Ruoli e autorizzazioni IAM

Il controllo dell'accesso in Cloud Build viene controllato utilizzando Identity and Access Management (IAM). IAM consente di creare e gestire delle autorizzazioni per le risorse Google Cloud. Cloud Build fornisce un modello insieme di ruoli IAM predefiniti in cui ogni ruolo contiene un insieme di autorizzazioni. Puoi usare questi ruoli per assegnare un accesso più granulare a specifiche risorse Google Cloud e prevenire ad altre risorse. IAM consente di adottare principio di sicurezza del privilegio minimo, in modo da concedere solo l'accesso necessario alle tue risorse.

In questa pagina vengono descritti i ruoli e le autorizzazioni di Cloud Build.

Ruoli predefiniti di Cloud Build

Con IAM, ogni metodo API nell'API Cloud Build richiede che l'identità che effettua la richiesta API disponga delle autorizzazioni appropriate per utilizzare la risorsa. Le autorizzazioni vengono concesse impostando criteri che concedono ruoli a un entità (account utente, gruppo o di servizio). Puoi concedere più ruoli a un dell'entità sulla stessa risorsa.

La tabella seguente elenca i ruoli IAM di Cloud Build le autorizzazioni che includono:

Ruolo	Descrizione	Autorizzazioni
Nome: roles/cloudbuild.builds.viewer Titolo: Visualizzatore Cloud Build	Può visualizzare Cloud Build risorse	cloudbuild.builds.get cloudbuild.builds.list remotebuildexecution.blobs.get resourcemanager.projects.get resourcemanager.projects.list
Nome: roles/cloudbuild.builds.editor Titolo: Editor Cloud Build	Controllo completo di Cloud Build risorse	cloudbuild.builds.create cloudbuild.builds.get cloudbuild.builds.list cloudbuild.builds.update remotebuildexecution.blobs.get resourcemanager.projects.get resourcemanager.projects.list
Nome: roles/cloudbuild.builds.approver Titolo: Approvatore Cloud Build	Fornisci l'accesso per approvare o rifiuta build in sospeso	cloudbuild.builds.approve cloudbuild.builds.get cloudbuild.builds.list remotebuildexecution.blobs.get resourcemanager.projects.get resourcemanager.projects.list
Nome: roles/cloudbuild.builds.builder Titolo: Account di servizio Cloud Build	Quando attivi API Cloud Build per un progetto, l'account di servizio Cloud Build viene creato automaticamente nel progetto e gli viene concesso questo ruolo per le risorse nel progetto. Cloud Build l'account di servizio utilizza questo ruolo solo come necessaria per eseguire azioni quando che esegue la build.	Per un elenco di autorizzazioni contenuti in questo ruolo, consulta Account di servizio Cloud Build.
Nome: roles/cloudbuild.integrations.viewer Titolo: Visualizzatore integrazioni Cloud Build	Può visualizzare Cloud Build connessioni host	cloudbuild.integrations.get cloudbuild.integrations.list resourcemanager.projects.get resourcemanager.projects.list
Nome:roles/cloudbuild.integrations.editor Titolo: Editor integrazioni di Cloud Build	Modifica controllo di Cloud Build connessioni host	cloudbuild.integrations.get cloudbuild.integrations.list cloudbuild.integrations.update resourcemanager.projects.get resourcemanager.projects.list
Nome:roles/cloudbuild.integrations.owner Titolo: Proprietario integrazioni Cloud Build	Controllo completo di Cloud Build connessioni host	cloudbuild.integrations.create cloudbuild.integrations.delete cloudbuild.integrations.get cloudbuild.integrations.list cloudbuild.integrations.update compute.firewalls.create compute.firewalls.get compute.firewalls.list compute.networks.get compute.networks.updatePolicy compute.regions.get compute.subnetworks.get compute.subnetworks.list resourcemanager.projects.get resourcemanager.projects.list
Nome:roles/cloudbuild.connectionViewer Titolo: Visualizzatore connessioni Cloud Build	Può visualizzare ed elencare le connessioni e repository	resourcemanager.projects.get resourcemanager.projects.list cloudbuild.connections.get cloudbuild.connections.fetchLinkableRepositories cloudbuild.connections.list cloudbuild.connections.getIamPolicy cloudbuild.repositories.get cloudbuild.repositories.list
Nome:roles/cloudbuild.connectionAdmin Titolo: Amministratore connessioni Cloud Build	Può gestire le connessioni e repository	resourcemanager.projects.get resourcemanager.projects.list cloudbuild.connections.get cloudbuild.connections.fetchLinkableRepositories cloudbuild.connections.list cloudbuild.connections.create cloudbuild.connections.update cloudbuild.connections.delete cloudbuild.connections.getIamPolicy cloudbuild.connections.setIamPolicy cloudbuild.repositories.get cloudbuild.repositories.list cloudbuild.repositories.create cloudbuild.repositories.delete
Nome:roles/cloudbuild.readTokenAccessor Titolo: Funzione di accesso a token di sola lettura di Cloud Build	Può visualizzare la connessione, i suoi repository e accedere al proprio token di sola lettura	cloudbuild.connections.get cloudbuild.repositories.get cloudbuild.repositories.accessReadToken
Nome:roles/cloudbuild.tokenAccessor Titolo: Funzione di accesso a token di Cloud Build	Può visualizzare la connessione, i suoi repository e accedere al proprio token di sola lettura e di lettura/scrittura	cloudbuild.connections.get cloudbuild.repositories.get cloudbuild.repositories.accessReadToken cloudbuild.repositories.accessReadWriteToken
Nome: roles/cloudbuild.workerPoolOwner Titolo: Proprietario WorkerPool di Cloud Build	Controllo completo della piscina privata	cloudbuild.workerpools.create cloudbuild.workerpools.delete cloudbuild.workerpools.get cloudbuild.workerpools.list cloudbuild.workerpools.update resourcemanager.projects.get resourcemanager.projects.list
Nome:roles/cloudbuild.workerPoolEditor Titolo: Editor WorkerPool di Cloud Build	Può aggiornare i pool privati	cloudbuild.workerpools.get cloudbuild.workerpools.list cloudbuild.workerpools.update resourcemanager.projects.get resourcemanager.projects.list
Nome: roles/cloudbuild.workerPoolViewer Titolo: Visualizzatore WorkerPool di Cloud Build	Può visualizzare i pool privati	cloudbuild.workerpools.get cloudbuild.workerpools.list resourcemanager.projects.get resourcemanager.projects.list
Nome: roles/cloudbuild.workerPoolUser Titolo: Utente pool di worker di Cloud Build	Può eseguire build nel pool privato	cloudbuild.workerpools.use

