Cloud NGFW 的 IAM 角色和權限
使用搜尋列搜尋特定工作、角色或權限，或從下拉式選單中選取工作類別來篩選清單。
| 工作類別 | 工作或能力 | 必要角色 | 所需權限 |
|---|---|---|---|
| 階層式防火牆政策 | 建立新的階層式防火牆政策 | 在政策所在的資源上，具備 Compute 組織防火牆政策管理員角色 (roles/compute.orgFirewallPolicyAdmin)詳情請參閱「使用階層式防火牆政策的 IAM 角色」。 |
compute.firewallPolicies.create |
| 將政策與資源建立關聯 | 下列任一組角色：
詳情請參閱「使用階層式防火牆政策的 IAM 角色」。 |
compute.firewallPolicies.usecompute.organizations.setFirewallPolicy |
|
| 新增、更新或刪除政策防火牆規則，藉此修改政策 | Compute 組織防火牆政策管理員角色 (roles/compute.orgFirewallPolicyAdmin)，適用於政策所在的資源或政策本身詳情請參閱「使用階層式防火牆政策的 IAM 角色」。 |
compute.firewallPolicies.update |
|
| 刪除政策 | Compute 組織防火牆政策管理員角色 (roles/compute.orgFirewallPolicyAdmin)，適用於政策所在的資源或政策本身詳情請參閱「使用階層式防火牆政策的 IAM 角色」。 |
compute.firewallPolicies.delete |
|
| 查看虛擬私有雲 (VPC) 網路的有效防火牆規則 | 具備下列任一網路角色：
詳情請參閱「使用階層式防火牆政策的 IAM 角色」。 |
compute.networks.getEffectiveFirewallscompute.networks.getRegionEffectiveFirewalls |
|
| 查看網路中 VM 的有效防火牆規則 | VM 的下列任一角色：
詳情請參閱「使用階層式防火牆政策的 IAM 角色」。 |
compute.instances.getEffectiveFirewalls |
|
| 全域網路防火牆政策 | 建立新的全域網路防火牆政策 | 在政策所屬專案中具備 Compute 安全管理員角色 (roles/compute.securityAdmin)詳情請參閱「使用全域網路防火牆政策的 IAM 角色」。 |
compute.firewallPolicies.create |
| 將政策與網路建立關聯 | 在政策所在的專案中，具備 Compute 網路管理員角色 (roles/compute.networkAdmin)詳情請參閱「使用全域網路防火牆政策的 IAM 角色」。 |
compute.firewallPolicies.usecompute.networks.setFirewallPolicy |
|
| 新增、更新或刪除政策防火牆規則，藉此修改政策 | 在政策所在的專案中，具備 Compute 安全管理員角色 (roles/compute.securityAdmin)詳情請參閱「使用全域網路防火牆政策的 IAM 角色」。 |
compute.firewallPolicies.update |
|
| 刪除政策 | 在政策所在的專案中，具備 Compute 安全管理員角色 (roles/compute.securityAdmin)詳情請參閱「使用全域網路防火牆政策的 IAM 角色」。 |
compute.firewallPolicies.delete |
|
| 查看虛擬私有雲網路的有效防火牆規則 | 具備下列任一網路角色：
詳情請參閱「使用全域網路防火牆政策的 IAM 角色」。 |
compute.networks.getEffectiveFirewallscompute.networks.getRegionEffectiveFirewalls |
|
| 查看網路中 VM 的有效防火牆規則 | VM 的下列任一角色：
詳情請參閱「使用全域網路防火牆政策的 IAM 角色」。 |
compute.instances.getEffectiveFirewalls |
|
| 區域性防火牆政策 | 如要瞭解建立及管理區域網路防火牆政策時，哪些動作受 IAM 角色和權限控管，請參閱「建立區域網路防火牆政策和規則」和「管理區域網路防火牆政策」。 | ||
| 虛擬私有雲防火牆規則 | 建立虛擬私有雲防火牆規則 | Compute 安全管理員角色 ( roles/compute.securityAdmin) |
compute.firewalls.create |
| 修改虛擬私有雲防火牆規則 | Compute 安全管理員角色 ( roles/compute.securityAdmin) |
compute.firewalls.update |
|
| 查看虛擬私有雲防火牆規則清單 | Compute 網路檢視者角色 ( roles/compute.networkViewer) |
compute.firewalls.list |
|
| 查看虛擬私有雲防火牆規則的詳細資料 | Compute 網路檢視者角色 ( roles/compute.networkViewer) |
