Mengontrol akses ke Backup and DR Service dengan IAM

Halaman ini menguraikan peran dan izin IAM yang diperlukan untuk Google Cloud . Saat menambahkan akun utama baru ke project, Anda dapat menggunakan kebijakan Identity and Access Management (IAM) untuk memberi akun utama tersebut satu atau beberapa peran IAM. Setiap peran IAM berisi izin yang memberikan akses kepada akun utama untuk melakukan tindakan tertentu pada resource tertentu. Untuk daftar referensi izin IAM yang berlaku untuk Layanan Pencadangan dan DR, lihat Izin IAM untuk Layanan Pencadangan dan DR.

Cara IAM mengontrol akses

Jika akun utama–akun pengguna, grup, atau layanan–memanggil Google Cloud API, akun utama tersebut harus memiliki izin IAM yang sesuai untuk menggunakan resource. Untuk memberikan akun utama izin yang diperlukan, Anda memberikan peran IAM kepada akun utama. Pelajari akun utama di IAM lebih lanjut.

Jenis peran IAM

Backup and DR Service memiliki peran bawaan yang merupakan izin yang dipaketkan agar dapat ditetapkan ke prinsip yang berbeda. Pengguna juga dapat menentukan peran khusus yang dapat memiliki kombinasi izin individual untuk memberikan akses guna menjalankan tindakan atau Alur Kerja Pencadangan dan DR tertentu.

Izin IAM

Izin memungkinkan pengguna melakukan tindakan tertentu pada resource tertentu. Kemampuan tersebut dapat dikelompokkan untuk membentuk peran. Setiap izin mengacu pada tindakan tertentu yang dapat dilakukan pengguna atau akses yang mereka miliki.

Izin tingkat project versus tingkat resource

Izin dapat diberikan di tingkat project atau di tingkat resource. Misalnya, administrator Pencadangan dan DR dapat memilih untuk hanya memberikan izin tertentu pada tingkat bucket penyimpanan, bukan seluruh project, bergantung pada kebijakannya. Pemberian peran pada level resource tidak memengaruhi peran yang sudah ada yang Anda berikan di level project, dan sebaliknya.

Peran IAM bawaan untuk Layanan Pencadangan dan DR

Layanan Pencadangan dan DR memiliki serangkaian peran IAM bawaan yang dijelaskan di halaman ini. Anda juga dapat membuat peran khusus yang berisi subset izin yang dipetakan langsung ke kebutuhan Anda.

Tabel berikut menjelaskan peran IAM yang terkait dengan Layanan Pencadangan dan DR serta mencantumkan izin yang terdapat dalam setiap peran. Deskripsi untuk setiap izin tercantum di bagian Izin IAM untuk Layanan Pencadangan dan DR.

