ (`roles/compute.orgSecurityResourceAdmin`) für die Zielressource und Rolle „Administrator von Compute-Firewallrichtlinien für die Organisation“ (`roles/compute.orgFirewallPolicyAdmin`) für die Ressource, auf der sich die Richtlinie befindet, oder für die Richtlinie selbst Weitere Informationen finden Sie unter IAM-Rollen für die Verwendung hierarchischer Firewallrichtlinien.	`compute.firewallPolicies.use` `compute.organizations.setFirewallPolicy`
	Richtlinie durch Hinzufügen, Aktualisieren oder Löschen von Richtlinien-Firewallregeln ändern	Rolle „Administrator von Compute-Firewall-Richtlinien für die Organisation” (`roles/compute.orgFirewallPolicyAdmin`) entweder für die Ressource, auf der die Richtlinie ausgeführt wird, oder für die Richtlinie selbst Weitere Informationen finden Sie unter IAM-Rollen für die Verwendung hierarchischer Firewallrichtlinien.	`compute.firewallPolicies.update`
	Richtlinie löschen	Rolle „Administrator von Compute-Firewall-Richtlinien für die Organisation” (`roles/compute.orgFirewallPolicyAdmin`) entweder für die Ressource, auf der die Richtlinie ausgeführt wird, oder für die Richtlinie selbst Weitere Informationen finden Sie unter IAM-Rollen für die Verwendung hierarchischer Firewallrichtlinien.	`compute.firewallPolicies.delete`
	Gültige Firewallregeln für ein VPC-Netzwerk (Virtual Private Cloud) aufrufen	Eine der folgenden Rollen für das Netzwerk: Rolle „Compute-Netzwerkadministrator“ (`roles/compute.networkAdmin`) Rolle „Compute-Netzwerknutzer“ (`roles/compute.networkUser`) Rolle „Compute-Netzwerkbetrachter“ (`roles/compute.networkViewer`) Rolle "Compute-Sicherheitsadministrator" (`roles/compute.securityAdmin`) Rolle „Compute-Betrachter“ (`roles/compute.viewer`) Weitere Informationen finden Sie unter IAM-Rollen für die Verwendung hierarchischer Firewallrichtlinien.	`compute.networks.getEffectiveFirewalls` `compute.networks.getRegionEffectiveFirewalls`
	Gültige Firewallregeln für eine VM in einem Netzwerk aufrufen	Eine der folgenden Rollen für die VM: Rolle „Compute Instance Admin“ (`roles/compute.instanceAdmin`) Rolle „Dienst-Agent für Instanzgruppenmanager“ (`roles/compute.instanceGroupManagerServiceAgent`) Rolle "Compute-Sicherheitsadministrator" (`roles/compute.securityAdmin`) Rolle „Compute-Betrachter“ (`roles/compute.viewer`) Weitere Informationen finden Sie unter IAM-Rollen für die Verwendung hierarchischer Firewallrichtlinien.	`compute.instances.getEffectiveFirewalls`
Globale Netzwerk-Firewallrichtlinien	Neue globale Netzwerk-Firewallrichtlinie erstellen	Rolle „Compute-Sicherheitsadministrator“ (`roles/compute.securityAdmin`) für das Projekt, zu dem die Richtlinie gehört Weitere Informationen finden Sie unter IAM-Rollen für die Verwendung globaler Netzwerk-Firewallrichtlinien.	`compute.firewallPolicies.create`
	Richtlinie mit einem Netzwerk verknüpfen	Rolle „Compute-Netzwerkadministrator“ (`roles/compute.networkAdmin`) für das Projekt, in dem die Richtlinie ausgeführt werden wird Weitere Informationen finden Sie unter IAM-Rollen für die Verwendung globaler Netzwerk-Firewallrichtlinien.	`compute.firewallPolicies.use` `compute.networks.setFirewallPolicy`
	Richtlinie durch Hinzufügen, Aktualisieren oder Löschen von Richtlinien-Firewallregeln ändern	Compute Security Admin-Rolle (`roles/compute.securityAdmin`) für das Projekt, in dem die Richtlinie ausgeführt werden wird Weitere Informationen finden Sie unter IAM-Rollen für die Verwendung globaler Netzwerk-Firewallrichtlinien.	`compute.firewallPolicies.update`
