Il est possible qu'une partie ou l'ensemble des informations de cette page ne s'appliquent pas au Cloud de confiance S3NS. Pour en savoir plus, consultez Différences par rapport à Google Cloud.

Google utilise la technologie IA pour traduire le contenu dans votre langue préférée. Les traductions générées par IA peuvent contenir des erreurs.

Rôles et autorisations Cloud NGFW

Cette page répertorie tous les rôles et autorisations IAM (Identity and Access Management) pour Cloud NGFW.

Rôles et autorisations IAM pour Cloud NGFW

Utilisez la barre de recherche pour rechercher des tâches, des rôles ou des autorisations spécifiques, ou sélectionnez une catégorie de tâches dans le menu déroulant pour filtrer la liste.

Catégorie de tâche	Tâche ou capacité	Rôle requis	Autorisations requises
Stratégies de pare-feu hiérarchiques	Créer une stratégie de pare-feu hiérarchique	Rôle d'administrateur des stratégies de pare-feu de l'organisation Compute (`roles/compute.orgFirewallPolicyAdmin`) sur la ressource sur laquelle la stratégie va résider Pour en savoir plus, consultez Rôles IAM pour l'utilisation des stratégies de pare-feu hiérarchiques.	`compute.firewallPolicies.create`
	Associer une stratégie à une ressource	L'un des ensembles de rôles suivants : Rôle d'administrateur des ressources de l'organisation Compute (`roles/compute.orgSecurityResourceAdmin`) sur la ressource cible et rôle d'utilisateur des stratégies de pare-feu de l'organisation Compute (`roles/compute.orgFirewallPolicyUser`) sur la ressource où se trouve la stratégie ou sur la stratégie elle-même Rôle d'administrateur des ressources de l'organisation Compute (`roles/compute.orgSecurityResourceAdmin`) sur la ressource cible et rôle d'administrateur des stratégies de pare-feu de l'organisation Compute (`roles/compute.orgFirewallPolicyAdmin`) sur la ressource où se trouve la stratégie ou sur la stratégie elle-même Pour en savoir plus, consultez Rôles IAM pour l'utilisation de stratégies de pare-feu hiérarchiques.	`compute.firewallPolicies.use` `compute.organizations.setFirewallPolicy`
	Modifier la stratégie en ajoutant, en mettant à jour ou en supprimant des règles de stratégie de pare-feu	Rôle d'administrateur des stratégies de pare-feu de l'organisation Compute (`roles/compute.orgFirewallPolicyAdmin`) sur la ressource hébergeant la stratégie ou sur la stratégie elle-même Pour en savoir plus, consultez Rôles IAM pour l'utilisation des stratégies de pare-feu hiérarchiques.	`compute.firewallPolicies.update`
	Supprimer la règle	Rôle d'administrateur des stratégies de pare-feu de l'organisation Compute (`roles/compute.orgFirewallPolicyAdmin`) sur la ressource hébergeant la stratégie ou sur la stratégie elle-même Pour en savoir plus, consultez Rôles IAM pour l'utilisation des stratégies de pare-feu hiérarchiques.	`compute.firewallPolicies.delete`
	Afficher les règles de pare-feu effectives pour un réseau cloud privé virtuel (VPC)	L'un des rôles suivants pour le réseau : Rôle d'administrateur réseau Compute (`roles/compute.networkAdmin`) Rôle d'utilisateur de réseau Compute (`roles/compute.networkUser`) Rôle de lecteur réseau Compute (`roles/compute.networkViewer`) Rôle d'administrateur de sécurité Compute (`roles/compute.securityAdmin`) Rôle de lecteur Compute (`roles/compute.viewer`) Pour en savoir plus, consultez Rôles IAM pour l'utilisation de stratégies de pare-feu hiérarchiques.	`compute.networks.getEffectiveFirewalls` `compute.networks.getRegionEffectiveFirewalls`
	Afficher les stratégies de pare-feu efficaces pour une VM dans un réseau	L'un des rôles suivants pour la VM : Rôle Administrateur d'instances Compute (`roles/compute.instanceAdmin`) Rôle d'agent de service du gestionnaire de groupe d'instances (`roles/compute.instanceGroupManagerServiceAgent`) Rôle d'administrateur de sécurité Compute (`roles/compute.securityAdmin`) Rôle de lecteur Compute (`roles/compute.viewer`) Pour en savoir plus, consultez Rôles IAM pour l'utilisation de stratégies de pare-feu hiérarchiques.	`compute.instances.getEffectiveFirewalls`