Role	Permissions
Backup and DR Admin (roles/backupdr.admin) Provides full access to all Backup and DR resources.	backupdr.backupPlanAssociations.* backupdr.backupPlanAssociations.createForComputeInstance backupdr.backupPlanAssociations.deleteForComputeInstance backupdr.backupPlanAssociations.get backupdr.backupPlanAssociations.list backupdr.backupPlanAssociations.triggerBackupForComputeInstance backupdr.backupPlans.* backupdr.backupPlans.create backupdr.backupPlans.delete backupdr.backupPlans.get backupdr.backupPlans.list backupdr.backupPlans.useForComputeInstance backupdr.backupVaults.* backupdr.backupVaults.associate backupdr.backupVaults.create backupdr.backupVaults.delete backupdr.backupVaults.get backupdr.backupVaults.list backupdr.backupVaults.update backupdr.bvbackups.* backupdr.bvbackups.delete backupdr.bvbackups.get backupdr.bvbackups.list backupdr.bvbackups.restore backupdr.bvbackups.update backupdr.bvdataSources.* backupdr.bvdataSources.abandonBackup backupdr.bvdataSources.fetchAccessToken backupdr.bvdataSources.finalizeBackup backupdr.bvdataSources.get backupdr.bvdataSources.initiateBackup backupdr.bvdataSources.list backupdr.bvdataSources.remove backupdr.bvdataSources.setInternalStatus backupdr.bvdataSources.update backupdr.compute.restoreFromBackupVault backupdr.locations.* backupdr.locations.get backupdr.locations.list backupdr.managementServers.* backupdr.managementServers.access backupdr.managementServers.accessSensitiveData backupdr.managementServers.assignBackupPlans backupdr.managementServers.backupAccess backupdr.managementServers.create backupdr.managementServers.createConnection backupdr.managementServers.createDynamicProtection backupdr.managementServers.delete backupdr.managementServers.deleteDynamicProtection backupdr.managementServers.get backupdr.managementServers.getDynamicProtection backupdr.managementServers.getIamPolicy backupdr.managementServers.list backupdr.managementServers.listDynamicProtection backupdr.managementServers.manageApplications backupdr.managementServers.manageBackupPlans backupdr.managementServers.manageBackupServers backupdr.managementServers.manageBackups backupdr.managementServers.manageClones backupdr.managementServers.manageExpiration backupdr.managementServers.manageHosts backupdr.managementServers.manageInternalACL backupdr.managementServers.manageJobs backupdr.managementServers.manageLiveClones backupdr.managementServers.manageMigrations backupdr.managementServers.manageMirroring backupdr.managementServers.manageMounts backupdr.managementServers.manageRestores backupdr.managementServers.manageSensitiveData backupdr.managementServers.manageStorage backupdr.managementServers.manageSystem backupdr.managementServers.manageWorkflows backupdr.managementServers.refreshWorkflows backupdr.managementServers.runWorkflows backupdr.managementServers.setIamPolicy backupdr.managementServers.testFailOvers backupdr.managementServers.viewBackupPlans backupdr.managementServers.viewBackupServers backupdr.managementServers.viewReports backupdr.managementServers.viewStorage backupdr.managementServers.viewSystem backupdr.managementServers.viewWorkflows backupdr.operations.* backupdr.operations.cancel backupdr.operations.delete backupdr.operations.get backupdr.operations.list backupdr.serviceConfig.initialize resourcemanager.projects.get resourcemanager.projects.list
Backup and DR Backup Config Viewer ^Beta (roles/backupdr.backupConfigViewer) Provides read access to resource backup config. Resource backup config has the metadata of a Google Cloud resource that can be backed up, along with its backup configurations.	backupdr.resourceBackupConfigs.* backupdr.resourceBackupConfigs.get backupdr.resourceBackupConfigs.list
