Google Cloud 控制帳單存取教學及範例

藉由在資源上設定雲端權限管理(Cloud IAM),Cloud Billing 可以讓您控制哪些用戶有對特定資源有進行管理與查看費用的權限。您可以在組織層級、帳單帳戶層級以及(或)專案層級設定 Cloud IAM ,用來授予或限制存取 Cloud Billing 的權限。GCP 資源會繼承父節點的 Cloud IAM 設定,這表示您可以在組織層級設定相關的 Cloud IAM,以將設定套用在組織中所有的帳單張戶、專案和資源上。

您可以透過在帳單帳戶或專案層級設定存取權限,來控制不同用戶或角色在不同層級能查看的權限。要讓用戶可以看帳單帳戶下所有專案的費用,必須授予用戶查看帳單帳戶的權限 (billing.accounts.getSpendingInformation) 。相反地,如果只想讓用戶可以看特定專案的費用時,則是授予用戶查看單個專案的權限(billing.resourceCosts.get)。

注意:新的 billing.resourceCosts.get 專案權限從  2018年8月20日 起開始生效。在生效日之前,沒有billing.resourceCosts.get 權限的用戶可以在 Cloud Console Billing card 上查看專案的費用資訊,以及本月估計費用的頁面。但在  2018年8月20日 後,用戶必須有 billing.accounts.getSpendingInformation 或 billing.resourceCosts.get permission 的權限才能查看專案的費用。

Cloud  IAM 中帳單角色的概述

以下定義了 Billing Cloud IAM 的角色,目的是允許您透過存取控制來執行權責分離:

Role Purpose Level Use Case
Billing Account Creator Create new self-serve billing accounts. Organization 一開始建立帳單或暫時以其他貨幣創建帳單帳戶時使用此角色

用戶必須具有此角色,才能用企業角色的信用卡註冊 GCP

Tip:盡量減少擁有此角色的用戶,避免組織在 cloud 有未被追蹤的激增費用

Billing Account Administrator Manage billing accounts (but not create them). Organization or billing account. 此角色是帳單帳戶的擁有者。利用這個角色管理支付工具、設定帳單輸出、查看費用資訊、連結或取消連結專案以及管理帳單帳戶的其他用戶角色。
Billing Account User Link projects to billing accounts. Organization or billing account. 這個角色擁有的權限很有限,因此您可以廣泛地授予這個角色給用戶,通常會和Project Creator角色結合使用。這兩個角色允許用戶建立專案,連結到有授權此角色的帳單帳戶。
Billing Account Viewer View billing account cost information and transactions. Organization or billing account. 通常會將此角色授予財務團隊,提供存取費用資訊的權限,但不授予連結或取消連結專案或其他管理帳單帳戶資產的權限。
Project Billing Manager Link/unlink the project to/from a billing account. Organization or project. 此角色允許用戶將專案綁定到帳單帳戶,但不授予對資源存取的權限。專案擁有者可以使用這個角色來允許其人管理專案帳單,但不授予他們存取資源的權限。

Note: 其他舊的角色(例如:專案擁有者)也會擁有一些帳單權限。專案擁有者是專案帳單管理者下的一個子集。

組織、專案和帳單帳戶間的關係

所有權和支付連結 (payment linkages) 這兩種關聯決定了帳單帳戶、組織和專案彼此之間的互動。

  • 所有權(Ownership) : 指的是 Cloud IAM 權限繼承。
  • 支付連結(Payment linkages):定義哪個帳單帳戶會替指定的專案付款

下面的圖表顯示一個樣本組織中所有權和支付連結這兩種關係:

在圖表中,組織有專案A、專案B、專案C的所有權,表示組織是三個專案 Cloud IAM 的父節點。而帳單帳戶和專案A、專案B、專案連結,表示此帳單帳戶會支付三個專案產生的費用。

Note: 您可以將帳單帳戶與專案連結,但這不代表帳單帳戶是專案 Cloud IAM 的父節點,因此專案不會從與它連結的帳單帳戶繼承權限。

在這個範例中,任何在組織層級上有被授予 Cloud IAM 帳單角色的用戶,同時也會在帳單帳戶或專案層級上擁有相對應的角色。

帳單存取控制的範例

您可以如同下面的範例一樣,結合 Cloud IAM 角色,以符合各種情境的需求。

範例情境:中小企業(SME),偏好集中管理。

       User type Billing Cloud IAM roles Billing activities
CEO Billing Account Administrator 管理支付工具
查看和核准發票.
CTO Billing Account Administrator
Project Creator
設定預算超支告警
查看費用
創建新的可計費專案
Development teams None None

範例情境:中小企業(SME),優先考慮授權。

User type Billing Cloud IAM roles Billing activities
CEO Billing Account Administrator 管理支付工具
負責授權
CFO Billing Account Administrator 設定預算超支告警
查看費用
Accounts payable Billing Account Viewer 查看和核准發票
Development teams Billing Account User
Project Creator
創建新的可計費專案

範例情境:將財務規劃和採購功能分開

User type Billing Cloud IAM roles Billing activities
Procurement or Central IT Billing Account Administrator 管理支付工具
設定預算超支告警
和開發團隊溝通費用
Financial planning Billing Account Viewer 查看帳單統計報告
流程輸出
和 CxO 溝通
Accounts payable Billing Account Viewer 核准發票
Development teams Billing Account User
Project Creator
創建新的可計費專案

範例情境:開發機構

User type Billing Cloud IAM roles Billing activities
CEO Billing Account Administrator 管理支付工具
授權
CFO Billing Account Administrator 設定預算超支告警
查看費用
核准發票
Project lead Billing Account User
Project Creator
創建新的可計費專案
Project development team None 在既有專案進行開發
Client Project Billing Manager 當專案完成開發後取得專案的付款所有權

更新帳單權限

要增加或移除帳單權限,您必須:

1. 前往 Cloud Cloud Platform 控制台
2. 展開控制台左邊的側邊欄,選擇帳單
3. 如果您有多個帳單帳戶,請選擇前往連結的帳單帳戶,以管理目前專案的帳單權限。要找其他帳單帳戶的話,選擇管理帳單帳戶
4. 在右側有使用權限面板,編輯所選帳單帳戶的權限。(如果沒有看到面板,請點選顯示資訊面板打開它。)接著執行以下任一操作:

  • 指定權限給用戶:在新增成員下輸入您想授權的成員的email,接著從選擇角 色的地方選您要授予成員的權限,最後點選新增即可。
  • 撤銷成員帳單權限:點擊展開相對應的權限列表,將滑鼠游標移到要移除的成員上,再點擊右側垃圾桶的icon即可。

相關文章

(原文翻譯自 Google Cloud )

 


連絡「GCP 專門家」