Controla el acceso al servicio de copia de seguridad y DR con IAM

En esta página, se describen los roles y permisos de IAM necesarios para el servicio de copia de seguridad y DR deGoogle Cloud . Cuando agregas principales nuevos a tu proyecto, puedes usar una política de Identity and Access Management (IAM) para darle a ese principal una o más roles de IAM. Cada rol de IAM contiene permisos que otorgan a las principales acceso para realizar acciones específicas en recursos específicos. Si deseas ver una lista de referencia de los permisos de IAM que se aplican al servicio de Copia de seguridad y DR, consulta Permisos de IAM para el servicio de Copia de seguridad y DR.

Cómo controla el acceso la IAM

Si un principal (un usuario, un grupo o una cuenta de servicio) llama a una API de Google Cloud , esa principal debe tener los permisos de IAM adecuados para usar el recurso. Para otorgar a una principal los permisos necesarios, debes otorgarle un rol de IAM. Obtén más información sobre las principales de IAM.

Tipos de roles de IAM

El servicio de copia de seguridad y DR tiene roles predefinidos que son permisos agrupados para que se asignen a diferentes principios. Los usuarios también pueden definir roles personalizados que pueden tener una combinación de permisos individuales para otorgar acceso y realizar una acción o un flujo de trabajo de copia de seguridad y DR específicos.

Permisos de IAM

Los permisos permiten a los usuarios realizar acciones específicas en recursos específicos. Se pueden agrupar para formar roles. Cada permiso hace referencia a una acción específica que el usuario puede realizar o al acceso que tiene.

Permisos a nivel del proyecto en comparación con los permisos a nivel del recurso

Los permisos se pueden otorgar a nivel del proyecto o del recurso. Por ejemplo, un administrador de Backup and DR puede optar por otorgar solo ciertos permisos a nivel de un bucket de almacenamiento en lugar de todo el proyecto, según su política. La asignación de roles a nivel de recursos no afecta a los roles existentes que otorgaste a nivel de proyecto y viceversa.

Roles de IAM predefinidos para el servicio de copia de seguridad y DR

El servicio de Backup and DR tiene un conjunto de roles de IAM predefinidos que se describen en esta página. También puedes crear roles personalizados que contengan subconjuntos de permisos que se correspondan directamente con tus necesidades.

En la siguiente tabla, se describen los roles de IAM asociados con el servicio de copia de seguridad y DR, y se enumeran los permisos que contiene cada rol. La descripción de cada permiso se indica en la sección Permiso de IAM para el servicio de copia de seguridad y DR.

