Zugriff auf Kostendaten: Rollen der Provider

Zugriff auf Kostendaten regelt, wer welche Cloud-Kosten in welcher Tiefe sehen darf, wer Budgets und Exporte ändern darf und wer Geld ausgeben darf. Alle drei Provider trennen diese Rechte von den Rechten an den Ressourcen, aber auf verschiedene Weise: AWS über IAM-Aktionen und eine Freischaltung je Konto, Azure über Rollen je Scope und je Vertragsart, Google Cloud über Rollen am Abrechnungskonto und am Projekt. Richtig genutzt, sieht Finance alle Kosten ohne Zugriff auf die Produktion und jedes Team seine Kosten ohne die ganze Rechnung. Die Verantwortungen dahinter beschreibt FinOps-Rollen und Verantwortlichkeiten.

So funktioniert es

Vier Gruppen brauchen unterschiedlichen Zugriff. Die Tabelle nennt je Provider den schmalsten Weg, den die Dokumentation beschreibt.

AWS

IAM-Benutzer und -Rollen sehen die Billing-Konsole standardmäßig nicht, selbst wenn ihre Richtlinien Billing-Aktionen erlauben. Der Root-Benutzer schaltet das einmal je Konto mit der Einstellung Activate IAM Access frei; in Mitgliedskonten, die in AWS Organizations angelegt wurden, ist sie von Anfang an aktiv. Was jemand danach sieht, regeln feingranulare IAM-Aktionen. Die älteren Aktionen aus aws-portal, etwa aws-portal:ViewBilling, haben im Juli 2023 das Ende des Standard-Supports erreicht; aktuelle Richtlinien nennen Aktionen wie budgets:ModifyBudget oder ce:CreateReport. Als verwaltete Richtlinien nennt AWS AWSBillingReadOnlyAccess für Lesezugriff auf die Funktionen der Billing-Konsole und Billing für Lesen und Ändern, einschließlich Budgets und Zahlungsmitteln.

In einer Organisation sieht das Management-Konto alle Kosten, ein Mitgliedskonto in Cost Explorer nur seine eigenen. Das Management-Konto gibt diesen Zugriff mit Linked account access allen Mitgliedskonten oder keinem; einzeln geht es nicht, feiner steuert danach IAM je Benutzer. Für Sichten über mehrere Konten gibt es Custom Billing Views: Das Management-Konto definiert eine Sicht, gefiltert nach Konten oder Cost Allocation Tags, und teilt sie mit anderen Konten, auch außerhalb der Organisation, wo Cost Explorer und AWS Budgets mit diesen Daten arbeiten. Endnutzer brauchen dafür laut AWS keinen Zugriff auf das Management-Konto. Wie Cost Explorer selbst arbeitet, beschreibt AWS Cost Explorer und AWS Budgets.

Azure

Azure unterscheidet RBAC-Scopes, also Management-Gruppe, Subscription und Ressourcengruppe, von Abrechnungs-Scopes, die vom Vertrag abhängen. Auf RBAC-Scopes darf Cost Management Reader Kosten und Empfehlungen lesen, Cost Management Contributor zusätzlich Budgets, Exporte, geteilte Ansichten und Warnungen verwalten; Rechnungen zeigt keine der beiden Rollen. Auf Abrechnungs-Scopes gelten die Rollen des Vertrags, und ihre Inhaber sehen die Kosten der Subscriptions darunter, nicht aber die Ressourcen. Damit Kosten überhaupt sichtbar sind, muss unter einem EA für Abteilungen „DA view charges“ und für Kontoinhaber und RBAC-Scopes „AO view charges“ aktiv sein, unter einem MCA am Abrechnungsprofil die Richtlinie „Azure charges“. Reservierungen und Marketplace-Käufe erscheinen nur am Abrechnungs-Scope; Scopes und Rollen im Einzelnen beschreibt Azure Cost Management and Billing.

Google Cloud

Am Abrechnungskonto vergibt Google Billing Account Viewer für Kosten und Transaktionen, Billing Account Costs Manager für Budgets sowie Ansehen und Exportieren der Kosten ohne Preisinformationen und Billing Account Administrator für die Verwaltung des Kontos. Ohne Rolle am Abrechnungskonto sieht ein Team die Kosten eines Projekts über billing.resourceCosts.get, das Project Owner, Editor und Viewer haben. Diese Sicht bleibt auf ein Projekt beschränkt, ohne Kosten auf Rechnungsebene, ohne gespeicherte Berichte und ohne Gruppierung nach Labels. Für mehrere Projekte empfiehlt Google Project Billing Costs Manager am Abrechnungskonto; die Rolle zeigt nur Projekte, die der Nutzer ohnehin sehen darf.