Stratégies de pare-feu réseau mondiales	Créer une stratégie de pare-feu réseau au niveau mondial	Rôle Administrateur de sécurité Compute (`roles/compute.securityAdmin`) sur le projet auquel appartient la stratégie Pour en savoir plus, consultez Rôles IAM pour l'utilisation des stratégies de pare-feu réseau mondiales.	`compute.firewallPolicies.create`
	Associer une stratégie à un réseau	Rôle Administrateur de réseaux Compute (`roles/compute.networkAdmin`) sur le projet hébergeant la stratégie Pour en savoir plus, consultez Rôles IAM pour l'utilisation de stratégies de pare-feu réseau globales.	`compute.firewallPolicies.use` `compute.networks.setFirewallPolicy`
	Modifier la stratégie en ajoutant, en mettant à jour ou en supprimant des règles de stratégie de pare-feu	Rôle Administrateur de sécurité Compute (`roles/compute.securityAdmin`) sur le projet où la stratégie sera hébergée Pour en savoir plus, consultez Rôles IAM pour l'utilisation des stratégies de pare-feu réseau mondiales.	`compute.firewallPolicies.update`
	Supprimer la règle	Rôle Administrateur de sécurité Compute (`roles/compute.securityAdmin`) sur le projet où la stratégie sera hébergée Pour en savoir plus, consultez Rôles IAM pour l'utilisation des stratégies de pare-feu réseau mondiales.	`compute.firewallPolicies.delete`
	Afficher les stratégies de pare-feu efficaces pour un réseau VPC	L'un des rôles suivants pour le réseau : Rôle d'administrateur réseau Compute (`roles/compute.networkAdmin`) Rôle d'utilisateur de réseau Compute (`roles/compute.networkUser`) Rôle de lecteur réseau Compute (`roles/compute.networkViewer`) Rôle d'administrateur de sécurité Compute (`roles/compute.securityAdmin`) Rôle de lecteur Compute (`roles/compute.viewer`) Pour en savoir plus, consultez Rôles IAM pour l'utilisation de stratégies de pare-feu réseau globales.	`compute.networks.getEffectiveFirewalls` `compute.networks.getRegionEffectiveFirewalls`
	Afficher les stratégies de pare-feu efficaces pour une VM dans un réseau	L'un des rôles suivants pour la VM : Rôle Administrateur d'instances Compute (`roles/compute.instanceAdmin`) Rôle d'agent de service du gestionnaire de groupe d'instances (`roles/compute.instanceGroupManagerServiceAgent`) Rôle d'administrateur de sécurité Compute (`roles/compute.securityAdmin`) Rôle de lecteur Compute (`roles/compute.viewer`) Pour en savoir plus, consultez Rôles IAM pour l'utilisation de stratégies de pare-feu réseau globales.	`compute.instances.getEffectiveFirewalls`
Stratégies de pare-feu réseau régionales	Pour en savoir plus sur les rôles et autorisations IAM qui régissent les actions de création et de gestion des stratégies de pare-feu réseau régionales, consultez Créer des stratégies et des règles de pare-feu réseau régionales et Gérer les stratégies de pare-feu réseau régionales.
Règles de pare-feu VPC	Créer une règle de pare-feu VPC	Rôle d'administrateur de sécurité Compute (`roles/compute.securityAdmin`)	`compute.firewalls.create`
	Modifier une règle de pare-feu VPC	Rôle d'administrateur de sécurité Compute (`roles/compute.securityAdmin`)	`compute.firewalls.update`
	Afficher la liste des règles de pare-feu VPC	Rôle de lecteur de réseau Compute (`roles/compute.networkViewer`)	`compute.firewalls.list`
	Afficher les détails d'une règle de pare-feu VPC	Rôle de lecteur de réseau Compute (`roles/compute.networkViewer`)	`compute.firewalls.get`
	Supprimer une règle de pare-feu VPC	Rôle d'administrateur de sécurité Compute (`roles/compute.securityAdmin`)	`compute.firewalls.delete`