	Richtlinie löschen	Compute Security Admin-Rolle (`roles/compute.securityAdmin`) für das Projekt, in dem die Richtlinie ausgeführt werden wird Weitere Informationen finden Sie unter IAM-Rollen für die Verwendung globaler Netzwerk-Firewallrichtlinien.	`compute.firewallPolicies.delete`
	Gültige Firewallregeln für ein VPC-Netzwerk aufrufen	Eine der folgenden Rollen für das Netzwerk: Rolle „Compute-Netzwerkadministrator“ (`roles/compute.networkAdmin`) Rolle „Compute-Netzwerknutzer“ (`roles/compute.networkUser`) Rolle „Compute-Netzwerkbetrachter“ (`roles/compute.networkViewer`) Rolle "Compute-Sicherheitsadministrator" (`roles/compute.securityAdmin`) Rolle „Compute-Betrachter“ (`roles/compute.viewer`) Weitere Informationen finden Sie unter IAM-Rollen für die Verwendung globaler Netzwerk-Firewallrichtlinien.	`compute.networks.getEffectiveFirewalls` `compute.networks.getRegionEffectiveFirewalls`
	Gültige Firewallregeln für eine VM in einem Netzwerk aufrufen	Eine der folgenden Rollen für die VM: Rolle „Compute Instance Admin“ (`roles/compute.instanceAdmin`) Rolle „Dienst-Agent für Instanzgruppenmanager“ (`roles/compute.instanceGroupManagerServiceAgent`) Rolle "Compute-Sicherheitsadministrator" (`roles/compute.securityAdmin`) Rolle „Compute-Betrachter“ (`roles/compute.viewer`) Weitere Informationen finden Sie unter IAM-Rollen für die Verwendung globaler Netzwerk-Firewallrichtlinien.	`compute.instances.getEffectiveFirewalls`
Regionale Netzwerk-Firewallrichtlinien	Informationen zu IAM-Rollen und -Berechtigungen, die die Aktionen zum Erstellen und Verwalten regionaler Netzwerk-Firewallrichtlinien steuern, finden Sie unter Regionale Netzwerk-Firewallrichtlinien und -regeln erstellen und Regionale Netzwerk-Firewallrichtlinien verwalten.
VPC-Firewallregeln	VPC-Firewallregel erstellen	Rolle „Compute-Sicherheitsadministrator“ (`roles/compute.securityAdmin`)	`compute.firewalls.create`
	VPC-Firewallregel ändern	Rolle „Compute-Sicherheitsadministrator“ (`roles/compute.securityAdmin`)	`compute.firewalls.update`
	Liste der VPC-Firewallregeln aufrufen	Rolle „Compute-Netzwerkbetrachter“ (`roles/compute.networkViewer`)	`compute.firewalls.list`
	Details zu einer VPC-Firewallregel ansehen	Rolle „Compute-Netzwerkbetrachter“ (`roles/compute.networkViewer`)	`compute.firewalls.get`
	VPC-Firewallregel löschen	Rolle „Compute-Sicherheitsadministrator“ (`roles/compute.securityAdmin`)	`compute.firewalls.delete`
Adressgruppen	Adressgruppen erstellen und verwalten	Rolle „Compute-Netzwerkadministrator“ (`roles/compute.networkAdmin`)	`networksecurity.addressGroups.*`
Adressgruppen	Adressgruppen suchen und ansehen	Rolle „Compute-Netzwerknutzer“ (`roles/compute.networkUser`)	`networksecurity.addressGroups.list` `networksecurity.addressGroups.get` `networksecurity.addressGroups.use`
Sicherheitsprofile	Sicherheitsprofil erstellen	Eine der folgenden Rollen: Rolle „Compute-Netzwerkadministrator“ (`roles/compute.networkAdmin`) Rolle „Security Profile Admin (Beta)“ (`roles/networksecurity.securityProfileAdmin`), die auf Organisationsebene für Sicherheitsprofile auf Organisationsebene und entweder auf Projekt- oder Organisationsebene für Sicherheitsprofile auf Projektebene zugewiesen wird	`networksecurity.securityProfiles.create`
	Sicherheitsprofil ändern	Eine der folgenden Rollen: Rolle „Compute-Netzwerkadministrator“ (`roles/compute.networkAdmin`) Rolle „Security Profile Admin (Beta)“ (`roles/networksecurity.securityProfileAdmin`), die auf Organisationsebene für Sicherheitsprofile auf Organisationsebene und entweder auf Projekt- oder Organisationsebene für Sicherheitsprofile auf Projektebene zugewiesen wird	`networksecurity.securityProfiles.update`