Backup and DR Backup User (roles/backupdr.backupUser) Allows the user to apply existing backup plans. This role cannot create backup plans or restore from a backup.	backupdr.backupPlanAssociations.* backupdr.backupPlanAssociations.createForComputeInstance backupdr.backupPlanAssociations.deleteForComputeInstance backupdr.backupPlanAssociations.get backupdr.backupPlanAssociations.list backupdr.backupPlanAssociations.triggerBackupForComputeInstance backupdr.backupPlans.get backupdr.backupPlans.list backupdr.backupPlans.useForComputeInstance backupdr.backupVaults.get backupdr.backupVaults.list backupdr.bvbackups.get backupdr.bvbackups.list backupdr.bvdataSources.get backupdr.bvdataSources.list backupdr.locations.* backupdr.locations.get backupdr.locations.list backupdr.managementServers.access backupdr.managementServers.assignBackupPlans backupdr.managementServers.createDynamicProtection backupdr.managementServers.deleteDynamicProtection backupdr.managementServers.get backupdr.managementServers.getDynamicProtection backupdr.managementServers.list backupdr.managementServers.listDynamicProtection backupdr.managementServers.manageApplications backupdr.managementServers.manageBackups backupdr.managementServers.manageHosts backupdr.managementServers.viewBackupPlans backupdr.managementServers.viewReports backupdr.managementServers.viewStorage backupdr.managementServers.viewSystem backupdr.operations.get backupdr.operations.list resourcemanager.projects.get resourcemanager.projects.list
Backup and DR Backup Vault Accessor (roles/backupdr.backupvaultAccessor) Allows the Backup Appliance permissions to create and manage backups in a backup vault.	backupdr.backupVaults.get backupdr.backupVaults.list backupdr.bvbackups.delete backupdr.bvbackups.get backupdr.bvbackups.list backupdr.bvbackups.update backupdr.bvdataSources.* backupdr.bvdataSources.abandonBackup backupdr.bvdataSources.fetchAccessToken backupdr.bvdataSources.finalizeBackup backupdr.bvdataSources.get backupdr.bvdataSources.initiateBackup backupdr.bvdataSources.list backupdr.bvdataSources.remove backupdr.bvdataSources.setInternalStatus backupdr.bvdataSources.update backupdr.operations.* backupdr.operations.cancel backupdr.operations.delete backupdr.operations.get backupdr.operations.list
Backup and DR Backup Vault Admin (roles/backupdr.backupvaultAdmin) Allows the Backup Appliance full administrative control of backup vault resources.	backupdr.backupVaults.* backupdr.backupVaults.associate backupdr.backupVaults.create backupdr.backupVaults.delete backupdr.backupVaults.get backupdr.backupVaults.list backupdr.backupVaults.update backupdr.bvbackups.* backupdr.bvbackups.delete backupdr.bvbackups.get backupdr.bvbackups.list backupdr.bvbackups.restore backupdr.bvbackups.update backupdr.bvdataSources.get backupdr.bvdataSources.list backupdr.bvdataSources.update backupdr.compute.restoreFromBackupVault backupdr.locations.* backupdr.locations.get backupdr.locations.list backupdr.operations.* backupdr.operations.cancel backupdr.operations.delete backupdr.operations.get backupdr.operations.list
Backup and DR Backup Vault Lister (roles/backupdr.backupvaultLister) Allows the Backup Appliance permission to list backup vaults in a given project.	backupdr.backupVaults.list
Backup and DR Backup Vault Viewer (roles/backupdr.backupvaultViewer) Allows read-only permissions to access backup vault resources and backups.	backupdr.backupVaults.get backupdr.backupVaults.list backupdr.bvbackups.get backupdr.bvbackups.list backupdr.bvdataSources.get backupdr.bvdataSources.list backupdr.operations.get backupdr.operations.list
Backup and DR Cloud Storage Operator (roles/backupdr.cloudStorageOperator) Allows a Backup and DR service account to store and manage data (backups or metadata) in Cloud Storage.	storage.buckets.create storage.buckets.get storage.objects.create storage.objects.delete storage.objects.get storage.objects.list
Backup and DR Compute Engine Operator (roles/backupdr.computeEngineOperator) Allows a Backup and DR service account to discover, back up, and restore Compute Engine VM instances.	backupdr.managementServers.createConnection compute.addresses.list compute.addresses.use compute.addresses.useInternal compute.diskTypes.