Role	Permissions
Backup and DR Admin (roles/backupdr.admin) Provides full access to all Backup and DR resources.	backupdr.backupPlanAssociations.* backupdr.backupPlanAssociations.createForComputeInstance backupdr.backupPlanAssociations.deleteForComputeInstance backupdr.backupPlanAssociations.get backupdr.backupPlanAssociations.list backupdr.backupPlanAssociations.triggerBackupForComputeInstance backupdr.backupPlans.* backupdr.backupPlans.create backupdr.backupPlans.delete backupdr.backupPlans.get backupdr.backupPlans.list backupdr.backupPlans.useForComputeInstance backupdr.backupVaults.* backupdr.backupVaults.associate backupdr.backupVaults.create backupdr.backupVaults.delete backupdr.backupVaults.get backupdr.backupVaults.list backupdr.backupVaults.update backupdr.bvbackups.* backupdr.bvbackups.delete backupdr.bvbackups.get backupdr.bvbackups.list backupdr.bvbackups.restore backupdr.bvbackups.update backupdr.bvdataSources.* backupdr.bvdataSources.abandonBackup backupdr.bvdataSources.fetchAccessToken backupdr.bvdataSources.finalizeBackup backupdr.bvdataSources.get backupdr.bvdataSources.initiateBackup backupdr.bvdataSources.list backupdr.bvdataSources.remove backupdr.bvdataSources.setInternalStatus backupdr.bvdataSources.update backupdr.compute.restoreFromBackupVault backupdr.locations.* backupdr.locations.get backupdr.locations.list backupdr.managementServers.* backupdr.managementServers.access backupdr.managementServers.accessSensitiveData backupdr.managementServers.assignBackupPlans backupdr.managementServers.backupAccess backupdr.managementServers.create backupdr.managementServers.createConnection backupdr.managementServers.createDynamicProtection backupdr.managementServers.delete backupdr.managementServers.deleteDynamicProtection backupdr.managementServers.get backupdr.managementServers.getDynamicProtection backupdr.managementServers.getIamPolicy backupdr.managementServers.list backupdr.managementServers.listDynamicProtection backupdr.managementServers.manageApplications backupdr.managementServers.manageBackupPlans backupdr.managementServers.manageBackupServers backupdr.managementServers.manageBackups backupdr.managementServers.manageClones backupdr.managementServers.manageExpiration backupdr.managementServers.manageHosts backupdr.managementServers.manageInternalACL backupdr.managementServers.manageJobs backupdr.managementServers.manageLiveClones backupdr.managementServers.manageMigrations backupdr.managementServers.manageMirroring backupdr.managementServers.manageMounts backupdr.managementServers.manageRestores backupdr.managementServers.manageSensitiveData backupdr.managementServers.manageStorage backupdr.managementServers.manageSystem backupdr.managementServers.manageWorkflows backupdr.managementServers.refreshWorkflows backupdr.managementServers.runWorkflows backupdr.managementServers.setIamPolicy backupdr.managementServers.testFailOvers backupdr.managementServers.viewBackupPlans backupdr.managementServers.viewBackupServers backupdr.managementServers.viewReports backupdr.managementServers.viewStorage backupdr.managementServers.viewSystem backupdr.managementServers.viewWorkflows backupdr.operations.* backupdr.operations.cancel backupdr.operations.delete backupdr.operations.get backupdr.operations.list backupdr.serviceConfig.initialize resourcemanager.projects.get resourcemanager.projects.list
Backup and DR Backup Config Viewer ^Beta (roles/backupdr.backupConfigViewer) Provides read access to resource backup config. Resource backup config has the metadata of a Google Cloud resource that can be backed up, along with its backup configurations.	backupdr.resourceBackupConfigs.* backupdr.resourceBackupConfigs.get backupdr.resourceBackupConfigs.list
