Vordefinierte Rollenvorschläge mit Gemini-Unterstützung erhalten

Auf dieser Seite wird beschrieben, wie Sie mit Gemini-Unterstützung vordefinierte IAM-Rollen (Identity and Access Management) für Ihre Hauptkonten finden und zuweisen.

Mit der IAM-Rollenauswahl können Sie Gemini fragen, welche Rollen Sie Ihren Hauptkonten zuweisen sollten. Normalerweise müssen Sie im Index für IAM-Rollen und ‑Berechtigungen oder auf der Seite Rollen in derCloud de Confiance Console nach den richtigen vordefinierten Rollen suchen, die Sie zuweisen möchten. Mit der IAM-Rollenauswahl können Sie die Aktionen beschreiben, die das Hauptkonto ausführen soll, und die Ressourcen, die dafür erforderlich sind. Gemini schlägt anhand Ihrer Eingabe die vordefinierten Rollen vor, die es für angemessen hält.

Gemini kann vordefinierte Rollen für einzelne Hauptkonten vorschlagen. Wenn Gemini vorschlägt, eine Rolle auf Projektebene zuzuweisen, können Sie die Rollenauswahl für IAM verwenden, um diese Rolle zuzuweisen.

Sie können die IAM-Rollenauswahl nicht verwenden, um Vorschläge für Folgendes zu erhalten:

• Benutzerdefinierte Rollen
• Rollen für mehrere Identitäten (mit einem einzigen Prompt)
• Rollen für Google Workspace-Produkte wie Google Sheets und Google Docs

Weitere Informationen dazu, wie und wann Gemini for Cloud de Confiance Ihre Daten verwendet

Hinweis

Bevor Sie vordefinierte Rollenvorschläge von Gemini erhalten können, müssen Sie die folgenden Voraussetzungen erfüllen.

Erforderliche Rollen

Bitten Sie Ihren Administrator, Ihnen die folgenden IAM-Rollen für das Projekt zuzuweisen, damit Sie die nötigen Berechtigungen für die Verwendung der IAM-Rollenauswahl haben:

• Rollenempfehlungen in der Konsole abrufen: Projekt-IAM-Administrator (roles/resourcemanager.projectIamAdmin)
• Benutzerdefinierte Rollenvorschläge mit der API abrufen: IAM-Betrachter (roles/iam.viewer)

Weitere Informationen zum Zuweisen von Rollen finden Sie unter Zugriff auf Projekte, Ordner und Organisationen verwalten.

Diese vordefinierten Rollen enthalten die Berechtigungen, die zum Verwenden der IAM-Rollenauswahl erforderlich sind. Maximieren Sie den Abschnitt Erforderliche Berechtigungen, um die notwendigen Berechtigungen anzuzeigen:

Sie können diese Berechtigungen auch mit benutzerdefinierten Rollen oder anderen vordefinierten Rollen erhalten.

Rollenvorschläge mit Gemini-Unterstützung erhalten

Sie können Gemini über dieCloud de Confiance Console oder die Policy Assist REST API nach Rollenvorschlägen fragen.

POST https://policyassist.googleapis.com/v1/projects/PROJECT_ID/locations/global:recommendIamRoles

{
  "prompt": {
    "userInstructions": "USER_INSTRUCTIONS"
  }
}

curl -X POST \
     -H "Authorization: Bearer $(gcloud auth print-access-token)" \
     -H "Content-Type: application/json; charset=utf-8" \
     -d @request.json \
     "https://policyassist.googleapis.com/v1/projects/PROJECT_ID/locations/global:recommendIamRoles"

$cred = gcloud auth print-access-token
$headers = @{ "Authorization" = "Bearer $cred" }

Invoke-WebRequest `
    -Method POST `
    -Headers $headers `
    -ContentType: "application/json; charset=utf-8" `
    -InFile request.json `
    -Uri "https://policyassist.googleapis.com/v1/projects/PROJECT_ID/locations/global:recommendIamRoles" | Select-Object -Expand Content

