Rôles accordant l'accès à App Engine

Les rôles déterminent les services et les actions disponibles pour un compte utilisateur ou un compte de service. Les types de rôles suivants permettent d'accéder à App Engine :

  • Les rôles primitifs s'appliquent à l'ensemble des services et des ressources d'un projet, y compris, mais sans s'y limiter, à App Engine. Par exemple, un compte doté du rôle d'éditeur peut modifier les paramètres d'App Engine et de Cloud Storage.

  • Les rôles prédéfinis App Engine fournissent un accès précis à App Engine. Chaque service de votre projet Cloud dispose de ses propres rôles prédéfinis. Par exemple, un compte qui n'est doté que du rôle Déployeur App Engine peut déployer des applications App Engine, mais ne peut pas afficher ni créer d'objets dans Cloud Storage. Ce compte doit également disposer d'un rôle prédéfini Cloud Storage spécifique pour créer ou afficher des objets dans Cloud Storage.

  • Les rôles personnalisés fournissent un accès précis en fonction d'une liste d'autorisations que vous spécifiez.

Vous pouvez utiliser des rôles primitifs lorsque vous travaillez sur des projets plus petits aux besoins moins complexes. Afin de mieux contrôler les accès, utilisez des rôles prédéfinis.

Rôles primitifs

Les rôles primitifs s'appliquent à l'ensemble des services et des ressources d'un projet. Par exemple, un compte doté du rôle d'éditeur peut modifier les paramètres d'App Engine et de Cloud Storage.

Rôle Autorisations Cloud Console Autorisations pour les outils
Owner Obligatoire pour créer des applications App Engine. Tous les droits du lecteur et de l'éditeur, ainsi que la possibilité d'afficher le code source déployé, d'inviter des utilisateurs, de modifier les rôles des utilisateurs et de supprimer une application. Obligatoire pour créer des applications App Engine. Déployer le code d'application et mettre à jour toutes les configurations.
Editor Afficher les informations relatives à l'application et modifier ses paramètres. Déployer le code de l'application, mettre à jour les index/files d'attente/tâches Cron.
Viewer Afficher les informations relatives à l'application. Consulter les journaux des requêtes.

Rôles App Engine prédéfinis

Les rôles prédéfinis pour App Engine vous offrent des options de contrôle des accès plus précises.

Ces rôles ne permettent d'accéder qu'à App Engine. Si votre projet comprend d'autres services, tels que Cloud Storage ou Cloud SQL, vous devez attribuer des rôles prédéfinis supplémentaires pour autoriser l'accès aux autres services.

Le tableau suivant répertorie les rôles App Engine, ainsi que les utilisateurs cibles associés. Le tableau de comparaison vous permet d'afficher l'ensemble des fonctions de chaque rôle.

Rôle Fonctions Utilisateur cible
Administrateur App Engine Accès en lecture/écriture/modification à l'ensemble de la configuration et des paramètres de l'application.
  • Propriétaire/Administrateur de l'application
  • Ingénieur d'astreinte
  • Administrateur système
Administrateur de services App Engine
  • Accès en lecture seule à l'ensemble de la configuration et des paramètres de l'application.
  • Accès en écriture aux paramètres de niveau de service et de version, y compris à la configuration du trafic.
  • Ce rôle ne permet pas de déployer des versions d'applications. Pour en savoir plus, consultez la section concernant la séparation des tâches ci-dessous.
  • Ingénieur de versions
  • DevOps
  • Ingénieur d'astreinte
  • Administrateur système
Déployeur App Engine
  • Accès en lecture seule à l'ensemble de la configuration et des paramètres de l'application.
  • Accès en écriture uniquement pour déployer et créer une version.
  • Supprimer les anciennes versions qui ne diffusent pas le trafic.
  • Ce rôle ne permet pas de modifier une version existante ni de modifier la configuration du trafic.

Consultez la section relative aux déploiements ci-dessous pour en savoir plus sur les rôles obligatoires.

  • Compte de déploiement
  • Ingénieur de versions
Lecteur App Engine Accès en lecture seule à l'ensemble de la configuration et des paramètres de l'application.
  • Utilisateur ayant besoin de visibilité sur l'application, mais pas de la modifier.
  • Tâche d'audit pour vérifier la conformité aux règles de la configuration d'App Engine.
Lecteur de codes App Engine Accès en lecture seule à l'ensemble de la configuration, des paramètres et du code source déployé de l'application.
  • Utilisateur ayant besoin de visibilité sur l'application et sur son code source, mais pas de les modifier.
  • Utilisateur DevOps ayant besoin de diagnostiquer des problèmes de production.