Backup and DR Backup User (roles/backupdr.backupUser) Allows the user to apply existing backup plans. This role cannot create backup plans or restore from a backup.	backupdr.backupPlanAssociations.* backupdr.backupPlanAssociations.createForComputeInstance backupdr.backupPlanAssociations.deleteForComputeInstance backupdr.backupPlanAssociations.get backupdr.backupPlanAssociations.list backupdr.backupPlanAssociations.triggerBackupForComputeInstance backupdr.backupPlans.get backupdr.backupPlans.list backupdr.backupPlans.useForComputeInstance backupdr.backupVaults.get backupdr.backupVaults.list backupdr.bvbackups.get backupdr.bvbackups.list backupdr.bvdataSources.get backupdr.bvdataSources.list backupdr.locations.* backupdr.locations.get backupdr.locations.list backupdr.managementServers.access backupdr.managementServers.assignBackupPlans backupdr.managementServers.createDynamicProtection backupdr.managementServers.deleteDynamicProtection backupdr.managementServers.get backupdr.managementServers.getDynamicProtection backupdr.managementServers.list backupdr.managementServers.listDynamicProtection backupdr.managementServers.manageApplications backupdr.managementServers.manageBackups backupdr.managementServers.manageHosts backupdr.managementServers.viewBackupPlans backupdr.managementServers.viewReports backupdr.managementServers.viewStorage backupdr.managementServers.viewSystem backupdr.operations.get backupdr.operations.list resourcemanager.projects.get resourcemanager.projects.list
Backup and DR Backup Vault Accessor (roles/backupdr.backupvaultAccessor) Allows the Backup Appliance permissions to create and manage backups in a backup vault.	backupdr.backupVaults.get backupdr.backupVaults.list backupdr.bvbackups.delete backupdr.bvbackups.get backupdr.bvbackups.list backupdr.bvbackups.update backupdr.bvdataSources.* backupdr.bvdataSources.abandonBackup backupdr.bvdataSources.fetchAccessToken backupdr.bvdataSources.finalizeBackup backupdr.bvdataSources.get backupdr.bvdataSources.initiateBackup backupdr.bvdataSources.list backupdr.bvdataSources.remove backupdr.bvdataSources.setInternalStatus backupdr.bvdataSources.update backupdr.operations.* backupdr.operations.cancel backupdr.operations.delete backupdr.operations.get backupdr.operations.list
Backup and DR Backup Vault Admin (roles/backupdr.backupvaultAdmin) Allows the Backup Appliance full administrative control of backup vault resources.	backupdr.backupVaults.* backupdr.backupVaults.associate backupdr.backupVaults.create backupdr.backupVaults.delete backupdr.backupVaults.get backupdr.backupVaults.list backupdr.backupVaults.update backupdr.bvbackups.* backupdr.bvbackups.delete backupdr.bvbackups.get backupdr.bvbackups.list backupdr.bvbackups.restore backupdr.bvbackups.update backupdr.bvdataSources.get backupdr.bvdataSources.list backupdr.bvdataSources.update backupdr.compute.restoreFromBackupVault backupdr.locations.* backupdr.locations.get backupdr.locations.list backupdr.operations.* backupdr.operations.cancel backupdr.operations.delete backupdr.operations.get backupdr.operations.list
Backup and DR Backup Vault Lister (roles/backupdr.backupvaultLister) Allows the Backup Appliance permission to list backup vaults in a given project.	backupdr.backupVaults.list
Backup and DR Backup Vault Viewer (roles/backupdr.backupvaultViewer) Allows read-only permissions to access backup vault resources and backups.	backupdr.backupVaults.get backupdr.backupVaults.list backupdr.bvbackups.get backupdr.bvbackups.list backupdr.bvdataSources.get backupdr.bvdataSources.list backupdr.operations.get backupdr.operations.list
Backup and DR Cloud Storage Operator (roles/backupdr.cloudStorageOperator) Allows a Backup and DR service account to store and manage data (backups or metadata) in Cloud Storage.	storage.buckets.create storage.buckets.get storage.objects.create storage.objects.delete storage.objects.get storage.objects.list
Backup and DR Compute Engine Operator (roles/backupdr.computeEngineOperator) Allows a Backup and DR service account to discover, back up, and restore Compute Engine VM instances.	backupdr.managementServers.createConnection compute.addresses.list compute.addresses.use compute.addresses.useInternal compute.diskTypes.