{
  "summary": "",
  "recommendations": [
    {
      "type": "RECOMMENDATION_TYPE_PREDEFINED_ROLES",
      "roles": [
        {
          "name": "roles/storage.objectViewer",
          "roleType": "ROLE_TYPE_PREDEFINED",
          "grantableScopes": [
            "Projects",
            "Buckets"
          ]
        },
        {
          "name": "roles/storage.legacyBucketReader",
          "roleType": "ROLE_TYPE_PREDEFINED",
          "grantableScopes": [
            "Projects"
          ]
        }
      ],
      "intro": "The following roles match your description:"
      "detailedReasoning": "The roles/storage.objectViewer role grants permissions to view objects and their metadata. The roles/storage.legacyBucketReader grants broader read access to buckets and objects. Choose the one that best fits the principle of least privilege for your use case."
    }
  ]
}

Beispiele für Anwendungsfälle

In der folgenden Tabelle sind einige Beispielanwendungsfälle für die IAM-Rollenauswahl aufgeführt. Standardmäßig schlägt Gemini Rollen vor, die für gängige Nutzeraktionen in einem Dienst vorgesehen sind. Gemini schlägt beispielsweise häufig die Administrator-, Bearbeiter- oder Betrachterrollen eines Dienstes vor.

Wenn Sie möchten, dass Gemini die detailliertesten Rollen mit den geringsten Berechtigungen vorschlägt, müssen Sie diese Präferenz in Ihrem Prompt mit bestimmten Keywords angeben. Eine Liste der Keywords, die Sie verwenden können, finden Sie unter Keywords für Rollen mit geringsten Berechtigungen. Beachten Sie jedoch, dass Rollen mit den geringsten Berechtigungen möglicherweise nicht für die zukünftigen Anforderungen eines Nutzers ausreichen.

Best Practices

Damit Gemini möglichst genaue Vorschläge für Ihren Anwendungsfall machen kann, empfehlen wir Ihnen, beim Verfassen Ihres Prompts die folgenden Best Practices zu beachten.

• Beschreiben Sie Ihren Anwendungsfall klar. Vermeiden Sie vage Formulierungen in Ihren Prompts. Geben Sie so genau wie möglich an, welche Aktionen der Prinzipal für welche Dienste und Ressourcentypen ausführen soll. Wenn Gemini die Rollen mit den geringsten Berechtigungen vorschlagen soll, müssen Sie Ihren Prompt mit spezifischen Keywords erstellen, die Ihre Absicht beschreiben, das Prinzip der geringsten Berechtigung einzuhalten.

  Das sollten Sie tun	Nicht erlaubt	Details
  „Welche Rolle ist erforderlich, um SQL-Abfragen für eine BigQuery-Tabelle auszuführen und die Daten daraus zu lesen?“	„Welche Rolle ist zum Ausführen von SQL-Anweisungen erforderlich?“	SQL ist eine generische Sprache, die in mehreren Cloud de Confiance -Diensten verwendet wird. Ohne Angabe des Dienstes oder der Aktionen kann Gemini keine genaue Rolle vorschlagen.
  „Ich benötige Rollen, um Compute Engine-VM-Instanzen zu starten, zu beenden und neu zu starten.“	„Ich muss meine virtuellen Maschinen verwalten.“	Der Begriff verwalten ist zu vage. „Verwalten“ kann das Erstellen, Löschen, Aktualisieren oder Ansehen von VMs bedeuten. Wenn Sie die auszuführenden Aktionen (starten, beenden, neu starten) und den genauen Ressourcentyp (Compute Engine-VM-Instanzen) angeben, erhalten Sie genauere Vorschläge.
  „Ich muss Objekte in einen Cloud Storage-Bucket namens example-bucket hochladen und daraus herunterladen.“	„Gib mir Zugriff auf den Speicher.“	Der Begriff Speicher allein kann sich auf verschiedene Dienste wie Cloud Storage, Filestore oder Persistent Disk beziehen. Außerdem sind keine Aktionen angegeben. Wenn Sie den Dienst (Cloud Storage), den Ressourcentypnamen (example-bucket) oder die Aktionen (Objekte hochladen und herunterladen) nicht angeben, hat Gemini nicht genügend Informationen, um die richtigen Rollen vorzuschlagen.
  „Ich benötige die am wenigsten restriktive Rolle, die nur Listenzugriff auf Secret Manager bietet.“	„Ich benötige eingeschränkten Zugriff, um meine Secrets zu verwalten.“	Der Begriff eingeschränkter Zugriff definiert die erforderlichen Einschränkungen nicht eindeutig. Geheime Schlüssel verwalten umfasst eine Vielzahl von Aktionen (Versionen erstellen, auflisten, aktualisieren, löschen, darauf zugreifen). Ohne explizite Keywords wie least privilege (geringste Berechtigung) schlägt Gemini standardmäßig allgemeinere dienstspezifische Administrator-, Bearbeiter- oder Betrachterrollen vor.