	Sicherheitsprofil löschen	Eine der folgenden Rollen: Rolle „Compute-Netzwerkadministrator“ (`roles/compute.networkAdmin`) Rolle „Security Profile Admin (Beta)“ (`roles/networksecurity.securityProfileAdmin`), die auf Organisationsebene für Sicherheitsprofile auf Organisationsebene und entweder auf Projekt- oder Organisationsebene für Sicherheitsprofile auf Projektebene zugewiesen wird	`networksecurity.securityProfiles.delete`
	Details zu einem Sicherheitsprofil in einer Organisation oder einem Projekt ansehen	Eine der folgenden Rollen: Rolle „Compute-Netzwerkadministrator“ (`roles/compute.networkAdmin`) Rolle „Security Profile Admin (Beta)“ (`roles/networksecurity.securityProfileAdmin`), die auf Organisationsebene für Sicherheitsprofile auf Organisationsebene und entweder auf Projekt- oder Organisationsebene für Sicherheitsprofile auf Projektebene zugewiesen wird Rolle „Compute-Netzwerknutzer“ (`roles/compute.networkUser`) Rolle „Compute-Netzwerkbetrachter“ (`roles/compute.networkViewer`)	`networksecurity.securityProfiles.get`
	Alle Sicherheitsprofile in einer Organisation oder einem Projekt ansehen	Eine der folgenden Rollen: Rolle „Compute-Netzwerkadministrator“ (`roles/compute.networkAdmin`) Rolle „Security Profile Admin (Beta)“ (`roles/networksecurity.securityProfileAdmin`), die auf Organisationsebene für Sicherheitsprofile auf Organisationsebene und entweder auf Projekt- oder Organisationsebene für Sicherheitsprofile auf Projektebene zugewiesen wird Rolle „Compute-Netzwerknutzer“ (`roles/compute.networkUser`) Rolle „Compute-Netzwerkbetrachter“ (`roles/compute.networkViewer`)	`networksecurity.securityProfiles.list`
	Sicherheitsprofil in einer Sicherheitsprofilgruppe verwenden	Eine der folgenden Rollen: Rolle „Compute-Netzwerkadministrator“ (`roles/compute.networkAdmin`) Rolle „Security Profile Admin (Beta)“ (`roles/networksecurity.securityProfileAdmin`), die auf Organisationsebene für Sicherheitsprofile auf Organisationsebene und entweder auf Projekt- oder Organisationsebene für Sicherheitsprofile auf Projektebene zugewiesen wird Rolle „Compute-Netzwerknutzer“ (`roles/compute.networkUser`)	`networksecurity.securityProfiles.use`
Sicherheitsprofilgruppen	Sicherheitsprofilgruppe erstellen	Eine der folgenden Rollen: Rolle „Compute-Netzwerkadministrator“ (`roles/compute.networkAdmin`) Rolle „Security Profile Admin“ (Beta) (`roles/networksecurity.securityProfileAdmin`), die auf Organisationsebene für Sicherheitsprofilgruppen auf Organisationsebene und entweder auf Projekt- oder Organisationsebene für Sicherheitsprofilgruppen auf Projektebene zugewiesen wird	`networksecurity.securityProfileGroups.create`
	Sicherheitsprofilgruppe ändern	Eine der folgenden Rollen: Rolle „Compute-Netzwerkadministrator“ (`roles/compute.networkAdmin`) Rolle „Security Profile Admin“ (Beta) (`roles/networksecurity.securityProfileAdmin`), die auf Organisationsebene für Sicherheitsprofilgruppen auf Organisationsebene und entweder auf Projekt- oder Organisationsebene für Sicherheitsprofilgruppen auf Projektebene zugewiesen wird	`networksecurity.securityProfileGroups.update`
	Sicherheitsprofilgruppe löschen	Eine der folgenden Rollen: Rolle „Compute-Netzwerkadministrator“ (`roles/compute.networkAdmin`) Rolle „Security Profile Admin“ (Beta) (`roles/networksecurity.securityProfileAdmin`), die auf Organisationsebene für Sicherheitsprofilgruppen auf Organisationsebene und entweder auf Projekt- oder Organisationsebene für Sicherheitsprofilgruppen auf Projektebene zugewiesen wird	`networksecurity.securityProfileGroups.delete`