* compute.diskTypes.get compute.diskTypes.list compute.disks.create compute.disks.createSnapshot compute.disks.delete compute.disks.get compute.disks.setLabels compute.disks.use compute.firewalls.list compute.globalOperations.get compute.images.create compute.images.delete compute.images.get compute.images.useReadOnly compute.instances.attachDisk compute.instances.create compute.instances.createTagBinding compute.instances.delete compute.instances.detachDisk compute.instances.get compute.instances.list compute.instances.listEffectiveTags compute.instances.pscInterfaceCreate compute.instances.setDeletionProtection compute.instances.setLabels compute.instances.setMetadata compute.instances.setServiceAccount compute.instances.setTags compute.instances.start compute.instances.stop compute.instances.updateDisplayDevice compute.instances.useReadOnly compute.machineTypes.* compute.machineTypes.get compute.machineTypes.list compute.networks.list compute.nodeGroups.get compute.nodeGroups.list compute.nodeTemplates.get compute.projects.get compute.regionOperations.get compute.regions.* compute.regions.get compute.regions.list compute.resourcePolicies.use compute.snapshots.create compute.snapshots.delete compute.snapshots.get compute.snapshots.setLabels compute.snapshots.useReadOnly compute.subnetworks.list compute.subnetworks.use compute.subnetworks.useExternalIp compute.zoneOperations.get compute.zones.list iam.serviceAccounts.actAs iam.serviceAccounts.get iam.serviceAccounts.list resourcemanager.projects.get resourcemanager.projects.list
Backup and DR Management Server Accessor ^Beta (roles/backupdr.managementServerAccessor) Grants the Backup and DR management server access role to Backup Appliances.	backupdr.managementServers.createConnection
Backup and DR Mount User (roles/backupdr.mountUser) Allows the user to mount from a backup. This role cannot create a backup plan or restore from a backup.	backupdr.locations.* backupdr.locations.get backupdr.locations.list backupdr.managementServers.access backupdr.managementServers.get backupdr.managementServers.getDynamicProtection backupdr.managementServers.list backupdr.managementServers.listDynamicProtection backupdr.managementServers.manageApplications backupdr.managementServers.manageClones backupdr.managementServers.manageHosts backupdr.managementServers.manageLiveClones backupdr.managementServers.manageMirroring backupdr.managementServers.manageMounts backupdr.managementServers.manageWorkflows backupdr.managementServers.refreshWorkflows backupdr.managementServers.runWorkflows backupdr.managementServers.viewBackupPlans backupdr.managementServers.viewReports backupdr.managementServers.viewStorage backupdr.managementServers.viewSystem backupdr.managementServers.viewWorkflows backupdr.operations.get backupdr.operations.list resourcemanager.projects.get resourcemanager.projects.list
Backup and DR Restore User (roles/backupdr.restoreUser) Allows the user to restore or mount from a backup. This role cannot create a backup plan.	backupdr.backupVaults.get backupdr.backupVaults.list backupdr.bvbackups.get backupdr.bvbackups.list backupdr.bvbackups.restore backupdr.bvdataSources.get backupdr.bvdataSources.list backupdr.compute.restoreFromBackupVault backupdr.locations.* backupdr.locations.get backupdr.locations.list backupdr.managementServers.access backupdr.managementServers.get backupdr.managementServers.getDynamicProtection backupdr.managementServers.list backupdr.managementServers.listDynamicProtection backupdr.managementServers.manageApplications backupdr.managementServers.manageClones backupdr.managementServers.manageHosts backupdr.managementServers.manageLiveClones backupdr.managementServers.manageMigrations backupdr.managementServers.manageMirroring backupdr.managementServers.manageMounts backupdr.managementServers.manageRestores backupdr.managementServers.manageWorkflows backupdr.managementServers.refreshWorkflows backupdr.managementServers.runWorkflows backupdr.managementServers.testFailOvers backupdr.managementServers.viewBackupPlans backupdr.managementServers.viewReports backupdr.managementServers.viewStorage backupdr.managementServers.viewSystem backupdr.managementServers.viewWorkflows backupdr.operations.get backupdr.operations.list resourcemanager.projects.get resourcemanager.projects.list
