Funciones y permisos de IAM de Compute Engine

Cuando agregas un miembro nuevo a tu proyecto, puedes usar una política de administración de identidades y accesos (IAM) para darle a ese miembro una o más funciones de IAM. Cada función de IAM contiene permisos que otorgan al miembro acceso a recursos específicos.

Compute Engine tiene un conjunto de funciones de IAM predefinidas que se describen en esta página. También puedes crear funciones personalizadas que contengan subconjuntos de permisos que se correspondan directamente con tus necesidades.

A fin de saber qué permisos son necesarios para cada método, consulta la documentación de referencia de la API de Compute Engine:

• Referencia de la API de Compute Engine v1
• Referencia de la API de Compute Engine Beta

Para obtener información sobre cómo otorgar acceso, consulta las siguientes páginas.

• Para configurar políticas de IAM a nivel de proyecto, consulta Otorga, cambia y revoca el acceso a los recursos en la documentación de IAM.
• Para establecer políticas en recursos de Compute Engine específicos, lee Otorga acceso a los recursos de Compute Engine.
• Para asignar funciones a una cuenta de servicio de Compute Engine, lee Crea y habilita cuentas de servicio para instancias.

Antes de comenzar

• Lee la documentación de IAM.

¿Qué es IAM?

Google Cloud ofrece IAM, que te permite otorgar acceso detallado a recursos específicos de Google Cloud y evita el acceso no deseado a otros recursos. IAM te permite adoptar el principio de seguridad de menor privilegio, de manera que solo otorgas el acceso necesario a tus recursos.

IAM te permite controlar quién (identidad) tiene qué (funciones) permisos sobre qué recursos mediante la configuración de políticas de IAM. Las políticas de IAM asignan funciones específicas a un miembro del proyecto, lo que le otorga ciertos permisos a esa identidad. Por ejemplo, para un recurso determinado, como un proyecto, puedes asignar la función roles/compute.networkAdmin a una Cuenta de Google, y esa cuenta puede controlar los recursos relacionados con la red en el proyecto, pero no puede administrar otros recursos, como instancias y discos. También puedes usar IAM para administrar las funciones heredadas de la consola de Google Cloud que se les otorgan a los miembros del equipo del proyecto.

El rol serviceAccountUser

Cuando se otorga junto con roles/compute.instanceAdmin.v1, roles/iam.serviceAccountUser brinda a los miembros la capacidad de crear y administrar instancias que usan una cuenta de servicio. En particular, si otorgas roles/iam.serviceAccountUser y roles/compute.instanceAdmin.v1 juntos, los miembros reciben permiso para hacer lo siguiente:

• Crear una instancia que se ejecute como una cuenta de servicio
• Adjuntar un disco persistente a una instancia que se ejecuta como cuenta de servicio
• Establecer metadatos de instancia en una instancia que se ejecuta como cuenta de servicio
• Usar SSH para conectarse a una instancia que se ejecuta como cuenta de servicio
• Volver a configurar una instancia para ejecutarla como una cuenta de servicio

Puedes otorgar roles/iam.serviceAccountUser de las siguientes formas:

• Recomendada. Otorga la función a un miembro en una cuenta de servicio específica. Esto le da acceso a un miembro a la cuenta de servicio para la cual es un iam.serviceAccountUser, pero evita el acceso a otras cuentas de servicio para las cuales el miembro no es un iam.serviceAccountUser.

• Otorga la función a un miembro en el nivel de proyecto. El miembro tiene acceso a todas las cuentas de servicio en el proyecto, incluidas las cuentas de servicio que se creen en el futuro.

Si no estás familiarizado con las cuentas de servicio, obtén más información sobre las cuentas de servicio.

Permiso de Google Cloud Console

Para usar Google Cloud Console a fin de acceder a los recursos de Compute Engine, debes tener una función que contenga los permisos siguientes en el proyecto:

compute.projects.get

Conéctate a una instancia como instanceAdmin

Después de otorgar la función roles/compute.instanceAdmin.v1 a un miembro del proyecto, este puede conectarse a instancias de máquina virtual (VM) mediante herramientas estándar de Google Cloud, como la CLI de gcloud o una conexión SSH en el navegador.