* compute.diskTypes.get compute.diskTypes.list compute.disks.create compute.disks.createSnapshot compute.disks.delete compute.disks.get compute.disks.setLabels compute.disks.use compute.firewalls.list compute.globalOperations.get compute.images.create compute.images.delete compute.images.get compute.images.useReadOnly compute.instances.attachDisk compute.instances.create compute.instances.createTagBinding compute.instances.delete compute.instances.detachDisk compute.instances.get compute.instances.list compute.instances.listEffectiveTags compute.instances.pscInterfaceCreate compute.instances.setDeletionProtection compute.instances.setLabels compute.instances.setMetadata compute.instances.setServiceAccount compute.instances.setTags compute.instances.start compute.instances.stop compute.instances.updateDisplayDevice compute.instances.useReadOnly compute.machineTypes.* compute.machineTypes.get compute.machineTypes.list compute.networks.list compute.nodeGroups.get compute.nodeGroups.list compute.nodeTemplates.get compute.projects.get compute.regionOperations.get compute.regions.* compute.regions.get compute.regions.list compute.resourcePolicies.use compute.snapshots.create compute.snapshots.delete compute.snapshots.get compute.snapshots.setLabels compute.snapshots.useReadOnly compute.subnetworks.list compute.subnetworks.use compute.subnetworks.useExternalIp compute.zoneOperations.get compute.zones.list iam.serviceAccounts.actAs iam.serviceAccounts.get iam.serviceAccounts.list resourcemanager.projects.get resourcemanager.projects.list
Backup and DR Management Server Accessor ^Beta (roles/backupdr.managementServerAccessor) Grants the Backup and DR management server access role to Backup Appliances.	backupdr.managementServers.createConnection
Backup and DR Mount User (roles/backupdr.mountUser) Allows the user to mount from a backup. This role cannot create a backup plan or restore from a backup.	backupdr.locations.* backupdr.locations.get backupdr.locations.list backupdr.managementServers.access backupdr.managementServers.get backupdr.managementServers.getDynamicProtection backupdr.managementServers.list backupdr.managementServers.listDynamicProtection backupdr.managementServers.manageApplications backupdr.managementServers.manageClones backupdr.managementServers.manageHosts backupdr.managementServers.manageLiveClones backupdr.managementServers.manageMirroring backupdr.managementServers.manageMounts backupdr.managementServers.manageWorkflows backupdr.managementServers.refreshWorkflows backupdr.managementServers.runWorkflows backupdr.managementServers.viewBackupPlans backupdr.managementServers.viewReports backupdr.managementServers.viewStorage backupdr.managementServers.viewSystem backupdr.managementServers.viewWorkflows backupdr.operations.get backupdr.operations.list resourcemanager.projects.get resourcemanager.projects.list
Backup and DR Restore User (roles/backupdr.restoreUser) Allows the user to restore or mount from a backup. This role cannot create a backup plan.	backupdr.backupVaults.get backupdr.backupVaults.list backupdr.bvbackups.get backupdr.bvbackups.list backupdr.bvbackups.restore backupdr.bvdataSources.get backupdr.bvdataSources.list backupdr.compute.restoreFromBackupVault backupdr.locations.* backupdr.locations.get backupdr.locations.list backupdr.managementServers.access backupdr.managementServers.get backupdr.managementServers.getDynamicProtection backupdr.managementServers.list backupdr.managementServers.listDynamicProtection backupdr.managementServers.manageApplications backupdr.managementServers.manageClones backupdr.managementServers.manageHosts backupdr.managementServers.manageLiveClones backupdr.managementServers.manageMigrations backupdr.managementServers.manageMirroring backupdr.managementServers.manageMounts backupdr.managementServers.manageRestores backupdr.managementServers.manageWorkflows backupdr.managementServers.refreshWorkflows backupdr.managementServers.runWorkflows backupdr.managementServers.testFailOvers backupdr.managementServers.viewBackupPlans backupdr.managementServers.viewReports backupdr.managementServers.viewStorage backupdr.managementServers.viewSystem backupdr.managementServers.viewWorkflows backupdr.operations.get backupdr.operations.list resourcemanager.projects.get resourcemanager.projects.list