• Offizielle Namen verwenden: Verwenden Sie in Ihrem Prompt die offiziellen Namen von Cloud de Confiance by S3NS -Diensten, Ressourcentypen und API-Vorgängen. Wenn Sie sich nicht sicher sind, wie die offiziellen Namen von Diensten, Ressourcentypen oder API-Vorgängen lauten, empfehlen wir, die offizielle Produktdokumentation zu lesen.

  Das sollten Sie tun	Nicht erlaubt	Details
  „Welche Rolle benötige ich, um BigQuery-Datasets zu aktualisieren?“	„Welche Rolle benötige ich, um BigQuery-Datasets zu aktualisieren?	BigQuery ist der offizielle Name des Produkts, nicht Big query.
  „Welche Rolle ist erforderlich, um einen Cloud Storage-Bucket in meinem Projekt zu erstellen?“	„Welche Rolle ist erforderlich, um einen Storage-Bucket in meinem Projekt zu erstellen?“	Speicher-Bucket kann sich auf verschiedene Ressourcentypen aus Diensten wie Cloud Storage, Filestore oder Persistent Disk beziehen. Wenn Sie den Produktnamen und den zugehörigen Ressourcentyp angeben, erhalten Sie genauere Vorschläge.

Schlüsselwörter für Rollen mit geringsten Berechtigungen

Wenn Sie von Gemini Rollenvorschläge benötigen, die dem Prinzip der geringsten Berechtigung entsprechen, müssen Sie bestimmte Keywords in Ihrem Prompt verwenden. Im Folgenden finden Sie eine unvollständige Liste von Keywords, mit denen Sie Rollen mit den geringsten Berechtigungen anfordern können:

• am wenigsten restriktiv
• sicherste
• kleinste Rolle
• geringste Berechtigung
• Mindestberechtigungen
• streng detailliert
• schmalster Zugang
• nur das absolute Minimum
• nur mit den erforderlichen Berechtigungen

Fehlerbehebung

In diesem Abschnitt werden Lösungen für häufige Probleme mit der IAM-Rollenauswahl beschrieben.

Gemini schlägt Rollen vor, die Sie nicht auf Projektebene zuweisen können

Gemini kann Rollen auf allen Ressourcenebenen vorschlagen. Sie können jedoch nur die vorgeschlagenen Rollen auf Projektebene über die IAM-Rollenauswahl zuweisen. Wenn Gemini Rollen auf Organisations-, Ordner- oder Ressourcenebene vorschlägt, wird in der IAM-Rollenauswahl angezeigt, dass es vorgeschlagene Rollen gibt, die nicht zugewiesen werden können, und die Schaltfläche Rollen hinzufügen ist deaktiviert.

In diesem Fall können Sie die vorgeschlagenen Rollen kopieren und dem Hauptkonto auf der entsprechenden Ebene über den üblichen Prozess in derCloud de Confiance Console zuweisen. Weitere Informationen zum Zuweisen von Rollen finden Sie unter Zugriff auf Projekte, Ordner und Organisationen verwalten.

Wenn Sie nicht die Berechtigungen haben, die Rollen auf Organisations-, Ordner- oder Ressourcenebene zu gewähren, wenden Sie sich an Ihren Administrator.

Nächste Schritte

• Übersicht über Gemini für Cloud de Confiance
• Weitere Informationen dazu, wie Gemini für Cloud de Confiance Ihre Daten verwendet
• Manuell nach den richtigen vordefinierten Rollen suchen
• Verwenden Sie den Remote-MCP-Server für Policy Assist, um externen Kundenservicemitarbeitern Zugriff auf die IAM-Rollenauswahl zu gewähren.