Groupes d'adresses	Créer et gérer des groupes d'adresses	Rôle d'administrateur de réseaux Compute (`roles/compute.networkAdmin`)	`networksecurity.addressGroups.*`
Groupes d'adresses	Découvrir et afficher des groupes d'adresses	Rôle d'utilisateur de réseau Compute (`roles/compute.networkUser`)	`networksecurity.addressGroups.list` `networksecurity.addressGroups.get` `networksecurity.addressGroups.use`
Profils de sécurité	Créer un profil de sécurité	L'un des rôles suivants : Rôle d'administrateur réseau Compute (`roles/compute.networkAdmin`) Rôle Administrateur de profil de sécurité (bêta) (`roles/networksecurity.securityProfileAdmin`) attribué au niveau de l'organisation pour les profils de sécurité au niveau de l'organisation, et au niveau du projet ou de l'organisation pour les profils de sécurité au niveau du projet	`networksecurity.securityProfiles.create`
	Modifier un profil de sécurité	L'un des rôles suivants : Rôle d'administrateur réseau Compute (`roles/compute.networkAdmin`) Rôle Administrateur de profil de sécurité (bêta) (`roles/networksecurity.securityProfileAdmin`) attribué au niveau de l'organisation pour les profils de sécurité au niveau de l'organisation, et au niveau du projet ou de l'organisation pour les profils de sécurité au niveau du projet	`networksecurity.securityProfiles.update`
	Supprimer un profil de sécurité	L'un des rôles suivants : Rôle d'administrateur réseau Compute (`roles/compute.networkAdmin`) Rôle Administrateur de profil de sécurité (bêta) (`roles/networksecurity.securityProfileAdmin`) attribué au niveau de l'organisation pour les profils de sécurité au niveau de l'organisation, et au niveau du projet ou de l'organisation pour les profils de sécurité au niveau du projet	`networksecurity.securityProfiles.delete`
	Afficher les détails d'un profil de sécurité dans une organisation ou un projet	L'un des rôles suivants : Rôle d'administrateur réseau Compute (`roles/compute.networkAdmin`) Rôle Administrateur de profil de sécurité (bêta) (`roles/networksecurity.securityProfileAdmin`) attribué au niveau de l'organisation pour les profils de sécurité au niveau de l'organisation, et au niveau du projet ou de l'organisation pour les profils de sécurité au niveau du projet Rôle d'utilisateur de réseau Compute (`roles/compute.networkUser`) Rôle de lecteur réseau Compute (`roles/compute.networkViewer`)	`networksecurity.securityProfiles.get`
	Afficher tous les profils de sécurité d'une organisation ou d'un projet	L'un des rôles suivants : Rôle d'administrateur réseau Compute (`roles/compute.networkAdmin`) Rôle Administrateur de profil de sécurité (bêta) (`roles/networksecurity.securityProfileAdmin`) attribué au niveau de l'organisation pour les profils de sécurité au niveau de l'organisation, et au niveau du projet ou de l'organisation pour les profils de sécurité au niveau du projet Rôle d'utilisateur de réseau Compute (`roles/compute.networkUser`) Rôle de lecteur réseau Compute (`roles/compute.networkViewer`)	`networksecurity.securityProfiles.list`
	Utiliser un profil de sécurité dans un groupe de profils de sécurité	L'un des rôles suivants : Rôle d'administrateur réseau Compute (`roles/compute.networkAdmin`) Rôle Administrateur de profil de sécurité (bêta) (`roles/networksecurity.securityProfileAdmin`) attribué au niveau de l'organisation pour les profils de sécurité au niveau de l'organisation, et au niveau du projet ou de l'organisation pour les profils de sécurité au niveau du projet Rôle d'utilisateur de réseau Compute (`roles/compute.networkUser`)	`networksecurity.securityProfiles.use`