	Details zur Sicherheitsprofilgruppe in einer Organisation und einem Projekt ansehen	Eine der folgenden Rollen: Rolle „Compute-Netzwerkadministrator“ (`roles/compute.networkAdmin`) Rolle „Security Profile Admin“ (Beta) (`roles/networksecurity.securityProfileAdmin`), die auf Organisationsebene für Sicherheitsprofilgruppen auf Organisationsebene und entweder auf Projekt- oder Organisationsebene für Sicherheitsprofilgruppen auf Projektebene zugewiesen wird Rolle „Compute-Netzwerknutzer“ (`roles/compute.networkUser`) Rolle „Compute-Netzwerkbetrachter“ (`roles/compute.networkViewer`)	`networksecurity.securityProfileGroups.get`
	Alle Sicherheitsprofilgruppen in einer Organisation und einem Projekt ansehen	Eine der folgenden Rollen: Rolle „Compute-Netzwerkadministrator“ (`roles/compute.networkAdmin`) Rolle „Security Profile Admin“ (Beta) (`roles/networksecurity.securityProfileAdmin`), die auf Organisationsebene für Sicherheitsprofilgruppen auf Organisationsebene und entweder auf Projekt- oder Organisationsebene für Sicherheitsprofilgruppen auf Projektebene zugewiesen wird Rolle „Compute-Netzwerknutzer“ (`roles/compute.networkUser`) Rolle „Compute-Netzwerkbetrachter“ (`roles/compute.networkViewer`)	`networksecurity.securityProfileGroups.list`
	Sicherheitsprofilgruppe in einer Firewallrichtlinienregel verwenden	Eine der folgenden Rollen: Rolle „Compute-Netzwerkadministrator“ (`roles/compute.networkAdmin`) Rolle „Security Profile Admin“ (Beta) (`roles/networksecurity.securityProfileAdmin`), die auf Organisationsebene für Sicherheitsprofilgruppen auf Organisationsebene und entweder auf Projekt- oder Organisationsebene für Sicherheitsprofilgruppen auf Projektebene zugewiesen wird Rolle „Compute-Netzwerknutzer“ (`roles/compute.networkUser`)	`networksecurity.securityProfileGroups.use`
Firewall-Endpunkte	Firewall-Endpunkt erstellen	Eine der folgenden Rollen: Rolle „Compute-Netzwerkadministrator“ (`roles/compute.networkAdmin`) Rolle „Firewall Endpoint Admin (Beta)“ (`roles/networksecurity.firewallEndpointAdmin`), die auf Organisationsebene für Firewall-Endpunkte auf Organisationsebene und auf Projekt- oder Organisationsebene für Firewall-Endpunkte auf Projektebene zugewiesen wird	`networksecurity.firewallEndpoints.create`
	Firewall-Endpunkt ändern	Eine der folgenden Rollen: Rolle „Compute-Netzwerkadministrator“ (`roles/compute.networkAdmin`) Rolle „Firewall Endpoint Admin (Beta)“ (`roles/networksecurity.firewallEndpointAdmin`), die auf Organisationsebene für Firewall-Endpunkte auf Organisationsebene und auf Projekt- oder Organisationsebene für Firewall-Endpunkte auf Projektebene zugewiesen wird	`networksecurity.firewallEndpoints.update`
	Firewall-Endpunkt löschen	Eine der folgenden Rollen: Rolle „Compute-Netzwerkadministrator“ (`roles/compute.networkAdmin`) Rolle „Firewall Endpoint Admin (Beta)“ (`roles/networksecurity.firewallEndpointAdmin`), die auf Organisationsebene für Firewall-Endpunkte auf Organisationsebene und auf Projekt- oder Organisationsebene für Firewall-Endpunkte auf Projektebene zugewiesen wird	`networksecurity.firewallEndpoints.delete`
	Details zum Firewall-Endpunkt ansehen	Eine der folgenden Rollen: Rolle „Compute-Netzwerkadministrator“ (`roles/compute.networkAdmin`) Rolle „Firewall Endpoint Admin (Beta)“ (`roles/networksecurity.firewallEndpointAdmin`), die auf Organisationsebene für Firewall-Endpunkte auf Organisationsebene und auf Projekt- oder Organisationsebene für Firewall-Endpunkte auf Projektebene zugewiesen wird Rolle „Compute-Netzwerknutzer“ (`roles/compute.networkUser`) Rolle „Compute-Netzwerkbetrachter“ (`roles/compute.networkViewer`)	`networksecurity.firewallEndpoints.get`
