Roles y permisos de IAM para Cloud NGFW
Usa la barra de búsqueda para buscar tareas, roles o permisos específicos, o selecciona una categoría de tarea en el menú desplegable para filtrar la lista.
| Categoría de tarea | Tarea o habilidad | Rol requerido | Permisos necesarios |
|---|---|---|---|
| Políticas de firewall jerárquicas | Crea una nueva política de firewall jerárquica | Rol de administrador de la política de firewall de Compute para la organización (roles/compute.orgFirewallPolicyAdmin) en el recurso donde residirá la políticaPara obtener más información, consulta Roles de IAM para usar políticas de firewall jerárquicas. |
compute.firewallPolicies.create |
| Asocia una política a un recurso | Cualquiera de los siguientes conjuntos de roles:
Para obtener más información, consulta Roles de IAM para usar políticas de firewall jerárquicas. |
compute.firewallPolicies.usecompute.organizations.setFirewallPolicy |
|
| Modificar la política agregando, actualizando o borrando reglas de firewall de la política | Rol de administrador de la política de firewall de Compute para la organización (roles/compute.orgFirewallPolicyAdmin)
en el recurso en el que reside la política o en la políticaPara obtener más información, consulta Roles de IAM para usar políticas de firewall jerárquicas. |
compute.firewallPolicies.update |
|
| Borrar la política | Rol de administrador de la política de firewall de Compute para la organización (roles/compute.orgFirewallPolicyAdmin)
en el recurso en el que reside la política o en la políticaPara obtener más información, consulta Roles de IAM para usar políticas de firewall jerárquicas. |
compute.firewallPolicies.delete |
|
| Visualiza las reglas de firewall vigentes para una red de nube privada virtual (VPC) | Cualquiera de los siguientes roles para la red:
Para obtener más información, consulta Roles de IAM para usar políticas de firewall jerárquicas. |
compute.networks.getEffectiveFirewallscompute.networks.getRegionEffectiveFirewalls |
|
| Visualizar las reglas de firewall vigentes para una VM en una red | Cualquiera de los siguientes roles para la VM:
Para obtener más información, consulta Roles de IAM para usar políticas de firewall jerárquicas. |
compute.instances.getEffectiveFirewalls |
|
| Políticas de firewall de redes globales | Crea una nueva política de firewall de red global | Rol de administrador de seguridad de Compute (roles/compute.securityAdmin) en el proyecto al que pertenece la políticaPara obtener más información, consulta Roles de IAM para usar políticas de firewall de red globales. |
compute.firewallPolicies.create |
| Asocia una política con una red | Rol de administrador de red de Compute (roles/compute.networkAdmin) en el proyecto en el que se ubicará la políticaPara obtener más información, consulta Roles de IAM para usar políticas de firewall de red globales. |
compute.firewallPolicies.usecompute.networks.setFirewallPolicy |
|
| Modificar la política agregando, actualizando o borrando reglas de firewall de la política | Rol de Administrador de seguridad de Compute (roles/compute.securityAdmin) en el proyecto en el que se ubicará la políticaPara obtener más información, consulta Roles de IAM para usar políticas de firewall de red globales. |
compute.firewallPolicies.update |
|
| Borrar la política | Rol de Administrador de seguridad de Compute (roles/compute.securityAdmin) en el proyecto en el que se ubicará la políticaPara obtener más información, consulta Roles de IAM para usar políticas de firewall de red globales. |
compute.firewallPolicies.delete |
|
| Visualizar las reglas de firewall vigentes para una red de VPC | Cualquiera de los siguientes roles para la red:
Para obtener más información, consulta Roles de IAM para usar políticas de firewall de red globales. |
compute.networks.getEffectiveFirewallscompute.networks.getRegionEffectiveFirewalls |
|
| Visualizar las reglas de firewall vigentes para una VM en una red | Cualquiera de los siguientes roles para la VM:
Para obtener más información, consulta Roles de IAM para usar políticas de firewall de red globales. |
compute.instances.getEffectiveFirewalls |
|
| Políticas de firewall de redes regionales | Para obtener información sobre los roles y permisos de IAM que rigen las acciones para crear y administrar políticas de firewall de red regionales, consulta Crea reglas y políticas de firewall de red regionales y Administra políticas de firewall de red regionales. | ||
| Reglas de firewall de VPC | Crea una regla de firewall de VPC | Rol de Administrador de seguridad de Compute ( roles/compute.securityAdmin) |
compute.firewalls.create |
| Modifica una regla de firewall de VPC | Rol de Administrador de seguridad de Compute ( roles/compute.securityAdmin) |
compute.firewalls.update |
|
| Visualiza una lista de reglas de firewall de VPC | Rol de visualizador de la red de Compute ( roles/compute.networkViewer) |
compute.firewalls.list |
|
| Visualiza los detalles de una regla de firewall de VPC | Rol de visualizador de la red de Compute ( roles/compute.networkViewer) |
compute.firewalls.get |