Cuando un miembro usa la CLI de gcloud o una conexión SSH en el navegador, las herramientas generan automáticamente un par de clave pública/privada y agregan la clave pública a los metadatos del proyecto. Si el miembro no tiene permisos para editar los metadatos del proyecto, la herramienta agrega la clave pública del miembro a los metadatos de la instancia.

Si el miembro tiene un par de claves existente que quiere usar, puede agregar su clave pública a los metadatos de la instancia de forma manual. Obtén más información para agregar claves SSH a una instancia.

IAM con cuentas de servicio

Crea nuevas cuentas de servicio personalizadas y otórgales funciones de IAM para limitar el acceso de tus instancias. Usa las funciones de IAM con cuentas de servicio personalizadas para hacer lo siguiente:

• Limitar el acceso de tus instancias a las API de Google Cloud mediante funciones de IAM detalladas
• Dar una identidad exclusiva a cada instancia o conjunto de instancias
• Limitar el acceso de tu cuenta de servicio predeterminada

Obtén más información sobre cuentas de servicio.

IAM y los grupos de instancias administrados

Los grupos de instancias administrados (MIG) son recursos que realizan acciones en tu nombre interactuar de forma directa con el usuario. Por ejemplo, el MIG puede agregar y quitar VM del grupo.

El agente de servicio de las API de Google del proyecto, que tiene todas las operaciones que realiza Compute Engine como parte del MIG, tiene una dirección de correo electrónico como la siguiente: [e-mail]

De forma predeterminada, el agente de servicio de las API de Google tiene el rol de editor (roles/editor) a nivel de proyecto, que otorga privilegios suficientes para crear recursos en función de la configuración del MIG. Si personalizas el acceso para el agente de servicio de las API de Google, otorga el rol de administrador de instancias de Compute (v1) (roles/compute.instanceAdmin.v1) y, de forma opcional, el rol de usuario de la cuenta de servicio (roles/iam.serviceAccountUser). El rol de usuario de cuenta de servicio solo es necesario si el MIG crea VM que se puedan ejecutar como cuentas de servicio.

Ten en cuenta que otros procesos, incluido Deployment Manager, también usan el agente de servicios de las API de Google.

Cuando creas un MIG o actualizas su plantilla de instancias, Compute Engine valida que el agente de servicio de las API de Google tenga la siguiente función y permisos:

• Función de usuario de cuenta de servicio, que es importante si planeas crear instancias que puedan ejecutarse como cuenta de servicio
• Permisos para todos los recursos a los que se hace referencia en las plantillas de instancias, como imágenes, discos, redes de VPC y subredes

Funciones predefinidas de IAM en Compute Engine

Con la IAM, cada método de la API de Compute Engine requiere que la identidad que realiza la solicitud a la API tenga los permisos adecuados para usar el recurso. Los permisos se asignan mediante la configuración de políticas que otorgan funciones a un miembro (usuario, grupo o cuenta de servicio) del proyecto.

Además de las funciones básicas (visualizador, editor y propietario) y funciones personalizadas, puedes asignar las siguientes funciones predefinidas de Compute Engine a los miembros de tu proyecto.

Puedes otorgar varias funciones a un miembro del proyecto para un mismo recurso. Por ejemplo, si tu equipo de redes también administra las reglas de firewall, puedes otorgar roles/compute.networkAdmin y roles/compute.securityAdmin al grupo de Google del equipo de redes.

En las siguientes tablas, se describen las funciones predefinidas de IAM en Compute Engine, además de los permisos que contiene cada función. Cada función contiene un conjunto de permisos que es adecuado para una tarea específica. Por ejemplo, las funciones de administrador de instancias otorgan permisos para administrar instancias, las funciones relacionadas con la red incluyen permisos para administrar recursos relacionados con la red, y la función de seguridad incluye permisos para administrar recursos relacionados con la seguridad, como firewalls y certificados SSL.