	Alle Firewall-Endpunkte ansehen	Eine der folgenden Rollen: Rolle „Compute-Netzwerkadministrator“ (`roles/compute.networkAdmin`) Rolle „Firewall Endpoint Admin (Beta)“ (`roles/networksecurity.firewallEndpointAdmin`), die auf Organisationsebene für Firewall-Endpunkte auf Organisationsebene und auf Projekt- oder Organisationsebene für Firewall-Endpunkte auf Projektebene zugewiesen wird Rolle „Compute-Netzwerknutzer“ (`roles/compute.networkUser`) Rolle „Compute-Netzwerkbetrachter“ (`roles/compute.networkViewer`)	`networksecurity.firewallEndpoints.list`
Firewall-Endpunktverknüpfungen	Firewall-Endpunktverknüpfung erstellen	Eine der folgenden Rollen: Rolle „Compute-Netzwerkadministrator“ (`roles/compute.networkAdmin`) Rolle „Firewall Endpoint Admin (Beta)“ (`roles/networksecurity.firewallEndpointAdmin`), die auf Organisationsebene für Firewall-Endpunktverknüpfungen auf Organisationsebene und entweder auf Projekt- oder Organisationsebene für Firewall-Endpunktverknüpfungen auf Projektebene zugewiesen wird Rolle „Compute-Netzwerknutzer“ (`roles/compute.networkUser`)	`networksecurity.firewallEndpointAssociations.create` `networksecurity.firewallEndpoints.use` für die Organisation oder das Projekt, in der bzw. dem der Firewall-Endpunkt erstellt wird
	Firewall-Endpunktverknüpfung ändern	Eine der folgenden Rollen: Rolle „Compute-Netzwerkadministrator“ (`roles/compute.networkAdmin`) Rolle „Firewall Endpoint Admin (Beta)“ (`roles/networksecurity.firewallEndpointAdmin`), die auf Organisationsebene für Firewall-Endpunktverknüpfungen auf Organisationsebene und entweder auf Projekt- oder Organisationsebene für Firewall-Endpunktverknüpfungen auf Projektebene zugewiesen wird	`networksecurity.firewallEndpointAssociations.update`
	Firewall-Endpunktverknüpfung löschen	Eine der folgenden Rollen: Rolle „Compute-Netzwerkadministrator“ (`roles/compute.networkAdmin`) Rolle „Firewall Endpoint Admin (Beta)“ (`roles/networksecurity.firewallEndpointAdmin`), die auf Organisationsebene für Firewall-Endpunktverknüpfungen auf Organisationsebene und entweder auf Projekt- oder Organisationsebene für Firewall-Endpunktverknüpfungen auf Projektebene zugewiesen wird	`networksecurity.firewallEndpointAssociations.delete`
	Details zur Firewall-Endpunktverknüpfung ansehen	Eine der folgenden Rollen: Rolle „Compute-Netzwerkadministrator“ (`roles/compute.networkAdmin`) Rolle „Firewall Endpoint Admin (Beta)“ (`roles/networksecurity.firewallEndpointAdmin`), die auf Organisationsebene für Firewall-Endpunktverknüpfungen auf Organisationsebene und entweder auf Projekt- oder Organisationsebene für Firewall-Endpunktverknüpfungen auf Projektebene zugewiesen wird Rolle „Compute-Netzwerknutzer“ (`roles/compute.networkUser`) Rolle „Compute-Netzwerkbetrachter“ (`roles/compute.networkViewer`)	`networksecurity.firewallEndpointAssociations.get`
	Alle Firewall-Endpunktverknüpfungen ansehen	Eine der folgenden Rollen: Rolle „Compute-Netzwerkadministrator“ (`roles/compute.networkAdmin`) Die Rolle Firewall Endpoint Admin (Beta) (`roles/networksecurity.firewallEndpointAdmin`), die auf Organisationsebene für Firewall-Endpunktverknüpfungen auf Organisationsebene und entweder auf Projekt- oder Organisationsebene für Firewall-Endpunktverknüpfungen auf Projektebene zugewiesen wird. Rolle „Compute-Netzwerknutzer“ (`roles/compute.networkUser`) Rolle „Compute-Netzwerkbetrachter“ (`roles/compute.networkViewer`)	`networksecurity.firewallEndpointAssociations.list`
Sichere Tags	Informationen zu den IAM-Rollen und -Berechtigungen, die Sie zum Erstellen und Verwalten von sicheren Tags benötigen, finden Sie unter Tags für Ressourcen verwalten.