Backup and DR User (roles/backupdr.user) Provides access to management console. Granular Backup and DR permissions depend on ACL configuration provided by Backup and DR admin within the management console.	backupdr.backupPlanAssociations.createForComputeInstance backupdr.backupPlanAssociations.deleteForComputeInstance backupdr.managementServers.access backupdr.managementServers.backupAccess backupdr.managementServers.get backupdr.managementServers.getDynamicProtection backupdr.managementServers.getIamPolicy backupdr.managementServers.list backupdr.managementServers.listDynamicProtection backupdr.managementServers.viewBackupPlans backupdr.managementServers.viewBackupServers backupdr.managementServers.viewReports backupdr.managementServers.viewStorage backupdr.managementServers.viewSystem backupdr.managementServers.viewWorkflows backupdr.operations.get backupdr.operations.list resourcemanager.projects.get resourcemanager.projects.list
Backup and DR User V2 (roles/backupdr.userv2) Provides full access to Backup and DR resources except deploying and managing backup infrastructure, expiring backups, changing data sensitivity and configuring on-premises billing.	backupdr.backupPlanAssociations.* backupdr.backupPlanAssociations.createForComputeInstance backupdr.backupPlanAssociations.deleteForComputeInstance backupdr.backupPlanAssociations.get backupdr.backupPlanAssociations.list backupdr.backupPlanAssociations.triggerBackupForComputeInstance backupdr.backupPlans.* backupdr.backupPlans.create backupdr.backupPlans.delete backupdr.backupPlans.get backupdr.backupPlans.list backupdr.backupPlans.useForComputeInstance backupdr.backupVaults.associate backupdr.backupVaults.get backupdr.backupVaults.list backupdr.bvbackups.get backupdr.bvbackups.list backupdr.bvbackups.restore backupdr.bvdataSources.get backupdr.bvdataSources.list backupdr.compute.restoreFromBackupVault backupdr.locations.* backupdr.locations.get backupdr.locations.list backupdr.managementServers.access backupdr.managementServers.assignBackupPlans backupdr.managementServers.backupAccess backupdr.managementServers.createDynamicProtection backupdr.managementServers.deleteDynamicProtection backupdr.managementServers.get backupdr.managementServers.getDynamicProtection backupdr.managementServers.getIamPolicy backupdr.managementServers.list backupdr.managementServers.listDynamicProtection backupdr.managementServers.manageApplications backupdr.managementServers.manageBackupPlans backupdr.managementServers.manageBackups backupdr.managementServers.manageClones backupdr.managementServers.manageHosts backupdr.managementServers.manageJobs backupdr.managementServers.manageLiveClones backupdr.managementServers.manageMigrations backupdr.managementServers.manageMirroring backupdr.managementServers.manageMounts backupdr.managementServers.manageRestores backupdr.managementServers.manageWorkflows backupdr.managementServers.refreshWorkflows backupdr.managementServers.runWorkflows backupdr.managementServers.testFailOvers backupdr.managementServers.viewBackupPlans backupdr.managementServers.viewBackupServers backupdr.managementServers.viewReports backupdr.managementServers.viewStorage backupdr.managementServers.viewSystem backupdr.managementServers.viewWorkflows backupdr.operations.get backupdr.operations.list resourcemanager.projects.get resourcemanager.projects.list
Backup and DR Viewer (roles/backupdr.viewer) Provides read-only access to all Backup and DR resources.	backupdr.backupPlanAssociations.get backupdr.backupPlanAssociations.list backupdr.backupPlans.get backupdr.backupPlans.list backupdr.backupVaults.get backupdr.backupVaults.list backupdr.bvbackups.get backupdr.bvbackups.list backupdr.bvdataSources.get backupdr.bvdataSources.list backupdr.locations.* backupdr.locations.get backupdr.locations.list backupdr.managementServers.access backupdr.managementServers.backupAccess backupdr.managementServers.get backupdr.managementServers.getDynamicProtection backupdr.managementServers.getIamPolicy backupdr.managementServers.list backupdr.managementServers.listDynamicProtection backupdr.managementServers.viewBackupPlans backupdr.managementServers.viewBackupServers backupdr.managementServers.viewReports backupdr.managementServers.viewStorage backupdr.managementServers.viewSystem backupdr.managementServers.viewWorkflows backupdr.operations.get backupdr.operations.list resourcemanager.projects.get resourcemanager.projects.list