Función de administrador de Compute

Título y nombre	Descripción	Permisos
Administrador de Compute (roles/compute.admin)	Control total de todos los recursos de Compute Engine. Si el usuario administrará instancias de máquinas virtuales que están configuradas para ejecutarse como una cuenta de servicio, también debes otorgar el rol roles/iam.serviceAccountUser. Recursos de nivel más bajo en los que puedes otorgar este rol: Disco Imagen Instancia Plantilla de instancias Grupo de nodos Plantilla de nodo Instantánea ^beta	compute.* resourcemanager.projects.get resourcemanager.projects.list serviceusage.quotas.get serviceusage.services.get serviceusage.services.list

Función de usuario de imagen de Compute

Título y nombre	Descripción	Permisos
Usuario de imagen de Compute (roles/compute.imageUser)	Es el permiso para enumerar y leer imágenes sin tener otros permisos en la imagen. Si se otorga este rol a nivel de proyecto, se les permite a los usuarios enumerar todas las imágenes del proyecto y crear recursos basados en estas, como instancias y discos persistentes. Recursos de nivel más bajo en los que puedes otorgar este rol: Imagen ^Beta	compute.images.get compute.images.getFromFamily compute.images.list compute.images.useReadOnly resourcemanager.projects.get resourcemanager.projects.list serviceusage.quotas.get serviceusage.services.get serviceusage.services.list

Función de administrador de instancias de Compute (Beta)

Título y nombre	Descripción	Permisos
Administrador de instancias de Compute (beta) (roles/compute.instanceAdmin)	Permisos para crear, modificar y borrar instancias de máquina virtual. Esto incluye los permisos para crear, modificar y borrar discos, y también configurar los ajustes de una VM protegida. Si el usuario administrará instancias de máquinas virtuales que están configuradas para ejecutarse como una cuenta de servicio, también debes otorgar el rol roles/iam.serviceAccountUser. Por ejemplo, si tu empresa tiene una persona que administra grupos de instancias de máquinas virtuales, pero no administra la red, la configuración de seguridad ni las instancias que se ejecutan como cuentas de servicio, puedes otorgar este rol en la organización, carpeta o proyecto que contenga las instancias, o puedes otorgarla en instancias individuales. Recursos de nivel más bajo en los que puedes otorgar este rol: Disco Imagen Instancia Plantilla de instancias Instantánea ^beta	compute.acceleratorTypes.* compute.addresses.createInternal compute.addresses.deleteInternal compute.addresses.get compute.addresses.list compute.addresses.use compute.addresses.useInternal compute.autoscalers.* compute.diskTypes.* compute.disks.create compute.disks.createSnapshot compute.disks.delete compute.disks.get compute.disks.list compute.disks.resize compute.disks.setLabels compute.disks.update compute.disks.use compute.disks.useReadOnly compute.globalAddresses.get compute.globalAddresses.list compute.globalAddresses.use compute.globalNetworkEndpointGroups.* compute.globalOperations.get compute.globalOperations.list compute.images.get compute.images.getFromFamily compute.images.list compute.images.useReadOnly compute.instanceGroupManagers.* compute.instanceGroups.* compute.instanceTemplates.* compute.instances.* compute.licenses.get compute.licenses.list compute.machineImages.* compute.machineTypes.* compute.networkEndpointGroups.* compute.networks.get compute.networks.list compute.networks.use compute.networks.useExternalIp compute.projects.get compute.regionNetworkEndpointGroups.* compute.regionOperations.get compute.regionOperations.list compute.regions.* compute.reservations.get compute.reservations.list compute.subnetworks.get compute.subnetworks.list compute.subnetworks.use compute.subnetworks.useExternalIp compute.targetPools.get compute.targetPools.list compute.zoneOperations.get compute.zoneOperations.list compute.zones.* resourcemanager.projects.get resourcemanager.projects.list serviceusage.quotas.get serviceusage.services.get serviceusage.services.list

Función de administrador de instancias de Compute (v1)

