Acerca de los permisos de aprovisionamiento de Apigee

Esta página se aplica a Apigee, pero no a Apigee Hybrid.

Consulta la documentación de Apigee Edge.

En este documento, se describen los permisos de Google Cloud IAM que se requieren para aprovisionar Apigee de forma correcta.

Puedes especificar permisos mediante las siguientes opciones:

Roles predefinidos: Proporciona los permisos suficientes para realizar los pasos de aprovisionamiento. Los roles predefinidos pueden darle al administrador de Apigee más permisos de los que necesitan para completar el aprovisionamiento.
Roles personalizados: Proporciona el privilegio mínimo necesario para realizar los pasos de aprovisionamiento.

Rol de propietario del proyecto de Google Cloud

El propietario del proyecto de Google Cloud que se usa para el aprovisionamiento de Apigee ya tiene permiso para realizar todos los pasos de aprovisionamiento básicos de Apigee.

Si el aprovisionador de Apigee no es el propietario del proyecto, usa este documento a fin de determinar los permisos necesarios para realizar cada uno de los pasos del aprovisionamiento.

Si usas redes de nube privada virtual (VPC) compartida, se requieren permisos adicionales en el proyecto de VPC compartida, y estos casos también se indican en este documento.

Funciones predefinidas

Si solo deseas asegurarte de que el administrador de Apigee tenga suficiente permiso para completar el aprovisionamiento, otórgale los siguientes roles predefinidos de IAM. Sin embargo, los roles predefinidos pueden otorgar al administrador de Apigee más permisos de los que necesita para completar el aprovisionamiento. Consulta la sección Roles y permisos personalizados para proporcionar los privilegios mínimos necesarios.

Cómo especificar un rol predefinido

Para agregar usuarios y roles, haz lo siguiente:

En la consola de Google Cloud, ve a IAM y administración > IAM para tu proyecto.

Ir a la página IAM/Iam
Para agregar un usuario nuevo, haz lo siguiente:
1. Haz clic en Otorgar acceso.
2. Escribe un nuevo nombre de Principal.
3. Haz clic en el menú Seleccionar un rol y, luego, escribe el nombre del rol en el campo Filtro. Por ejemplo, Apigee Organization Admin. Haz clic en el rol que aparece en los resultados.
4. Haz clic en Guardar.
Para editar un usuario existente, sigue estos pasos:
1. Haz clic en Editar.
2. Para cambiar un rol existente, haz clic en el menú Rol y, luego, selecciona un rol diferente.
3. Para agregar otro rol, haz clic en Agregar otro rol.
4. Haz clic en el menú Seleccionar un rol y, luego, escribe el nombre del rol en el campo Filtro. Por ejemplo, Apigee Organization Admin. Haz clic en el rol que aparece en los resultados.
5. Haz clic en Guardar.

Rol	Obligatorio para realizar los pasos	Tipo de cuenta	Objetivo
Administrador de la organización de Apigee `apigee.admin`	Inicia el aprovisionamiento de Apigee Crea una organización Crear un entorno Crea una instancia de Apigee	Pagada y evaluación	Concede acceso completo a todas las funciones de los recursos de Apigee
Administrador de Service Usage `serviceusage.serviceUsageAdmin`	Habilita las APIs	Pagada y evaluación	Tiene la capacidad de habilitar, inhabilitar e inspeccionar estados de servicio, inspeccionar operaciones, y consumir cuota y facturación para un proyecto de consumo.
Administrador de Cloud KMS `cloudkms.admin`	Crea una organización Configura una instancia de entorno de ejecución	Solo pagadas	Crea claves y llaveros de claves de Cloud KMS.
Administrador de red de Compute `compute.networkAdmin`	Crea una organización Configura una instancia de entorno de ejecución Configura las herramientas de redes de servicio. Configura el enrutamiento de acceso (para crear el balanceador de cargas de HTTPS externo)	Pagada y evaluación	Enumera las regiones de Compute, configura las herramientas de redes de servicios y crea el balanceador de cargas HTTPS externo.

Roles y permisos personalizados

Para proporcionar los privilegios mínimos necesarios, crea un rol personalizado de IAM y asigna permisos de las siguientes secciones.

Cómo especificar un rol personalizado

Para agregar un rol personalizado, sigue estos pasos:

En la consola de Google Cloud, ve a IAM y administración > Roles para tu proyecto.