Comparaison des rôles prédéfinis App Engine

Le tableau suivant compare de manière exhaustive les fonctions de chaque rôle App Engine prédéfini.

Fonctionnalités Administrateur App Engine Administrateur de services App Engine Déployeur App Engine Lecteur App Engine Lecteur de codes App Engine
Répertorier l'ensemble des services, versions et instances Oui Oui Oui Oui Oui
Afficher l'ensemble des paramètres d'application, de service, de version et d'instance Oui Oui Oui Oui Oui
Afficher les métriques de l'environnement d'exécution telles que l'utilisation des ressources, les informations de charge et les informations relatives aux erreurs Oui Oui Oui Oui Oui
Afficher le code source de l'application Non Non Non Non Oui
Déployer une nouvelle version d'application Oui Non Oui Non Non
Répartir ou migrer le trafic Oui Oui Non Non Non
Démarrer et arrêter une version Oui Oui Non Non Non
Supprimer une version Oui Oui Oui Non Non
Supprimer un service dans son intégralité Oui Oui Non Non Non
Se connecter via SSH à une instance de VM dans l'environnement flexible Oui Non Non Non Non
Arrêter une instance Oui Non Non Non Non
Désactiver et réactiver l'application App Engine Oui Non Non Non Non
Gestionnaires d'accès dont l'accès est limité avec login:admin (environnements d'exécution de première génération uniquement) Oui Non Non Non Non
Mettre à jour les règles de distribution Oui Non Non Non Non
Mettre à jour les paramètres DoS Oui Non Non Non Non
Mettre à jour les planifications Cron Non Non Non Non Non
Mettre à jour l'expiration des cookies par défaut Oui Non Non Non Non
Mettre à jour les URL de provenance Oui Non Non Non Non
Mettre à jour les expéditeurs autorisés de l'API Email Oui Non Non Non Non

Pour en savoir plus sur les autorisations IAM spécifiques accordées par chaque rôle, consultez la section Rôles de la documentation sur l'API Admin.

Le rôle prédéfini "Déployeur App Engine" est recommandé pour un compte utilisateur qui n'est responsable que du déploiement de la nouvelle version d'une application. Le rôle "Administrateur App Engine" est une alternative qui inclut des droits d'administrateur supplémentaires, y compris la possibilité de déployer des versions.

Avec ces rôles, le compte dispose des autorisations nécessaires pour déployer des applications à l'aide de l'API Admin. Pour accorder l'autorisation d'utiliser les commandes gcloud ou d'autres outils App Engine, vous devez également attribuer au compte le rôle "Administrateur de l'espace de stockage".

Pour savoir comment accorder les autorisations requises, consultez la section Créer un compte utilisateur.

Séparer les tâches de déploiement et d'acheminement du trafic

De nombreuses entreprises préfèrent séparer la tâche liée au déploiement d'une version d'application de celle relative à l'augmentation progressive du trafic vers la nouvelle version. Chaque tâche est alors confiée à différents postes. Les rôles "Déployeur App Engine" et "Administrateur de services App Engine" assurent cette séparation :

  • Rôle "Déployeur App Engine" : les comptes sont limités au déploiement de nouvelles versions et à la suppression des anciennes versions qui ne diffusent pas le trafic. Le compte disposant du rôle "Déployeur App Engine" ne peut pas configurer le trafic sur une version ni modifier les paramètres au niveau de l'application, tels que les règles de distribution ou le domaine d'authentification.

  • Rôle "Administrateur de services App Engine" : les comptes ne peuvent pas déployer la nouvelle version d'une application ni modifier les paramètres au niveau de l'application. Toutefois, ces comptes disposent de droits leur permettant de modifier les propriétés des versions et services existants, y compris le choix des versions pouvant diffuser le trafic. Le rôle "Administrateur de services App Engine" est idéal pour un service des opérations ou un service informatique qui gère l'augmentation progressive du trafic sur des versions récemment déployées.

Limites des rôles prédéfinis

Aucun des rôles prédéfinis ci-dessus n'accorde l'accès aux actions suivantes :

  • Créer des applications App Engine
  • Afficher et télécharger les journaux d'application
  • Afficher les graphiques Monitoring dans Cloud Console.
  • Activer et désactiver la facturation
  • Exécuter des analyses de sécurité dans Cloud Security Scanner
  • Accéder à la configuration ou aux données stockées dans Datastore, dans les files d'attente de tâches, dans Memcache, dans Cloud Search ou dans tout autre produit de stockage Cloud Platform