Batch-Updates für Firewallrichtlinien-Regeln	Hierarchische Firewallrichtlinienregeln exportieren	Eine der folgenden Rollen: Rolle „Administrator von Compute-Firewall-Richtlinien für die Organisation“ (`roles/compute.orgFirewallPolicyAdmin`) Rolle „Nutzer von Compute-Firewall-Richtlinien für die Organisation” (`roles/compute.orgFirewallPolicyUser`)	`compute.firewallPolicies.get`
	Hierarchische Firewallrichtlinienregeln importieren	Eine der folgenden Rollen: Rolle „Administrator von Compute-Firewall-Richtlinien für die Organisation“ (`roles/compute.orgFirewallPolicyAdmin`) Rolle „Nutzer von Compute-Firewall-Richtlinien für die Organisation” (`roles/compute.orgFirewallPolicyUser`)	`compute.firewallPolicies.update`
	Regeln der globalen Netzwerk-Firewallrichtlinie exportieren	Eine der folgenden Rollen: Rolle "Compute-Sicherheitsadministrator" (`roles/compute.securityAdmin`) Rolle „Compute-Netzwerkadministrator“ (`roles/compute.networkAdmin`)	`compute.firewallPolicies.get`
	Regeln für regionale Netzwerk-Firewallrichtlinien exportieren	Eine der folgenden Rollen: Rolle "Compute-Sicherheitsadministrator" (`roles/compute.securityAdmin`) Rolle „Compute-Netzwerkadministrator“ (`roles/compute.networkAdmin`)	`compute.regionFirewallPolicies.get`
	Regeln für die globale Netzwerk-Firewallrichtlinie importieren	Eine der folgenden Rollen: Rolle "Compute-Sicherheitsadministrator" (`roles/compute.securityAdmin`) Rolle „Compute-Netzwerkadministrator“ (`roles/compute.networkAdmin`)	`compute.firewallPolicies.update`
	Regionale Netzwerk-Firewallrichtlinien-Regeln importieren	Eine der folgenden Rollen: Rolle "Compute-Sicherheitsadministrator" (`roles/compute.securityAdmin`) Rolle „Compute-Netzwerkadministrator“ (`roles/compute.networkAdmin`)	`compute.regionFirewallPolicies.update`

IAM-Rollen für die Verwendung hierarchischer Firewallrichtlinien

Die folgenden Rollen sind für hierarchische Firewallrichtlinien relevant.

Rollenname	Beschreibung
Rolle „Administrator von Compute-Firewall-Richtlinien für die Organisation“ (`roles/compute.orgFirewallPolicyAdmin`)	Kann für eine Ressource oder für eine einzelne Richtlinie gewährt werden. Wenn sie für eine Ressource gewährt wird, können Nutzer hierarchische Firewallrichtlinien und ihre Regeln erstellen, aktualisieren und löschen. Wenn sie einer einzelnen Richtlinie gewährt wird, kann der Nutzer die Richtlinienregeln aktualisieren, die Richtlinie jedoch nicht erstellen oder löschen. Mit dieser Rolle kann der Nutzer auch eine Richtlinie mit einer Ressource verknüpfen, wenn er auch die Rolle `compute.orgSecurityResourceAdmin` für diese Ressource hat.
Rolle „Administrator für Compute Engine-Organisationsressourcen“ (`roles/compute.orgSecurityResourceAdmin`)	Wird auf der Organisationsebene oder einem Ordner gewährt; ermöglicht Administratoren auf der Ordnerebene, eine Richtlinie mit dieser Ressource zu verknüpfen. Administratoren müssen außerdem die Rolle `compute.orgFirewallPolicyUser` oder `compute.orgFirewallPolicyAdmin` für die Ressource, der die Richtlinie gehört, oder die Richtlinie selbst haben, um die Richtlinie nutzen zu können.