Groupes de profils de sécurité	Créer un groupe de profils de sécurité	L'un des rôles suivants : Rôle d'administrateur réseau Compute (`roles/compute.networkAdmin`) Rôle d'administrateur de profil de sécurité (bêta) (`roles/networksecurity.securityProfileAdmin`) accordé au niveau de l'organisation pour les groupes de profils de sécurité au niveau de l'organisation, et au niveau du projet ou de l'organisation pour les groupes de profils de sécurité au niveau du projet	`networksecurity.securityProfileGroups.create`
	Modifier un groupe de profils de sécurité	L'un des rôles suivants : Rôle d'administrateur réseau Compute (`roles/compute.networkAdmin`) Rôle d'administrateur de profil de sécurité (bêta) (`roles/networksecurity.securityProfileAdmin`) accordé au niveau de l'organisation pour les groupes de profils de sécurité au niveau de l'organisation, et au niveau du projet ou de l'organisation pour les groupes de profils de sécurité au niveau du projet	`networksecurity.securityProfileGroups.update`
	Supprimer un groupe de profils de sécurité	L'un des rôles suivants : Rôle d'administrateur réseau Compute (`roles/compute.networkAdmin`) Rôle d'administrateur de profil de sécurité (bêta) (`roles/networksecurity.securityProfileAdmin`) accordé au niveau de l'organisation pour les groupes de profils de sécurité au niveau de l'organisation, et au niveau du projet ou de l'organisation pour les groupes de profils de sécurité au niveau du projet	`networksecurity.securityProfileGroups.delete`
	Afficher les détails du groupe de profils de sécurité d'une organisation et d'un projet	L'un des rôles suivants : Rôle d'administrateur réseau Compute (`roles/compute.networkAdmin`) Rôle d'administrateur de profil de sécurité (bêta) (`roles/networksecurity.securityProfileAdmin`) accordé au niveau de l'organisation pour les groupes de profils de sécurité au niveau de l'organisation, et au niveau du projet ou de l'organisation pour les groupes de profils de sécurité au niveau du projet Rôle d'utilisateur de réseau Compute (`roles/compute.networkUser`) Rôle de lecteur réseau Compute (`roles/compute.networkViewer`)	`networksecurity.securityProfileGroups.get`
	Afficher tous les groupes de profils de sécurité d'une organisation et d'un projet	L'un des rôles suivants : Rôle d'administrateur réseau Compute (`roles/compute.networkAdmin`) Rôle d'administrateur de profil de sécurité (bêta) (`roles/networksecurity.securityProfileAdmin`) accordé au niveau de l'organisation pour les groupes de profils de sécurité au niveau de l'organisation, et au niveau du projet ou de l'organisation pour les groupes de profils de sécurité au niveau du projet Rôle d'utilisateur de réseau Compute (`roles/compute.networkUser`) Rôle de lecteur réseau Compute (`roles/compute.networkViewer`)	`networksecurity.securityProfileGroups.list`
	Utiliser un groupe de profils de sécurité dans une règle de stratégie de pare-feu	L'un des rôles suivants : Rôle d'administrateur réseau Compute (`roles/compute.networkAdmin`) Rôle d'administrateur de profil de sécurité (bêta) (`roles/networksecurity.securityProfileAdmin`) accordé au niveau de l'organisation pour les groupes de profils de sécurité au niveau de l'organisation, et au niveau du projet ou de l'organisation pour les groupes de profils de sécurité au niveau du projet Rôle d'utilisateur de réseau Compute (`roles/compute.networkUser`)	`networksecurity.securityProfileGroups.use`
Points de terminaison de pare-feu	Créer un point de terminaison de pare-feu	L'un des rôles suivants : Rôle d'administrateur réseau Compute (`roles/compute.networkAdmin`) Rôle d'administrateur de point de terminaison de pare-feu (bêta) (`roles/networksecurity.firewallEndpointAdmin`) attribué au niveau de l'organisation pour les points de terminaison de pare-feu au niveau de l'organisation, et au niveau du projet ou de l'organisation pour les points de terminaison de pare-feu au niveau du projet	`networksecurity.firewallEndpoints.create`