Oltre ai ruoli predefiniti di Cloud Build sopra indicati, Visualizzatore di base, I ruoli Editor e Proprietario includono anche le autorizzazioni relative a Cloud Build. Tuttavia, ti consigliamo di concedere ruoli predefiniti, ove possibile, per rispettare le principio di sicurezza del privilegio minimo.

La tabella seguente elenca i ruoli di base e Cloud Build Ruoli IAM che includono.

Ruolo	include il ruolo
roles/viewer	roles/cloudbuild.builds.viewer, roles/cloudbuild.integrations.viewer
roles/editor	roles/cloudbuild.builds.editor, roles/cloudbuild.integrations.editor
roles/owner	roles/cloudbuild.integrations.owner

Nota: Proprietario, Editor e Visualizzatore includono le autorizzazioni per molti altri account Google Cloud i servizi di machine learning. Il ruolo di proprietario viene concesso automaticamente all'account l'autore del progetto.

Autorizzazioni

Nella tabella seguente sono elencate le autorizzazioni di cui il chiamante deve disporre per chiamare ciascun metodo:

Metodo API	Autorizzazione richiesta	Titolo del ruolo
builds.create() triggers.create() triggers.patch() triggers.delete() triggers.run()	cloudbuild.builds.create	Cloud Build Editor
builds.cancel()	cloudbuild.builds.update	Cloud Build Editor
builds.get() triggers.get()	cloudbuild.builds.get	Editor Cloud Build, Visualizzatore Cloud Build
builds.list() triggers.list()	cloudbuild.builds.list	Editor Cloud Build, Visualizzatore Cloud Build

Attenzione: l'autorizzazione cloudbuild.builds.create consente all'utente di eseguire build come il Account di servizio Cloud Build. Questa autorizzazione è inclusa nell'editor di Cloud Build, Proprietario progetto e Ruoli di Editor di progetto. L'assegnazione a un utente di uno di questi ruoli consentirà all'utente di eseguire le build come account di servizio Cloud Build. In base le autorizzazioni IAM concesse all'utente e le autorizzazioni del Account di servizio Cloud Build, questo potrebbe consentire la riassegnazione privilegi di creazione.

Autorizzazioni per visualizzare i log di build

Per visualizzare i log di build, sono necessarie autorizzazioni aggiuntive a seconda che stai archiviando i log di build nel bucket Cloud Storage predefinito o in un bucket Cloud Storage specificato dall'utente. Per ulteriori informazioni sulle autorizzazioni per visualizzare i log di build, consulta Archiviazione e visualizzazione dei log di build.

Passaggi successivi

• Scopri di più sull'account di servizio Cloud Build.
• Scopri come configurare l'accesso alle risorse Cloud Build.
• Scopri come configurare l'accesso per l'account di servizio Cloud Build.
• Scopri di più su IAM.