Rolle „Nutzer von Compute-Firewall-Richtlinien für die Organisation” (`roles/compute.orgFirewallPolicyUser`)	Wird sie einer Ressource oder einer einzelnen Richtlinie zugewiesen, können Administratoren die jeweilige Richtlinie oder die mit der Ressource verknüpften Richtlinien verwenden. Nutzer müssen außerdem die Rolle `compute.orgSecurityResourceAdmin` für die Zielressource haben, um eine Richtlinie mit dieser Ressource zu verknüpfen.
Rolle „Compute-Sicherheitsadministrator“ (`roles/compute.securityAdmin`) Rolle „Compute-Betrachter“ (`roles/compute.viewer`) Rolle „Compute-Netzwerknutzer“ (`roles/compute.networkUser`) Rolle „Compute-Netzwerkbetrachter“ (`roles/compute.networkViewer`)	Nutzer können die Firewallregeln sehen, die auf das Netzwerk oder die Instanz angewendet werden. Enthält die Berechtigung `compute.networks.getEffectiveFirewalls` für Netzwerke und die Berechtigung `compute.instances.getEffectiveFirewalls` für Instanzen.

Hinweis: In den Vorabversionen hierarchischer Firewallrichtlinien wurden die IAM-Rollen compute.orgSecurityPolicyAdmin und compute.orgSecurityPolicyUser verwendet. Diese Rollen kombinierten Berechtigungen für hierarchische Firewallrichtlinien und Google Cloud Armor. Wenn diese Berechtigungen getrennt werden sollen, migrieren wir zu den Rollen compute.orgFirewallPolicyAdmin und compute.orgFirewallPolicyUser für hierarchische Firewallrichtlinien. Die vorherigen Rollen funktionieren weiterhin, aber wir empfehlen Ihnen, so schnell wie möglich zu den neuen Rollen zu migrieren.

Im folgenden Beispiel kann Joe alle hierarchischen Firewallrichtlinien im Ordner policies erstellen, ändern und löschen. Er kann die hierarchische Firewallrichtlinie aber keinem Ordner hinzufügen, da er für keinen Ordner die Rolle orgSecurityResourceAdmin hat.

Da Joe jedoch Mary die Berechtigung zur Verwendung von policy-1 gewährt hat, kann sie diese hierarchische Firewallrichtlinie auflisten und mit dem Ordner dev-projects oder einem seiner untergeordneten Elemente verknüpfen. Die Rolle orgFirewallPolicyUser gewährt keine Berechtigung zum Verknüpfen der Richtlinien mit Ordnern. Der Nutzer muss auch die Rolle orgSecurityResourceAdmin für den Zielordner haben.

IAM-Rollen für die Verwendung globaler Netzwerk-Firewallrichtlinien

Die folgenden Rollen sind für globale Netzwerk-Firewallrichtlinien relevant.

Rollenname	Beschreibung
Rolle "Compute-Sicherheitsadministrator" (`roles/compute.securityAdmin`)	Kann auf Projekt- oder Richtlinienebene gewährt werden. Wird sie für ein Projekt gewährt, können Nutzer globale Netzwerk-Firewallrichtlinien und deren Regeln erstellen, aktualisieren und löschen. Erlaubt es Nutzern auf Richtlinienebene, die Regeln der Richtlinie zu aktualisieren, allerdings darf die Richtlinie weder erstellt noch gelöscht werden. Diese Rolle erlaubt es Nutzern auch, Richtlinien mit Netzwerken zu verknüpfen.
Rolle „Compute-Netzwerkadministrator“ (`roles/compute.networkAdmin`)	Wird auf Projekt- oder Netzwerkebene gewährt. Bei Gewährung für ein Netzwerk können Nutzer die Liste der globalen Netzwerk-Firewallrichtlinien aufrufen.
Rolle „Compute-Betrachter“ (`roles/compute.viewer`) Rolle „Compute-Netzwerknutzer“ (`roles/compute.networkUser`) Rolle „Compute-Netzwerkbetrachter“ (`roles/compute.networkViewer`)	Nutzer können die Firewallregeln sehen, die auf das Netzwerk oder die Instanz angewendet werden. Enthält die Berechtigung `compute.networks.getEffectiveFirewalls` für Netzwerke und die Berechtigung `compute.instances.getEffectiveFirewalls` für Instanzen.