compute.firewalls.get |
|
| 刪除虛擬私有雲防火牆規則 | Compute 安全管理員角色 ( roles/compute.securityAdmin) |
compute.firewalls.delete |
|
| 位址群組 | 建立及管理位址群組 | Compute 網路管理員角色 ( roles/compute.networkAdmin) |
networksecurity.addressGroups.* |
| 探索及查看位址群組 | Compute 網路使用者角色 ( roles/compute.networkUser) |
networksecurity.addressGroups.listnetworksecurity.addressGroups.getnetworksecurity.addressGroups.use |
|
| 安全性設定檔 | 建立安全性設定檔 | 下列任一角色：
|
networksecurity.securityProfiles.create |
| 修改安全性設定檔 | 下列任一角色：
|
networksecurity.securityProfiles.update |
|
| 刪除安全性設定檔 | 下列任一角色：
|
networksecurity.securityProfiles.delete |
|
| 查看組織或專案中安全性設定檔的詳細資料 | 下列任一角色：
|
networksecurity.securityProfiles.get |
|
| 查看組織或專案中的所有安全性設定檔 | 下列任一角色：
|
networksecurity.securityProfiles.list |
|
| 使用安全性設定檔群組中的安全性設定檔 | 下列任一角色：
|
networksecurity.securityProfiles.use |
|
| 安全性設定檔群組 | 建立安全性設定檔群組 | 下列任一角色：
|
networksecurity.securityProfileGroups.create |
| 修改安全性設定檔群組 | 下列任一角色：
|
networksecurity.securityProfileGroups.update |
|
| 刪除安全性設定檔群組 | 下列任一角色：
|
networksecurity.securityProfileGroups.delete |
|
| 查看組織和專案中安全性設定檔群組的詳細資料 | 下列任一角色：
|
networksecurity.securityProfileGroups.get |
|
| 查看組織和專案中的所有安全性設定檔群組 | 下列任一角色：
|
networksecurity.securityProfileGroups.list |
|
| 在防火牆政策規則中使用安全性設定檔群組 | 下列任一角色：
|
networksecurity.securityProfileGroups.use |
|
| 防火牆端點 | 建立防火牆端點 | 下列任一角色：
|
networksecurity.firewallEndpoints.create |
| 修改防火牆端點 | 下列任一角色：
|
networksecurity.firewallEndpoints.update |
|
| 刪除防火牆端點 | 下列任一角色：
|
networksecurity.firewallEndpoints.delete |
|
| 查看防火牆端點的詳細資料 | 下列任一角色：
|
networksecurity.firewallEndpoints.get |
|
| 查看所有防火牆端點 | 下列任一角色：
|
networksecurity.firewallEndpoints.list |
|
| 防火牆端點關聯 | 建立防火牆端點關聯 | 下列任一角色：
|
在建立防火牆端點的組織或專案中，具備 networksecurity.firewallEndpointAssociations.createnetworksecurity.firewallEndpoints.use 權限 |
| 修改防火牆端點關聯 | 下列任一角色：
|
networksecurity.firewallEndpointAssociations.update |
|
| 刪除防火牆端點關聯 | 下列任一角色：
|
networksecurity.firewallEndpointAssociations.delete |
|
| 查看防火牆端點關聯的詳細資料 | 下列任一角色：
|
networksecurity.firewallEndpointAssociations.get |
|
| 查看所有防火牆端點關聯 | 下列任一角色：
|
networksecurity.firewallEndpointAssociations.list |
|
| 安全標記 | 如要瞭解建立及管理安全標記所需的 IAM 角色和權限，請參閱「管理資源標記」。 | ||
| 批次更新防火牆政策規則 | 匯出階層式防火牆政策規則 | 下列任一角色：
|
compute.firewallPolicies.get |
| 匯入階層式防火牆政策規則 | 下列任一角色：
|
compute.firewallPolicies.update |