Backup and DR User (roles/backupdr.user) Provides access to management console. Granular Backup and DR permissions depend on ACL configuration provided by Backup and DR admin within the management console.	backupdr.backupPlanAssociations.createForComputeInstance backupdr.backupPlanAssociations.deleteForComputeInstance backupdr.managementServers.access backupdr.managementServers.backupAccess backupdr.managementServers.get backupdr.managementServers.getDynamicProtection backupdr.managementServers.getIamPolicy backupdr.managementServers.list backupdr.managementServers.listDynamicProtection backupdr.managementServers.viewBackupPlans backupdr.managementServers.viewBackupServers backupdr.managementServers.viewReports backupdr.managementServers.viewStorage backupdr.managementServers.viewSystem backupdr.managementServers.viewWorkflows backupdr.operations.get backupdr.operations.list resourcemanager.projects.get resourcemanager.projects.list
Backup and DR User V2 (roles/backupdr.userv2) Provides full access to Backup and DR resources except deploying and managing backup infrastructure, expiring backups, changing data sensitivity and configuring on-premises billing.	backupdr.backupPlanAssociations.* backupdr.backupPlanAssociations.createForComputeInstance backupdr.backupPlanAssociations.deleteForComputeInstance backupdr.backupPlanAssociations.get backupdr.backupPlanAssociations.list backupdr.backupPlanAssociations.triggerBackupForComputeInstance backupdr.backupPlans.* backupdr.backupPlans.create backupdr.backupPlans.delete backupdr.backupPlans.get backupdr.backupPlans.list backupdr.backupPlans.useForComputeInstance backupdr.backupVaults.associate backupdr.backupVaults.get backupdr.backupVaults.list backupdr.bvbackups.get backupdr.bvbackups.list backupdr.bvbackups.restore backupdr.bvdataSources.get backupdr.bvdataSources.list backupdr.compute.restoreFromBackupVault backupdr.locations.* backupdr.locations.get backupdr.locations.list backupdr.managementServers.access backupdr.managementServers.assignBackupPlans backupdr.managementServers.backupAccess backupdr.managementServers.createDynamicProtection backupdr.managementServers.deleteDynamicProtection backupdr.managementServers.get backupdr.managementServers.getDynamicProtection backupdr.managementServers.getIamPolicy backupdr.managementServers.list backupdr.managementServers.listDynamicProtection backupdr.managementServers.manageApplications backupdr.managementServers.manageBackupPlans backupdr.managementServers.manageBackups backupdr.managementServers.manageClones backupdr.managementServers.manageHosts backupdr.managementServers.manageJobs backupdr.managementServers.manageLiveClones backupdr.managementServers.manageMigrations backupdr.managementServers.manageMirroring backupdr.managementServers.manageMounts backupdr.managementServers.manageRestores backupdr.managementServers.manageWorkflows backupdr.managementServers.refreshWorkflows backupdr.managementServers.runWorkflows backupdr.managementServers.testFailOvers backupdr.managementServers.viewBackupPlans backupdr.managementServers.viewBackupServers backupdr.managementServers.viewReports backupdr.managementServers.viewStorage backupdr.managementServers.viewSystem backupdr.managementServers.viewWorkflows backupdr.operations.get backupdr.operations.list resourcemanager.projects.get resourcemanager.projects.list
Backup and DR Viewer (roles/backupdr.viewer) Provides read-only access to all Backup and DR resources.	backupdr.backupPlanAssociations.get backupdr.backupPlanAssociations.list backupdr.backupPlans.get backupdr.backupPlans.list backupdr.backupVaults.get backupdr.backupVaults.list backupdr.bvbackups.get backupdr.bvbackups.list backupdr.bvdataSources.get backupdr.bvdataSources.list backupdr.locations.* backupdr.locations.get backupdr.locations.list backupdr.managementServers.access backupdr.managementServers.backupAccess backupdr.managementServers.get backupdr.managementServers.getDynamicProtection backupdr.managementServers.getIamPolicy backupdr.managementServers.list backupdr.managementServers.listDynamicProtection backupdr.managementServers.viewBackupPlans backupdr.managementServers.viewBackupServers backupdr.managementServers.viewReports backupdr.managementServers.viewStorage backupdr.managementServers.viewSystem backupdr.managementServers.viewWorkflows backupdr.operations.get backupdr.operations.list resourcemanager.projects.get resourcemanager.projects.list