Ir a la página IAM y administración/Roles
Para agregar un rol nuevo, haz lo siguiente:
1. Haz clic en Crear rol.
2. Escribe un Título nuevo.
3. Escribe una Descripción (opcional).
4. Escribe un ID.
5. Selecciona una etapa de lanzamiento del rol.
6. Haz clic en Agregar permisos.
7. Copia el texto del permiso deseado de las siguientes tablas y pégalo en el campo Filtro. Por ejemplo: apigee.environments.create
8. Presiona Intro o haz clic en un elemento de los resultados.
9. Selecciona la casilla de verificación del elemento que acabas de agregar.
10. Haz clic en Agregar.
  Nota: Para agregar varios permisos a la vez, haz lo siguiente:
  - Selecciona el operador OR entre cada permiso a medida que los agregues.
  - Busca una string de permiso parcial, por ejemplo, apigee.environments, selecciona varias casillas de verificación y, luego, haz clic en Guardar.
11. Una vez que hayas agregado todos los permisos para este rol, haz clic en Crear.
Para editar un rol personalizado existente, sigue estos pasos:
1. Ubica el rol personalizado.
2. Haz clic en Más > Editar.
3. Realiza los cambios que desees.
4. Haz clic en Actualizar.

Permisos de administración de Apigee basados en IU

Este permiso es obligatorio para todos los usuarios que administrarán una organización a través de la IU de Apigee en la consola de Cloud. Inclúyela en funciones personalizadas que implican la administración a través de esa interfaz.

Rol	Tipo de cuenta	Objetivo
`apigee.projectorganizations.get`	Pagada y evaluación	Realiza cualquier acción a través de la IU de Apigee en la consola de Cloud.

Aprovisiona permisos

Se requieren estos permisos para comenzar a aprovisionar Apigee:

Rol	Tipo de cuenta	Objetivo
`apigee.entitlements.get` `apigee.environments.create` `apigee.environments.get` `apigee.environments.list` `apigee.envgroups.create` `apigee.envgroups.get` `apigee.envgroups.list` `apigee.envgroups.update` `apigee.envgroupattachments.create` `apigee.envgroupattachments.list` `apigee.instances.create` `apigee.instances.get` `apigee.instances.list` `apigee.instanceattachments.create` `apigee.instanceattachments.get` `apigee.instanceattachments.list` `apigee.operations.get` `apigee.operations.list` `apigee.organizations.create` `apigee.organizations.get` `apigee.organizations.update` `apigee.projectorganizations.get` `apigee.projects.update` `apigee.setupcontexts.get` `apigee.setupcontexts.update`	Pagada y evaluación	Inicia el aprovisionamiento de Apigee Crea una organización Crear un entorno Crea una instancia de Apigee

Permisos de habilitación de API

Estos permisos son necesarios para habilitar las API de Google Cloud:

Rol	Tipo de cuenta	Objetivo
`serviceusage.services.get` `serviceusage.services.enable`	Pagada y evaluación	Habilita las API de Google Cloud

Permisos de creación de organizaciones (organización pagada)

Estos permisos son necesarios a fin de crear una organización de Apigee para las cuentas pagas (suscripción o pago por uso):

Permisos	Tipo de cuenta	Objetivo
`compute.regions.list`	Solo pagadas	Selecciona una ubicación de hosting de analítica
`cloudkms.cryptoKeys.list` `cloudkms.locations.list` `cloudkms.keyRings.list`	Solo pagadas	Selecciona una clave de encriptación de base de datos de entorno de ejecución
`cloudkms.cryptoKeys.create` `cloudkms.keyRings.create`	Solo pagadas	Crea una clave de encriptación de la base de datos del entorno de ejecución
`cloudkms.cryptoKeys.getIamPolicy` `cloudkms.cryptoKeys.setIamPolicy`	Solo pagadas	Otorga permiso a la cuenta de servicio de Apigee para usar una clave de encriptación

Permisos de creación de la organización (organización de evaluación)

Este permiso es necesario para seleccionar las regiones de hosting de analítica y entorno de ejecución de una organización de evaluación:

Permisos	Tipo de cuenta	Objetivo
`compute.regions.list`	Solo organizaciones de evaluación	Selecciona regiones de hosting de analítica y del entorno de ejecución

Permisos de herramientas de redes de servicio

Estos permisos son necesarios en los pasos de configuración de la red de servicio. Si usas redes de VPC compartida, consulta Permisos de herramientas de redes de servicio con VPC compartida.

Permisos	Tipo de cuenta	Objetivo
`compute.globalAddresses.createInternal` `compute.globalAddresses.get` `compute.globalAddresses.list` `compute.globalAddresses.use` `compute.networks.get` `compute.networks.list` `compute.networks.use` `compute.projects.get` `servicenetworking.operations.get` `servicenetworking.services.addPeering` `servicenetworking.services.get`	Pagada y evaluación	Estos permisos son necesarios para realizar las tareas del paso de configuración de red de servicio. Nota: Si usas las redes de nube privada virtual (VPC) compartidas, consulta Permisos de las herramientas de redes de servicio con VPC compartida.