Funciones básicas

Las funciones básicas son funciones a nivel de proyecto anteriores a IAM. Consulta Funciones básicas para obtener más detalles.

Si bien la copia de seguridad y la DR admiten los siguientes roles básicos, debes usar uno de los roles predefinidos siempre que sea posible. Las funciones básicas incluyen permisos amplios que se aplican a todos tus recursos de Google Cloud ; en cambio, los roles predefinidos de Copia de seguridad y DR incluyen permisos detallados que se aplican solo a Copia de seguridad y DR.

Roles de IAM básicos	Descripción
Editor (roles/editor)	Proporciona acceso completo a todos los recursos de copia de seguridad y DR.
Propietario (roles/owner)	Proporciona acceso completo a todos los recursos de copia de seguridad y DR.

Permisos de IAM para el servicio de copia de seguridad y DR

En la siguiente tabla, se enumeran los permisos de IAM asociados con el servicio de copia de seguridad y DR. Los permisos de IAM se agrupan en funciones y asignas funciones a usuarios y grupos.

En la siguiente tabla, se muestra la descripción de cada permiso de copia de seguridad y DR.

Nombre del permiso	Descripción
backupdr.managementServers.manageClones	Proporciona permisos para crear y administrar clones a partir de copias de seguridad.
backupdr.managementServers.manageLiveClones	Proporciona permisos para crear y administrar LiveClones a partir de copias de seguridad.
backupdr.managementServers.manageMounts	Proporciona permisos para crear y administrar activaciones desde copias de seguridad.
backupdr.managementServers.manageRestores	Proporciona los permisos necesarios para restablecer desde copias de seguridad.
backupdr.managementServers.manageBackups	Proporciona permisos para realizar operaciones de copia de seguridad: Realizar copia de seguridad ahora.
backupdr.managementServers.viewSystem	Proporciona acceso para ver la configuración del dispositivo de copia de seguridad o recuperación.
backupdr.managementServers.manageSystem	Proporciona permisos para configurar dispositivos de copia de seguridad o recuperación y el administrador de informes.
backupdr.managementServers.viewStorage	Proporciona acceso para ver las configuraciones del almacenamiento y del grupo de discos.
backupdr.managementServers.manageStorage	Proporciona permisos para agregar, modificar, quitar y ver grupos de almacenamiento y discos.
backupdr.managementServers.viewBackupPlans	Proporciona acceso para ver los planes de copia de seguridad, las plantillas de copia de seguridad y los perfiles de recursos.
backupdr.managementServers.assignBackupPlans	Proporciona permisos para asignar planes de copia de seguridad preconfigurados (plantillas de copia de seguridad y perfiles de recursos) a aplicaciones o cargas de trabajo.
backupdr.managementServers.manageBackupPlans	Proporciona permisos para crear, modificar, borrar, ver y asignar planes de copia de seguridad, plantillas de copia de seguridad y perfiles de recursos.
backupdr.managementServers.testFailOvers	Proporciona permisos para realizar operaciones de conmutación por error de prueba y borrarlas en una copia de seguridad remota de StreamSnap.
backupdr.managementServers.viewWorkflows	Proporciona acceso para ver los flujos de trabajo de Backup and DR que automatizan el acceso para copiar datos en el servicio Backup and DR.
backupdr.managementServers.runWorkflows	Proporciona permisos para ejecutar flujos de trabajo de copia de seguridad y DR preconfigurados que automatizan el acceso para copiar datos dentro del servicio de copia de seguridad y DR.
backupdr.managementServers.refreshWorkflows	Proporciona permisos para actualizar una clon que creó un flujo de trabajo de copia de seguridad de Backup and DR que automatiza el acceso para copiar datos dentro del servicio de Backup and DR.
backupdr.managementServers.manageWorkflows	Proporciona permisos para agregar, modificar, quitar, ejecutar y ver el flujo de trabajo de copia de seguridad de Backup and DR que automatiza el acceso para copiar datos dentro del servicio de Backup and DR.
backupdr.managementServers.manageMirroring	Proporciona permisos para realizar operaciones de conmutación por error, sincronización, limpieza, recuperación, prueba de conmutación por error y eliminación de pruebas de conmutación por error en una copia de seguridad remota de StreamSnap.
backupdr.managementServers.manageHosts	Proporciona permisos para agregar, modificar, quitar y ver hosts (máquinas físicas y virtuales).
backupdr.managementServers.manageApplications	Proporciona permisos para administrar todos los aspectos de las aplicaciones, incluidos los grupos lógicos y los grupos de coherencia, ejecutar copias de seguridad a pedido y exportar plantillas.
backupdr.managementServers.manageSensitiveData	Proporciona los permisos necesarios para marcar aplicaciones y copias de seguridad como datos sensibles o no sensibles.
backupdr.managementServers.accessSensitiveData	Proporciona acceso a las aplicaciones y las copias de seguridad marcadas como sensibles.
backupdr.managementServers.manageBackupServers	Proporciona los permisos necesarios para ejecutar las APIs de Backup Server a través de la consola de administración.
backupdr.managementServers.manageExpiration	Proporciona los permisos necesarios para vencer las copias de seguridad.
backupdr.managementServers.access	Proporciona acceso a la consola de administración y a las APIs asociadas.
backupdr.managementServers.onpremUsageUpload	Proporciona acceso a todos los extremos necesarios para subir el uso a un adaptador local.
backupdr.managementServers.viewReports	Proporciona acceso al Administrador de informes para ejecutar informes y ver o descargar los resultados.
backupdr.managementServers.manageJobs	Proporciona permisos para cancelar trabajos y modificar su prioridad.
backupdr.managementServers.manageMigrations	Proporciona permisos para administrar la migración de datos montados como paso final en una operación de restauración o clonación.