|
| Borra una regla de firewall de VPC | Rol de Administrador de seguridad de Compute ( roles/compute.securityAdmin) |
compute.firewalls.delete |
|
| Grupos de direcciones | Crea y administra grupos de direcciones | Rol de administrador de redes de Compute ( roles/compute.networkAdmin) |
networksecurity.addressGroups.* |
| Descubre y visualiza grupos de direcciones | Rol de usuario de red de Compute ( roles/compute.networkUser) |
networksecurity.addressGroups.listnetworksecurity.addressGroups.getnetworksecurity.addressGroups.use |
|
| Perfiles de seguridad | Crear un perfil de seguridad | Cualquiera de los siguientes roles:
|
networksecurity.securityProfiles.create |
| Modificar un perfil de seguridad | Cualquiera de los siguientes roles:
|
networksecurity.securityProfiles.update |
|
| Borra un perfil de seguridad | Cualquiera de los siguientes roles:
|
networksecurity.securityProfiles.delete |
|
| Visualizar los detalles de un perfil de seguridad en una organización o un proyecto | Cualquiera de los siguientes roles:
|
networksecurity.securityProfiles.get |
|
| Visualizar todos los perfiles de seguridad de una organización o un proyecto | Cualquiera de los siguientes roles:
|
networksecurity.securityProfiles.list |
|
| Usar un perfil de seguridad en un grupo de perfiles de seguridad | Cualquiera de los siguientes roles:
|
networksecurity.securityProfiles.use |
|
| Grupos de perfiles de seguridad | Crear un grupo de perfil de seguridad | Cualquiera de los siguientes roles:
|
networksecurity.securityProfileGroups.create |
| Modificar un grupo de perfiles de seguridad | Cualquiera de los siguientes roles:
|
networksecurity.securityProfileGroups.update |
|
| Borra un grupo de perfiles de seguridad | Cualquiera de los siguientes roles:
|
networksecurity.securityProfileGroups.delete |
|
| Visualiza los detalles del grupo de perfiles de seguridad de una organización y un proyecto | Cualquiera de los siguientes roles:
|
networksecurity.securityProfileGroups.get |
|
| Visualizar todos los grupos de perfiles de seguridad de una organización y un proyecto | Cualquiera de los siguientes roles:
|
networksecurity.securityProfileGroups.list |
|
| Usar un grupo de perfiles de seguridad en una regla de política de firewall | Cualquiera de los siguientes roles:
|
networksecurity.securityProfileGroups.use |
|
| Extremos de firewall | Crea un extremo de firewall | Cualquiera de los siguientes roles:
|
networksecurity.firewallEndpoints.create |
| Modifica un extremo de firewall | Cualquiera de los siguientes roles:
|
networksecurity.firewallEndpoints.update |
|
| Borra un extremo de firewall | Cualquiera de los siguientes roles:
|
networksecurity.firewallEndpoints.delete |
|
| Visualiza detalles sobre el extremo de firewall | Cualquiera de los siguientes roles:
|
networksecurity.firewallEndpoints.get |
|
| Visualiza todos los extremos de firewall | Cualquiera de los siguientes roles:
|
networksecurity.firewallEndpoints.list |
|
| Asociaciones de extremo de firewall | Crear una asociación de extremo de firewall | Cualquiera de los siguientes roles:
|
networksecurity.firewallEndpointAssociations.createnetworksecurity.firewallEndpoints.use en la organización o el proyecto en el que se crea el extremo de firewall |
| Modifica una asociación de extremo de firewall | Cualquiera de los siguientes roles:
|
networksecurity.firewallEndpointAssociations.update |
|
| Borra una asociación de extremo de firewall | Cualquiera de los siguientes roles:
|
networksecurity.firewallEndpointAssociations.delete |
|
| Visualiza los detalles de la asociación de extremos de firewall | Cualquiera de los siguientes roles:
|
networksecurity.firewallEndpointAssociations.get |
|
| Visualiza todas las asociaciones de extremos de firewall | Cualquiera de los siguientes roles:
|
networksecurity.firewallEndpointAssociations.list |
|
| Etiquetas seguras | Para obtener información sobre los roles y permisos de IAM que necesitas para crear y administrar etiquetas seguras, consulta Administra etiquetas en los recursos. | ||
| Actualizaciones por lotes de las reglas de las políticas de firewall | Exporta las reglas de la política de firewall jerárquica | Cualquiera de los siguientes roles:
|
compute.firewallPolicies.get |
| Importa las reglas de la política de firewall jerárquica | Cualquiera de los siguientes roles:
|
compute.firewallPolicies.update |
|
| Exporta las reglas de la política de firewall de red global | Cualquiera de los siguientes roles:
|
compute.firewallPolicies.get |
|
| Exporta las reglas de la política de firewall de red regional | Cualquiera de los siguientes roles:
|
compute.regionFirewallPolicies.get |
|
| Importa las reglas de la política de firewall de red global | Cualquiera de los siguientes roles:
|
compute.firewallPolicies.update |
|
| Importa las reglas de la política de firewall de red regional | Cualquiera de los siguientes roles:
|
compute.regionFirewallPolicies.update |
|
Roles de IAM para usar políticas de firewall jerárquicas
Las siguientes funciones son pertinentes a las políticas de firewall jerárquicas.