|
| 匯出全域網路防火牆政策規則 | 下列任一角色：
|
compute.firewallPolicies.get |
|
| 匯出區域網路防火牆政策規則 | 下列任一角色：
|
compute.regionFirewallPolicies.get |
|
| 匯入全域網路防火牆政策規則 | 下列任一角色：
|
compute.firewallPolicies.update |
|
| 匯入區域網路防火牆政策規則 | 下列任一角色：
|
compute.regionFirewallPolicies.update |
|
使用階層式防火牆政策的 IAM 角色
下列角色與階層式防火牆政策相關。
| 角色名稱 | 說明 |
|---|---|
Compute 組織防火牆政策管理員角色 (roles/compute.orgFirewallPolicyAdmin)
|
可授予資源或個別政策。如果是在資源層級授予，使用者可以建立、更新及刪除階層式防火牆政策和相關規則。如果是在個別政策上授予，使用者可以更新政策規則，但無法建立或刪除政策。如果使用者同時具備該資源的 compute.orgSecurityResourceAdmin 角色，則這個角色也允許使用者將政策與資源建立關聯。 |
Compute 組織資源管理員角色 (roles/compute.orgSecurityResourceAdmin)
|
在組織層級或資料夾授予，允許資料夾層級管理員將政策與該資源建立關聯。管理員也必須具備政策所屬資源或政策本身的 compute.orgFirewallPolicyUser 或 compute.orgFirewallPolicyAdmin 角色，才能使用政策。 |
Compute 組織防火牆政策使用者角色 (roles/compute.orgFirewallPolicyUser)
|
在資源或個別政策中授予，可讓管理員使用與資源相關聯的個別政策。使用者也必須具備目標資源的 compute.orgSecurityResourceAdmin 角色，才能將政策與該資源建立關聯。 |
Compute 安全管理員角色 (roles/compute.securityAdmin)Compute 檢視者角色 ( roles/compute.viewer)Compute 網路使用者角色 ( roles/compute.networkUser)Compute 網路檢視者角色 ( roles/compute.networkViewer) |
可讓使用者查看套用至網路或執行個體的防火牆規則。 包含網路的 compute.networks.getEffectiveFirewalls 權限和執行個體的 compute.instances.getEffectiveFirewalls 權限。 |
注意：階層式防火牆政策的預先發布版使用 compute.orgSecurityPolicyAdmin 和 compute.orgSecurityPolicyUser IAM 角色。這些角色結合了階層式防火牆政策和 Google Cloud Armor 的權限。為了區分這些權限，我們將階層式防火牆政策遷移至 compute.orgFirewallPolicyAdmin 和 compute.orgFirewallPolicyUser 角色。先前的角色仍可運作，但建議您盡快改用新角色。
在以下範例中，Joe 可以建立、修改及刪除 policies 資料夾中的任何階層式防火牆政策，但無法將階層式防火牆政策附加至資料夾，因為他對任何資料夾都沒有 orgSecurityResourceAdmin 角色。
不過，由於 Joe 授予 Mary 使用 policy-1 的權限，因此 Mary 可以列出該階層式防火牆政策，並將其與 dev-projects 資料夾或其任何子項建立關聯。orgFirewallPolicyUser 角色不會授予將政策與任何資料夾建立關聯的權限，使用者也必須具備目標資料夾的 orgSecurityResourceAdmin 角色。
使用全域網路防火牆政策的 IAM 角色
下列角色與全域網路防火牆政策有關。
| 角色名稱 | 說明 |
|---|---|
Compute 安全管理員角色 (roles/compute.securityAdmin)
|
可在專案或政策層級授予。如果是在專案層級授予，使用者可以建立、更新及刪除全域網路防火牆政策和相關規則。在政策層級，可讓使用者更新政策規則，但無法建立或刪除政策。此外，使用者也可以透過這個角色將政策與網路建立關聯。 |
Compute 網路管理員角色 (roles/compute.networkAdmin) |
在專案或網路層級授予。如果授予網路，使用者可以查看全域網路防火牆政策清單。 |
Compute 檢視者角色 (roles/compute.viewer)Compute 網路使用者角色 ( roles/compute.networkUser)Compute 網路檢視者角色 ( roles/compute.networkViewer) |
可讓使用者查看套用至網路或執行個體的防火牆規則。 包含網路的 compute.networks.getEffectiveFirewalls 權限和執行個體的 compute.instances.getEffectiveFirewalls 權限。 |