	Modifier un point de terminaison de pare-feu	L'un des rôles suivants : Rôle d'administrateur réseau Compute (`roles/compute.networkAdmin`) Rôle d'administrateur de point de terminaison de pare-feu (bêta) (`roles/networksecurity.firewallEndpointAdmin`) attribué au niveau de l'organisation pour les points de terminaison de pare-feu au niveau de l'organisation, et au niveau du projet ou de l'organisation pour les points de terminaison de pare-feu au niveau du projet	`networksecurity.firewallEndpoints.update`
	Supprimer un point de terminaison de pare-feu	L'un des rôles suivants : Rôle d'administrateur réseau Compute (`roles/compute.networkAdmin`) Rôle d'administrateur de point de terminaison de pare-feu (bêta) (`roles/networksecurity.firewallEndpointAdmin`) attribué au niveau de l'organisation pour les points de terminaison de pare-feu au niveau de l'organisation, et au niveau du projet ou de l'organisation pour les points de terminaison de pare-feu au niveau du projet	`networksecurity.firewallEndpoints.delete`
	Afficher les détails du point de terminaison de pare-feu	L'un des rôles suivants : Rôle d'administrateur réseau Compute (`roles/compute.networkAdmin`) Rôle d'administrateur de point de terminaison de pare-feu (bêta) (`roles/networksecurity.firewallEndpointAdmin`) attribué au niveau de l'organisation pour les points de terminaison de pare-feu au niveau de l'organisation, et au niveau du projet ou de l'organisation pour les points de terminaison de pare-feu au niveau du projet Rôle d'utilisateur de réseau Compute (`roles/compute.networkUser`) Rôle de lecteur réseau Compute (`roles/compute.networkViewer`)	`networksecurity.firewallEndpoints.get`
	Afficher tous les points de terminaison de pare-feu	L'un des rôles suivants : Rôle d'administrateur réseau Compute (`roles/compute.networkAdmin`) Rôle d'administrateur de point de terminaison de pare-feu (bêta) (`roles/networksecurity.firewallEndpointAdmin`) attribué au niveau de l'organisation pour les points de terminaison de pare-feu au niveau de l'organisation, et au niveau du projet ou de l'organisation pour les points de terminaison de pare-feu au niveau du projet Rôle d'utilisateur de réseau Compute (`roles/compute.networkUser`) Rôle de lecteur réseau Compute (`roles/compute.networkViewer`)	`networksecurity.firewallEndpoints.list`
Associations de points de terminaison de pare-feu	Créer une association de point de terminaison de pare-feu	L'un des rôles suivants : Rôle d'administrateur réseau Compute (`roles/compute.networkAdmin`) Rôle d'administrateur de point de terminaison de pare-feu (bêta) (`roles/networksecurity.firewallEndpointAdmin`) attribué au niveau de l'organisation pour les associations de points de terminaison de pare-feu au niveau de l'organisation, et au niveau du projet ou de l'organisation pour les associations de points de terminaison de pare-feu au niveau du projet Rôle d'utilisateur de réseau Compute (`roles/compute.networkUser`)	`networksecurity.firewallEndpointAssociations.create` `networksecurity.firewallEndpoints.use` sur l'organisation ou le projet dans lequel le point de terminaison de pare-feu est créé
	Modifier une association de point de terminaison de pare-feu	L'un des rôles suivants : Rôle d'administrateur réseau Compute (`roles/compute.networkAdmin`) Rôle d'administrateur de point de terminaison de pare-feu (bêta) (`roles/networksecurity.firewallEndpointAdmin`) attribué au niveau de l'organisation pour les associations de points de terminaison de pare-feu au niveau de l'organisation, et au niveau du projet ou de l'organisation pour les associations de points de terminaison de pare-feu au niveau du projet	`networksecurity.firewallEndpointAssociations.update`
