Par défaut, seul le créateur d'un projet Google Cloud a accès au projet et à ses ressources. Pour accorder l'accès à d'autres utilisateurs, vous pouvez leur attribuer des rôles IAM (Identity and Access Management) sur le projet ou sur une ressource Cloud Build spécifique.
Cette page décrit les différentes façons de définir le contrôle des accès pour vos ressources Cloud Build.
Avant de commencer
- Explorez les concepts fondamentaux d'IAM.
- Découvrez les rôles et les autorisations Cloud Build.
Attribuer des rôles pour le projet
Console
Ouvrez la page IAM dans la console Google Cloud :
Sélectionnez votre projet, puis cliquez sur Continuer.
Cliquez sur Accorder l'accès.
Saisissez l'adresse e-mail de l'utilisateur ou du compte de service.
Sélectionnez le rôle souhaité dans le menu déroulant. Les rôles Cloud Build se trouvent sous Cloud Build.
Cliquez sur Enregistrer.
gcloud
Pour accorder un rôle à un compte principal, exécutez la commande add-iam-policy-binding :
gcloud group add-iam-policy-binding resource \
--member=principal --role=role-id
Où :
group: groupe de CLI gcloud pour la ressource vous souhaitez mettre à jour. Par exemple, vous pouvez utiliser des projets ou des organisations.
resource : nom de la ressource.
principal : identifiant du compte principal, qui se présente généralement sous la forme suivante : principal-type:id. Par exemple, "user:my-user@example.com". Pour obtenir la liste complète des types de compte principal ou de membre, consultez la documentation de référence sur les liaisons de stratégie.
role-id : le nom du rôle.
Par exemple, pour accorder le rôle de lecteur Cloud Build à l'utilisateur my-user@example.com pour le projet my-project :
gcloud projects add-iam-policy-binding my-project \
--member=user:my-user@example.com --role=roles/cloudbuild.builds.viewer
Accorder des autorisations pour exécuter des commandes gcloud
Pour exécuter des commandes gcloud builds, les utilisateurs ne disposant que de rôles cloudbuild.builds.viewer ou cloudbuild.builds.editor doivent également disposer de l'autorisation serviceusage.services.use. Pour accorder cette autorisation à l'utilisateur, accordez-lui le rôle serviceusage.serviceUsageConsumer.
L'utilisateur doté de rôles/d'éditeur et de rôles/de propriétaire peut exécuter des commandes gcloud builds sans l'autorisation serviceusage.services.use supplémentaire.
Autorisations pour afficher les journaux de compilation
Pour afficher les journaux de compilation, vous avez besoin d'autorisations supplémentaires selon si vous les stockez dans le bucket Cloud Storage par défaut ou dans un bucket Cloud Storage spécifié par l'utilisateur. Pour en savoir plus sur les autorisations nécessaire pour afficher les journaux de compilation, consultez la section Afficher les journaux de compilation.
Révoquer des rôles pour le projet
Console
Ouvrez la page IAM dans la console Google Cloud :
Sélectionnez votre projet, puis cliquez sur Continuer.
Dans le tableau des autorisations, recherchez l'ID de l'adresse e-mail du membre et cliquez sur l'icône en forme de crayon.
Supprimez le rôle que vous souhaitez révoquer.
Cliquez sur Save.
gcloud
Pour révoquer un rôle d'un utilisateur, exécutez la commande remove-iam-policy-binding :
gcloud group remove-iam-policy-binding resource \
--member=principal --role=role-id
Où :
group: groupe de CLI gcloud pour la ressource vous souhaitez mettre à jour. Par exemple, vous pouvez utiliser des projets ou des organisations.
resource : nom de la ressource.
principal : identifiant du compte principal, qui se présente généralement sous la forme suivante : principal-type:id. Par exemple, "user:my-user@example.com". Pour obtenir la liste complète des types de compte principal ou de membre, consultez la documentation de référence sur les liaisons de stratégie.
role-id : le nom du rôle.
Par exemple, pour révoquer le rôle de lecteur Cloud Build de l'utilisateur my-user@example.com pour le projet my-project, procédez comme suit :
gcloud projects remove-iam-policy-binding my-project \
--member=user:my-user@example.com --role=roles/cloudbuild.builds.viewer
Afficher les rôles pour le projet
Console
Ouvrez la page IAM dans la console Google Cloud :
Sélectionnez votre projet, puis cliquez sur Continuer.
Sous Afficher par, cliquez sur Rôles.
Pour afficher les comptes principaux dotés d'un rôle spécifique, développez le nom du rôle.
gcloud
Pour afficher tous les utilisateurs disposant d'un rôle particulier dans un projet Google Cloud, procédez comme suit : exécutez la commande suivante:
gcloud projects get-iam-policy project-id \
--flatten="bindings[].members" \
--format="table(bindings.members)" \
--filter="bindings.role:role-id"
Où :
project-id est l'ID de votre projet.
role-id est le nom du rôle pour lequel vous souhaitez afficher les comptes principaux.
Par exemple, pour afficher tous les comptes principaux d'un projet auxquels le projet Google Cloud est attribué Lecteur, exécutez la commande suivante:
gcloud projects get-iam-policy my-project \
--flatten="bindings[].members" \
--format="table(bindings.members)" \
--filter="bindings.role:roles/cloudbuild.builds.viewer"
Créer des rôles personnalisés IAM
Pour les utilisateurs qui souhaitent définir leurs propres rôles contenant des groupes d'autorisations qu'ils spécifient, IAM propose des rôles personnalisés. Pour obtenir des instructions sur la création et l'utilisation de rôles personnalisés IAM, consultez la page Créer et gérer les rôles personnalisés.
Étape suivante
- Obtenez plus d'informations sur le compte de service Cloud Build.
- Découvrez comment configurer l'accès au compte de service Cloud Build.
- Apprenez-en plus sur les autorisations requises pour afficher les journaux de compilation.