| Nombre de la función | Descripción |
|---|---|
Rol de administrador de la Política de firewall de Compute para la organización (roles/compute.orgFirewallPolicyAdmin)
|
Se puede otorgar en un recurso o en una política individual. Si se otorga en un recurso,
permite a los usuarios crear, actualizar y borrar políticas jerárquicas de firewall y
sus reglas. Si se otorga en una política individual, permite que el usuario actualice
reglas de la política, pero no que cree o borre la política. Este rol también permite
al usuario asociar una política a un recurso si también tiene el rol
compute.orgSecurityResourceAdmin en ese recurso. |
Rol de Administrador de recursos de Compute en la organización (roles/compute.orgSecurityResourceAdmin)
|
Se otorga a nivel de organización o a una carpeta y permite que los administradores
a nivel de carpeta asocien una política a ese recurso. Los administradores también deben
tener el rol compute.orgFirewallPolicyUser o
compute.orgFirewallPolicyAdmin en el recurso que
es propietario de la política o en la política para poder usarla. |
Rol de usuario de la política de firewall de Compute para la organización (roles/compute.orgFirewallPolicyUser)
|
Si se otorga en un recurso o en una política individual, permite que los administradores
utilicen la política individual o las políticas asociadas al recurso. Los usuarios
también deben tener el rol compute.orgSecurityResourceAdmin en el
recurso objetivo para asociar una política a ese recurso. |
Rol de administrador de seguridad de Compute (roles/compute.securityAdmin)Rol de visualizador de Compute ( roles/compute.viewer)Rol de usuario de red de Compute ( roles/compute.networkUser)Rol de visualizador de red de Compute ( roles/compute.networkViewer) |
Permite que los usuarios vean las reglas de firewall que se aplicaron a la red o a la instancia. Incluye el permiso compute.networks.getEffectiveFirewalls
para las redes y el compute.instances.getEffectiveFirewalls para las instancias. |
Nota: En las versiones preliminares de las políticas de firewall jerárquicas, se usaron los roles de IAM compute.orgSecurityPolicyAdmin y compute.orgSecurityPolicyUser. Estos roles combinaban permisos para las políticas de firewall jerárquicas y Google Cloud Armor. Para separar estos permisos, estamos migrando a los roles compute.orgFirewallPolicyAdmin y compute.orgFirewallPolicyUser para las políticas de firewall jerárquicas. Los roles anteriores seguirán funcionando, pero recomendamos migrar a los roles nuevos lo antes posible.
En el siguiente ejemplo, Joe puede crear, modificar y borrar cualquier política de firewall jerárquica en la carpeta policies, pero no puede adjuntar la política de firewall jerárquica a una carpeta porque no tiene la función orgSecurityResourceAdmin en ninguna.
Sin embargo, dado que Joe le otorgó a Mary permisos para usar policy-1, puede enumerar y asociar esa política de firewall jerárquica con la carpeta dev-projects o cualquiera de sus descendientes. La función orgFirewallPolicyUser no otorga permisos para asociar las políticas a ninguna carpeta, el usuario también debe tener la función orgSecurityResourceAdmin en la carpeta de destino.
Roles de IAM para usar políticas de firewall de red globales
Los siguientes roles son pertinentes a las políticas de firewall de red globales.
| Nombre de la función | Descripción |
|---|---|
Rol de Administrador de seguridad de Compute (roles/compute.securityAdmin)
|
Se puede otorgar a nivel de proyecto o de política. Si se otorga para un proyecto, permite a los usuarios crear, actualizar y borrar políticas de firewall de red globales y sus reglas. A nivel de la política, permite a los usuarios actualizar las reglas de la política, pero no crear ni borrar la política. Este rol también permite a los usuarios asociar una política con una red. |
Rol Compute Network Admin (roles/compute.networkAdmin)
|
Se otorga a nivel de proyecto o a nivel de red. Si se otorga para una red, permite que los usuarios vean la lista de políticas de firewall de red globales. |
Rol de visualizador de Compute (roles/compute.viewer)Rol de usuario de la red de Compute ( roles/compute.networkUser)Rol de visualizador de la red de Compute ( roles/compute.networkViewer) |
Permite que los usuarios vean las reglas de firewall que se aplicaron a la red o a la instancia. Incluye el permiso compute.networks.getEffectiveFirewalls
para las redes y el compute.instances.getEffectiveFirewalls para las instancias. |