	Supprimer une association de point de terminaison de pare-feu	L'un des rôles suivants : Rôle d'administrateur réseau Compute (`roles/compute.networkAdmin`) Rôle d'administrateur de point de terminaison de pare-feu (bêta) (`roles/networksecurity.firewallEndpointAdmin`) attribué au niveau de l'organisation pour les associations de points de terminaison de pare-feu au niveau de l'organisation, et au niveau du projet ou de l'organisation pour les associations de points de terminaison de pare-feu au niveau du projet	`networksecurity.firewallEndpointAssociations.delete`
	Afficher les détails de l'association de points de terminaison de pare-feu	L'un des rôles suivants : Rôle d'administrateur réseau Compute (`roles/compute.networkAdmin`) Rôle d'administrateur de point de terminaison de pare-feu (bêta) (`roles/networksecurity.firewallEndpointAdmin`) attribué au niveau de l'organisation pour les associations de points de terminaison de pare-feu au niveau de l'organisation, et au niveau du projet ou de l'organisation pour les associations de points de terminaison de pare-feu au niveau du projet Rôle d'utilisateur de réseau Compute (`roles/compute.networkUser`) Rôle de lecteur réseau Compute (`roles/compute.networkViewer`)	`networksecurity.firewallEndpointAssociations.get`
	Afficher toutes les associations de points de terminaison de pare-feu	L'un des rôles suivants : Rôle d'administrateur réseau Compute (`roles/compute.networkAdmin`) Rôle d'administrateur de point de terminaison de pare-feu (bêta) (`roles/networksecurity.firewallEndpointAdmin`) attribué au niveau de l'organisation pour les associations de points de terminaison de pare-feu au niveau de l'organisation, et au niveau du projet ou de l'organisation pour les associations de points de terminaison de pare-feu au niveau du projet. Rôle d'utilisateur de réseau Compute (`roles/compute.networkUser`) Rôle de lecteur réseau Compute (`roles/compute.networkViewer`)	`networksecurity.firewallEndpointAssociations.list`
Tags sécurisés	Pour en savoir plus sur les rôles et les autorisations IAM dont vous avez besoin pour créer et gérer des tags sécurisés, consultez Gérer les tags sur les ressources.
Mises à jour groupées des règles de stratégie de pare-feu	Exporter les règles de stratégie de pare-feu hiérarchique	L'un des rôles suivants : Rôle d'administrateur de stratégie de pare-feu de l'organisation Compute (`roles/compute.orgFirewallPolicyAdmin`) Rôle d'utilisateur de stratégie de pare-feu de l'organisation Compute (`roles/compute.orgFirewallPolicyUser`)	`compute.firewallPolicies.get`
	Importer les règles de stratégie de pare-feu hiérarchique	L'un des rôles suivants : Rôle d'administrateur de stratégie de pare-feu de l'organisation Compute (`roles/compute.orgFirewallPolicyAdmin`) Rôle d'utilisateur de stratégie de pare-feu de l'organisation Compute (`roles/compute.orgFirewallPolicyUser`)	`compute.firewallPolicies.update`
	Exporter les règles de stratégie de pare-feu réseau mondiales	L'un des rôles suivants : Rôle d'administrateur de sécurité Compute (`roles/compute.securityAdmin`) Rôle d'administrateur réseau Compute (`roles/compute.networkAdmin`)	`compute.firewallPolicies.get`
	Exporter les règles de stratégie de pare-feu réseau régional	L'un des rôles suivants : Rôle d'administrateur de sécurité Compute (`roles/compute.securityAdmin`) Rôle d'administrateur réseau Compute (`roles/compute.networkAdmin`)	`compute.regionFirewallPolicies.get`
	Importer les règles de stratégie de pare-feu réseau mondiales	L'un des rôles suivants : Rôle d'administrateur de sécurité Compute (`roles/compute.securityAdmin`) Rôle d'administrateur réseau Compute (`roles/compute.networkAdmin`)	`compute.firewallPolicies.update`
	Importer les règles de stratégie de pare-feu réseau régionales	L'un des rôles suivants : Rôle d'administrateur de sécurité Compute (`roles/compute.securityAdmin`) Rôle d'administrateur réseau Compute (`roles/compute.networkAdmin`)	`compute.regionFirewallPolicies.update`