Wer den Nutzungsexport nach BigQuery einrichtet, braucht Billing Account Costs Manager oder Administrator und dazu BigQuery User im Zielprojekt. Wer die Daten danach liest, entscheidet der Zugriff auf das Dataset. Eine autorisierte Ansicht teilt einen Ausschnitt, etwa ohne bestimmte Spalten, ohne Zugriff auf die Quelltabelle; Leser brauchen BigQuery Data Viewer auf dem Dataset der Ansicht und BigQuery Job User im Projekt der Abfrage.

Geringste Rechte und Überprüfung

Lesen ist der Normalfall, Schreiben bekommt, wer Budgets und Exporte pflegt, und Kaufen ist ein eigenes Recht, das die Kostenrichtlinie regelt. Exporte verdienen dieselbe Aufmerksamkeit wie Rollen. AWS legt Data Exports in Amazon S3 ab und erlaubt, Spalten auszuwählen und Zeilen zu filtern, um sensible Kosteninformationen zu entfernen; Azure braucht für Exporte ein Storage Account. Wer diesen Speicher lesen darf, liest die Kosten, unabhängig von jeder Kostenrolle.

Für die Überprüfung bieten alle drei Provider Werkzeuge. AWS zeigt mit Last-Accessed-Informationen, welche Dienste und Aktionen eine Identität zuletzt genutzt hat, damit ungenutzte Rechte entfallen. Microsoft Entra Access Reviews prüfen Gruppen und Rollen, auch Azure-Ressourcenrollen, in festem Rhythmus und setzen Microsoft Entra ID Governance oder die Microsoft Entra Suite voraus; für einige Funktionen genügt P2. Google leitet Rollenempfehlungen aus höchstens 90 Tagen Nutzung ab, für Rollen auf Organisationen, Ordnern, Projekten, Buckets und BigQuery-Datasets. Abrechnungskonten stehen nicht auf dieser Liste; ihre Rollen prüft man von Hand.

Was es für Ihre Kosten bedeutet

Zugriff entscheidet, wer reagieren kann. Ein Team, das seine Kosten nicht sieht, kann sie nicht verantworten, und eine Abweichung fällt dann erst beim Monatsabschluss auf statt in der Woche, in der sie entsteht.

Jede Sicht zeigt einen anderen Ausschnitt der Rechnung, wie die Abschnitte zu den Providern zeigen, und die Summe der Teamsichten ergibt deshalb nicht die Rechnung. Abgeglichen wird am Abrechnungskonto, wie Export und Rechnung abgleichen beschreibt.

Wo es schiefgeht

• Richtlinie da, Konsole leer. Symptom: Eine Rolle mit AWSBillingReadOnlyAccess sieht in der Billing-Konsole nichts. Ursache: Activate IAM Access ist in diesem Konto nicht eingeschaltet, etwa weil es der Organisation beigetreten ist, statt in ihr angelegt zu werden.
• Alle oder keiner. Symptom: Nach einer Änderung der Einstellungen sehen alle Teams in ihren Mitgliedskonten keine Kosten mehr. Ursache: Linked account access gilt für alle Mitgliedskonten gemeinsam.
• Teamsummen gegen Rechnung. Symptom: Die Summe der Team-Berichte liegt unter der Rechnung. Ursache: Teamsichten enthalten keine Käufe am Abrechnungs-Scope und keine Kosten auf Rechnungsebene.
• Export als Hintertür. Symptom: Personen ohne Kostenrolle kennen die vollständigen Kosten. Ursache: Der Export liegt in einem Bucket, Storage Account oder Dataset, dessen Berechtigungen niemand überprüft.
• Administrator zum Lesen. Symptom: Viele Personen dürfen das Google-Abrechnungskonto verwalten. Ursache: Die Administratorrolle wurde vergeben, wo Viewer oder Costs Manager genügt hätte, und die Rollenempfehlungen decken Abrechnungskonten nicht ab.

Quellen

Gelesen am 2026-10-16. AWS Zugriff auf die Billing-Konsole, IAM-Richtlinien für AWS Cost Management, verwaltete Richtlinien für AWS Billing, Zugriff auf Cost Explorer steuern, Billing View, AWS Data Exports und Last-Accessed-Informationen; Microsoft Scopes in Cost Management, Zugriff auf Cost-Management-Daten zuweisen und Access Reviews in Microsoft Entra; Google Cloud Zugriffssteuerung für Cloud Billing, Berichte in Cloud Billing, Kostenansicht über mehrere Projekte, Export nach BigQuery einrichten, autorisierte Ansichten und Rollenempfehlungen.