Permisos de herramientas de redes de servicio con VPC compartida

Si usas redes de nube privada virtual (VPC) compartida, un usuario con privilegios administrativos en el proyecto de VPC compartida debe intercambiar el proyecto de VPC compartida con Apigee, como se describe enUsa redes de VPC compartida. El intercambio de tráfico debe completarse para que el administrador de Apigee pueda completar los pasos de herramientas de redes de servicio. Consulta también Administradores y IAM.

Cuando la VPC compartida está configurada correctamente, el administrador de Apigee necesita estos permisos para completar los pasos de configuración de la red del servicio:

Permisos	Tipo de cuenta	Objetivo
`compute.projects.get`	Pagada y evaluación	El administrador de Apigee debe tener este permiso en el proyecto en el que se instala Apigee. Este permiso permite que el administrador vea el ID del proyecto host de VPC compartida.
Rol de usuario de red de Compute (`compute.networkUser`)	Pagada y evaluación	El administrador de Apigee debe tener este rol en el proyecto host de la VPC compartida. Este rol le permite al administrador ver y seleccionar la red de VPC compartida en la IU de aprovisionamiento de Apigee.

Permisos de instancia del entorno de ejecución

Estos permisos son necesarios para crear una instancia del entorno de ejecución (solo cuentas de suscripción y pago por uso):

Permisos	Tipo de cuenta	Objetivo
`compute.regions.list`	Solo pagadas	Selecciona una ubicación de hosting del entorno de ejecución
`cloudkms.cryptoKeys.list` `cloudkms.locations.list` `cloudkms.keyRings.list`	Solo pagadas	Selecciona una clave de encriptación de disco del entorno de ejecución
`cloudkms.cryptoKeys.create` `cloudkms.keyRings.create`	Solo pagadas	Crea una clave de encriptación de disco de entorno de ejecución
`cloudkms.cryptoKeys.getIamPolicy` `cloudkms.cryptoKeys.setIamPolicy`	Solo pagadas	Otorga permiso a la cuenta de servicio de Apigee para usar una clave de encriptación

Accede a los permisos de enrutamiento

Estos permisos son necesarios para los pasos de enrutamiento de acceso:

Permisos	Tipo de cuenta	Objetivo
`compute.autoscalers.create` `compute.backendServices.create` `compute.backendServices.use` `compute.disks.create` `compute.globalAddresses.create` `compute.globalAddresses.get` `compute.globalAddresses.list` `compute.globalAddresses.use` `compute.globalForwardingRules.create` `compute.globalOperations.get` `compute.firewalls.create` `compute.firewalls.get` `compute.healthChecks.create` `compute.healthChecks.useReadOnly` `compute.images.get` `compute.images.useReadOnly` `compute.instances.create` `compute.instances.setMetadata` `compute.instanceGroups.use` `compute.instanceGroupManagers.create` `compute.instanceGroupManagers.use` `compute.instanceTemplates.get` `compute.instanceTemplates.create` `compute.instanceTemplates.useReadOnly` `compute.networks.get` `compute.networks.list` `compute.networks.updatePolicy` `compute.networks.use` `compute.regionOperations.get` `compute.regionNetworkEndpointGroups.create` `compute.regionNetworkEndpointGroups.use` `compute.sslCertificates.create` `compute.sslCertificates.get` `compute.subnetworks.get` `compute.subnetworks.list` `compute.subnetworks.setPrivateIpGoogleAccess` `compute.subnetworks.use` `compute.targetHttpsProxies.create` `compute.targetHttpsProxies.use` `compute.urlMaps.create` `compute.urlMaps.use`	Pagada y evaluación	Configura el enrutamiento de acceso básico Nota: Si usas las redes de nube privada virtual (VPC) compartidas, consulta Permisos de enrutamiento de acceso con VPC compartida.

Accede a los permisos de enrutamiento con VPC compartida

Si usas las redes de nube privada virtual (VPC) compartida, ten en cuenta que debes completar la configuración y el intercambio de tráfico de la VPC para poder realizar el paso de enrutamiento de acceso.

Después de que la VPC compartida esté configurada correctamente, el administrador de Apigee requiere el compute.networkUser en el proyecto de VPC compartida para completar los pasos de enrutamiento de acceso. Consulta también Roles administrativos requeridos para la VPC compartida.