Rôles IAM pour l'utilisation de stratégies de pare-feu hiérarchiques

Les rôles suivants sont pertinents pour les stratégies de pare-feu hiérarchiques.

Nom de rôle	Description
Rôle d'administrateur de stratégie de pare-feu de l'organisation Compute (`roles/compute.orgFirewallPolicyAdmin`)	Peut être accordé sur une ressource ou sur une stratégie individuelle. Si cette autorisation est accordée à une ressource, les utilisateurs peuvent créer, mettre à jour et supprimer des stratégies de pare-feu hiérarchiques, ainsi que leurs règles. Si elle est accordée à une stratégie individuelle, elle permet à l'utilisateur de mettre à jour les règles des stratégies, mais pas de créer ni de supprimer la stratégie. Ce rôle permet également à l'utilisateur d'associer une stratégie à une ressource s'il possède également le rôle `compute.orgSecurityResourceAdmin` sur cette ressource.
Rôle d'administrateur des ressources de l'organisation Compute (`roles/compute.orgSecurityResourceAdmin`)	Accordé au niveau de l'organisation ou à un dossier, ce rôle permet aux administrateurs au niveau du dossier d'associer une stratégie à cette ressource. Les administrateurs doivent également disposer du rôle `compute.orgFirewallPolicyUser` ou `compute.orgFirewallPolicyAdmin` sur la ressource qui possède la règle ou sur la règle elle-même pour pouvoir l'utiliser.
Rôle d'utilisateur de stratégie de pare-feu de l'organisation Compute (`roles/compute.orgFirewallPolicyUser`)	Accordé sur une ressource ou sur une stratégie individuelle, ce rôle permet aux administrateurs d'utiliser la ou les stratégies individuelles associées à la ressource. Les utilisateurs doivent également disposer du rôle `compute.orgSecurityResourceAdmin` sur la ressource cible pour associer une stratégie à cette ressource.
Rôle Administrateur de sécurité de Compute (`roles/compute.securityAdmin`) Rôle Lecteur Compute (`roles/compute.viewer`) Rôle Utilisateur de réseau Compute (`roles/compute.networkUser`) Rôle Lecteur de réseau Compute (`roles/compute.networkViewer`)	Permet aux utilisateurs d'afficher les règles de pare-feu appliquées au réseau ou à l'instance. Fournit l'autorisation `compute.networks.getEffectiveFirewalls` pour les réseaux et l'autorisation `compute.instances.getEffectiveFirewalls` pour les instances.

Remarque : Les versions preview des stratégies de pare-feu hiérarchiques utilisaient les rôles IAM compute.orgSecurityPolicyAdmin et compute.orgSecurityPolicyUser. Ces rôles combinaient les autorisations pour les stratégies de pare-feu hiérarchiques et Google Cloud Armor. Pour séparer ces autorisations, nous effectuons une migration vers les rôles compute.orgFirewallPolicyAdmin et compute.orgFirewallPolicyUser pour les stratégies de pare-feu hiérarchiques. Les rôles précédents continuent de fonctionner, mais nous vous recommandons de migrer vers les nouveaux rôles dès que possible.

Dans l'exemple suivant, Jean peut créer, modifier et supprimer une stratégie de pare-feu hiérarchique dans le dossier policies, mais il ne peut pas associer la stratégie de pare-feu hiérarchique à un dossier, car il ne dispose du rôle orgSecurityResourceAdmin sur aucun dossier.

Cependant, comme Jean a accordé à Marie l'autorisation d'utiliser policy-1, elle peut répertorier et associer cette stratégie de pare-feu hiérarchique au dossier dev-projects ou à l'un de ses descendants. Le rôle orgFirewallPolicyUser n'accorde pas l'autorisation d'associer les stratégies à des dossiers. Pour cela, l'utilisateur doit également disposer du rôle orgSecurityResourceAdmin sur le dossier cible.

Rôles IAM pour l'utilisation des stratégies de pare-feu réseau mondiales

Les rôles suivants sont pertinents pour les stratégies de pare-feu réseau au niveau mondial.

Nom de rôle	Description
Rôle d'administrateur de sécurité Compute (`roles/compute.securityAdmin`)	Peut être attribué au niveau du projet ou de la stratégie. Si ce rôle est accordé pour un projet, permet aux utilisateurs de créer, de mettre à jour et de supprimer des stratégies de pare-feu réseau au niveau mondial et leurs règles. Au niveau des stratégies, permet aux utilisateurs de mettre à jour les règles de stratégie, mais pas de les créer ni de les supprimer. Ce rôle permet également aux utilisateurs d'associer une stratégie à un réseau.
Rôle d'administrateur réseau Compute (`roles/compute.networkAdmin`)	Accordé au niveau du projet ou du réseau. Si ce rôle est accordé pour un réseau, il permet aux utilisateurs d'afficher la liste des stratégies de pare-feu réseau au niveau mondial.
Rôle Lecteur Compute (`roles/compute.viewer`) Rôle Utilisateur de réseau Compute (`roles/compute.networkUser`) Rôle Lecteur de réseau Compute (`roles/compute.networkViewer`)	Permet aux utilisateurs d'afficher les règles de pare-feu appliquées au réseau ou à l'instance. Fournit l'autorisation `compute.networks.getEffectiveFirewalls` pour les réseaux et l'autorisation `compute.instances.getEffectiveFirewalls` pour les instances.