IAM-Rollen und -Berechtigungen

Die Zugriffssteuerung in Cloud Build erfolgt mithilfe von Identity and Access Management (IAM). Mit IAM können Sie Berechtigungen für Google Cloud-Ressourcen erstellen und verwalten. Cloud Build bietet einen bestimmten Satz vordefinierter IAM-Rollen, bei denen jede Rolle eine Reihe von Berechtigungen enthält. Mit diesen Rollen können Sie detaillierteren Zugriff auf bestimmte Google Cloud-Ressourcen gewähren und unerwünschten Zugriff auf andere Ressourcen verhindern. Durch IAM haben Sie die Möglichkeit, das Prinzip der geringsten Berechtigung anzuwenden und somit nur den notwendigen Zugriff auf Ihre Ressourcen zu gewähren.

Auf dieser Seite werden Cloud Build-Rollen und -Berechtigungen beschrieben.

Vordefinierte Cloud Build-Rollen

Bei IAM erfordert jede API-Methode in der Cloud Build API, dass die Identität, die die API-Anfrage stellt, über die entsprechenden Berechtigungen zur Verwendung der Ressource verfügt. Berechtigungen werden durch Festlegen von Richtlinien erteilt, die einem Hauptkonto (Nutzer, Gruppe oder Dienstkonto) Rollen zuweisen. Sie können einem Hauptkonto mehrere Rollen für dieselbe Ressource zuweisen.

In der folgenden Tabelle sind die Cloud Build-IAM-Rollen und deren Berechtigungen aufgeführt:

Rolle Beschreibung Berechtigungen
Name: roles/cloudbuild.builds.viewer
Titel: Cloud Build-Betrachter
Kann Cloud Build aufrufen

resources

cloudbuild.builds.get

cloudbuild.builds.list

Name: roles/cloudbuild.builds.editor
Titel: Cloud Build-Editor
Vollständige Kontrolle über Cloud Build

resources

cloudbuild.builds.get

cloudbuild.builds.list

cloudbuild.builds.create

cloudbuild.builds.update

Name: roles/cloudbuild.builds.approver
Titel: Cloud Build-Genehmiger
Gewähren Sie Zugriff zur Genehmigung oder

Ausstehende Builds ablehnen

cloudbuild.builds.get

cloudbuild.builds.list

cloudbuild.builds.approve

cloudbuild.builds.update

Name: roles/cloudbuild.builds.builder
Titel: Cloud Build-Dienstkonto
Wenn Sie das
Cloud Build API für ein Projekt
Das Cloud Build-Dienstkonto
wird automatisch im Projekt erstellt
und erhält diese Rolle für die Ressourcen
im Projekt. Das Cloud Build-Dienstkonto
verwendet diese Rolle nur als
, die zum Ausführen von Aktionen beim Ausführen des Builds
erforderlich ist.
Eine Liste der Berechtigungen
die diese Rolle enthält,
sieheCloud Build-Dienstkonto aus.
Name: roles/cloudbuild.integrations.viewer
Titel: Cloud Build Integrations-Betrachter
Kann Cloud Build aufrufen

Hostverbindungen

cloudbuild.integrations.get

cloudbuild.integrations.list

Name:roles/cloudbuild.integrations.editor
Titel: Cloud Build Integrations Editor
Steuerung von Cloud Build bearbeiten

Hostverbindungen

cloudbuild.integrations.get

cloudbuild.integrations.list

cloudbuild.integrations.update

Name:roles/cloudbuild.integrations.owner
Titel: Inhaber von Cloud Build-Integrationen
Vollständige Kontrolle über Cloud Build

Hostverbindungen

cloudbuild.integrations.get

cloudbuild.integrations.list

cloudbuild.integrations.create

cloudbuild.integrations.delete

cloudbuild.integrations.update

Name: roles/cloudbuild.workerPoolOwner
Titel: Cloud Build WorkerPool-Inhaber
Vollständige Kontrolle über den privaten Pool cloudbuild.workerpools.create

cloudbuild.workerpools.delete

cloudbuild.workerpools.update

cloudbuild.workerpools.get

cloudbuild.workerpools.list

resourcemanager.projects.get

resourcemanager.projects.list

Name:roles/cloudbuild.workerPoolEditor
Titel: Cloud Build WorkerPool-Bearbeiter
Darf private Pools aktualisieren cloudbuild.workerpools.update

cloudbuild.workerpools.get

cloudbuild.workerpools.list

resourcemanager.projects.get

resourcemanager.projects.list

Name: roles/cloudbuild.workerPoolViewer
Titel: Cloud Build WorkerPool-Betrachter
Darf private Pools ansehen cloudbuild.workerpools.get

cloudbuild.workerpools.list

resourcemanager.projects.get

resourcemanager.projects.list

Name: roles/cloudbuild.workerPoolUser
Titel: Cloud Build WorkerPool-Nutzer
Kann Builds im privaten Pool ausführen cloudbuild.workerpools.use

Zusätzlich zu den oben genannten vordefinierten Cloud Build-Rollen enthalten die Rollen einfacher Betrachter, Bearbeiter und Inhaber auch Berechtigungen im Zusammenhang mit Cloud Build. Es empfiehlt sich jedoch, wenn möglich vordefinierte Rollen zuzuweisen, um das Sicherheitsprinzip der geringsten Berechtigung zu einhalten.

In der folgenden Tabelle sind die einfachen Rollen und die darin enthaltenen Cloud Build-IAM-Rollen aufgeführt.

Rolle Umfasst die Rolle
roles/viewer roles/cloudbuild.builds.viewer, roles/cloudbuild.integrations.viewer
roles/editor roles/cloudbuild.builds.editor, roles/cloudbuild.integrations.editor
roles/owner roles/cloudbuild.integrations.owner

Permissions

In der folgenden Tabelle werden die Berechtigungen aufgeführt, die erforderlich sind, um eine bestimmte Methode aufzurufen:

API-Methode Erforderliche Berechtigung Rollentitel
builds.create()
triggers.create()
triggers.patch()
triggers.delete()
triggers.run()
cloudbuild.builds.create Cloud Build-Bearbeiter
builds.cancel() cloudbuild.builds.update Cloud Build-Bearbeiter
builds.get()
triggers.get()
cloudbuild.builds.get Cloud Build-Bearbeiter, Cloud Build-Betrachter
builds.list()
triggers.list()
cloudbuild.builds.list Cloud Build-Bearbeiter, Cloud Build-Betrachter

Berechtigungen zum Aufrufen von Build-Logs

Zum Aufrufen von Build-Logs benötigen Sie zusätzliche Berechtigungen, je nachdem, ob Sie Ihre Build-Logs im Cloud Storage-Standard-Bucket oder in einem benutzerdefinierten Cloud Storage-Bucket speichern. Weitere Informationen zu Berechtigungen, die zum Aufrufen von Build-Logs erforderlich sind, finden Sie unter Build-Logs speichern und ansehen.

Nächste Schritte