Peran dasar

Peran dasar adalah peran level project yang sudah ada sebelum IAM. Lihat Peran dasar untuk detail tambahan.

Meskipun Pencadangan dan DR mendukung peran dasar berikut, Anda harus menggunakan salah satu peran yang telah ditetapkan jika memungkinkan. Peran dasar mencakup izin luas yang berlaku untuk semua resource Google Cloud ; sebaliknya, peran standar Pencadangan dan DR mencakup izin terperinci yang hanya berlaku untuk Pencadangan dan DR.

Peran IAM dasar	Deskripsi
Editor (roles/editor)	Memberikan akses penuh ke semua resource Backup dan DR.
Pemilik (roles/owner)	Memberikan akses penuh ke semua resource Backup dan DR.

Izin IAM untuk Backup and DR Service

Tabel berikut mencantumkan izin IAM yang terkait dengan Layanan Pencadangan dan DR. Izin IAM dikelompokkan ke dalam peran, dan Anda menetapkan peran kepada pengguna dan grup.

Tabel berikut mencantumkan deskripsi untuk setiap izin Pencadangan dan DR.

Nama izin	Deskripsi
backupdr.managementServers.manageClones	Memberikan izin untuk membuat dan mengelola clone dari pencadangan.
backupdr.managementServers.manageLiveClones	Memberikan izin untuk membuat dan mengelola LiveClone dari cadangan.
backupdr.managementServers.manageMounts	Memberikan izin untuk membuat dan mengelola pemasangan aktif dari pencadangan.
backupdr.managementServers.manageRestores	Memberikan izin yang diperlukan untuk memulihkan dari cadangan.
backupdr.managementServers.manageBackups	Memberikan izin untuk melakukan operasi pencadangan: Cadangkan Sekarang.
backupdr.managementServers.viewSystem	Memberikan akses untuk melihat konfigurasi perangkat pencadangan/pemulihan.
backupdr.managementServers.manageSystem	Memberikan izin untuk mengonfigurasi perangkat pencadangan/pemulihan dan pengelola laporan.
backupdr.managementServers.viewStorage	Memberikan akses untuk melihat konfigurasi penyimpanan dan kumpulan disk.
backupdr.managementServers.manageStorage	Memberikan izin untuk menambahkan, mengubah, menghapus, dan melihat penyimpanan serta penyimpanan gabungan disk.
backupdr.managementServers.viewBackupPlans	Memberikan akses untuk melihat rencana pencadangan — template pencadangan dan profil resource.
backupdr.managementServers.assignBackupPlans	Memberikan izin untuk menetapkan rencana pencadangan yang telah dikonfigurasi sebelumnya — template pencadangan dan profil resource ke aplikasi atau beban kerja.
backupdr.managementServers.manageBackupPlans	Memberikan izin untuk membuat, mengubah, menghapus, melihat, dan menetapkan rencana pencadangan — template pencadangan dan profil resource.
backupdr.managementServers.testFailOvers	Memberikan izin untuk melakukan failover pengujian dan menghapus operasi failover pengujian pada pencadangan StreamSnap jarak jauh.
backupdr.managementServers.viewWorkflows	Memberikan akses untuk melihat Alur Kerja Backup and DR cadangan yang mengotomatiskan akses untuk menyalin data dalam Layanan Backup and DR.
backupdr.managementServers.runWorkflows	Memberikan izin untuk menjalankan Alur Kerja Pencadangan dan DR yang telah dikonfigurasi sebelumnya yang mengotomatiskan akses untuk menyalin data dalam Layanan Pencadangan dan DR.
backupdr.managementServers.refreshWorkflows	Memberikan izin untuk memuat ulang clone yang dibuat oleh Alur Kerja Pencadangan dan DR pencadangan yang mengotomatiskan akses untuk menyalin data dalam Layanan Pencadangan dan DR.
backupdr.managementServers.manageWorkflows	Memberikan izin untuk menambahkan, mengubah, menghapus, menjalankan, dan melihat Alur Kerja Pencadangan dan DR pencadangan yang mengotomatiskan akses untuk menyalin data dalam Layanan Pencadangan dan DR.
backupdr.managementServers.manageMirroring	Memberikan izin untuk melakukan failover, sinkronisasi kembali, pembersihan, failback, pengujian failover, dan menghapus operasi pengujian failover pada pencadangan StreamSnap jarak jauh.
backupdr.managementServers.manageHosts	Memberikan izin untuk menambahkan, mengubah, menghapus, dan melihat host — mesin fisik dan virtual
backupdr.managementServers.manageApplications	Memberikan izin untuk mengelola semua aspek aplikasi, termasuk grup logika dan grup konsistensi, menjalankan pencadangan sesuai permintaan, dan mengekspor template.
backupdr.managementServers.manageSensitiveData	Memberikan izin yang diperlukan untuk menandai aplikasi dan cadangan sebagai data sensitif atau tidak sensitif.
backupdr.managementServers.accessSensitiveData	Memberikan akses ke aplikasi dan cadangan yang ditandai sebagai sensitif.
backupdr.managementServers.manageBackupServers	Memberikan izin yang diperlukan untuk menjalankan Backup Server API melalui konsol pengelolaan.
backupdr.managementServers.manageExpiration	Memberikan izin yang diperlukan untuk menghentikan masa berlaku pencadangan.
backupdr.managementServers.access	Memberikan akses ke konsol pengelolaan dan API terkait.
backupdr.managementServers.onpremUsageUpload	Memberikan akses ke semua endpoint yang diperlukan untuk mengupload penggunaan ke adaptor on-premise.
backupdr.managementServers.viewReports	Memberikan akses ke Pengelola Laporan untuk menjalankan laporan dan melihat atau mendownload output.
backupdr.managementServers.manageJobs	Memberikan izin untuk membatalkan tugas dan mengubah prioritas tugas.
backupdr.managementServers.manageMigrations	Memberikan izin untuk mengelola migrasi data yang dipasang sebagai langkah terakhir dalam operasi pemulihan atau cloning.