Título y nombre	Descripción	Permisos
Administrador de instancias de Compute (v1) (roles/compute.instanceAdmin.v1)	Tiene control completo sobre instancias, grupos de instancias, instantáneas, imágenes y discos de Compute Engine. Acceso de lectura a todos los recursos de red de Compute Engine. Si le otorgas a un usuario esta función solo a un nivel de instancia, ese usuario no podrá crear instancias nuevas.	compute.acceleratorTypes.* compute.addresses.createInternal compute.addresses.deleteInternal compute.addresses.get compute.addresses.list compute.addresses.use compute.addresses.useInternal compute.autoscalers.* compute.backendBuckets.get compute.backendBuckets.list compute.backendServices.get compute.backendServices.list compute.diskTypes.* compute.disks.* compute.externalVpnGateways.get compute.externalVpnGateways.list compute.firewalls.get compute.firewalls.list compute.forwardingRules.get compute.forwardingRules.list compute.globalAddresses.get compute.globalAddresses.list compute.globalAddresses.use compute.globalForwardingRules.get compute.globalForwardingRules.list compute.globalForwardingRules.pscGet compute.globalNetworkEndpointGroups.* compute.globalOperations.get compute.globalOperations.list compute.healthChecks.get compute.healthChecks.list compute.httpHealthChecks.get compute.httpHealthChecks.list compute.httpsHealthChecks.get compute.httpsHealthChecks.list compute.images.* compute.instanceGroupManagers.* compute.instanceGroups.* compute.instanceTemplates.* compute.instances.* compute.interconnectAttachments.get compute.interconnectAttachments.list compute.interconnectLocations.* compute.interconnects.get compute.interconnects.list compute.licenseCodes.* compute.licenses.* compute.machineImages.* compute.machineTypes.* compute.networkEndpointGroups.* compute.networks.get compute.networks.list compute.networks.use compute.networks.useExternalIp compute.projects.get compute.projects.setCommonInstanceMetadata compute.regionBackendServices.get compute.regionBackendServices.list compute.regionHealthCheckServices.get compute.regionHealthCheckServices.list compute.regionHealthChecks.get compute.regionHealthChecks.list compute.regionNetworkEndpointGroups.* compute.regionNotificationEndpoints.get compute.regionNotificationEndpoints.list compute.regionOperations.get compute.regionOperations.list compute.regionSslCertificates.get compute.regionSslCertificates.list compute.regionTargetHttpProxies.get compute.regionTargetHttpProxies.list compute.regionTargetHttpsProxies.get compute.regionTargetHttpsProxies.list compute.regionUrlMaps.get compute.regionUrlMaps.list compute.regions.* compute.reservations.get compute.reservations.list compute.resourcePolicies.* compute.routers.get compute.routers.list compute.routes.get compute.routes.list compute.serviceAttachments.get compute.serviceAttachments.list compute.snapshots.* compute.sslCertificates.get compute.sslCertificates.list compute.sslPolicies.get compute.sslPolicies.list compute.sslPolicies.listAvailableFeatures compute.subnetworks.get compute.subnetworks.list compute.subnetworks.use compute.subnetworks.useExternalIp compute.targetGrpcProxies.get compute.targetGrpcProxies.list compute.targetHttpProxies.get compute.targetHttpProxies.list compute.targetHttpsProxies.get compute.targetHttpsProxies.list compute.targetInstances.get compute.targetInstances.list compute.targetPools.get compute.targetPools.list compute.targetSslProxies.get compute.targetSslProxies.list compute.targetTcpProxies.get compute.targetTcpProxies.list compute.targetVpnGateways.get compute.targetVpnGateways.list compute.urlMaps.get compute.urlMaps.list compute.vpnGateways.get compute.vpnGateways.list compute.vpnTunnels.get compute.vpnTunnels.list compute.zoneOperations.get compute.zoneOperations.list compute.zones.* resourcemanager.projects.get resourcemanager.projects.list serviceusage.quotas.get serviceusage.services.get serviceusage.services.list

Función de administrador de balanceador de cargas de Compute

Título y nombre	Descripción	Permisos
Administrador de balanceador de cargas de Compute (roles/compute.loadBalancerAdmin) ^Beta	Permisos para crear, modificar y borrar balanceadores de cargas y recursos asociados. Por ejemplo, si tu empresa tiene un equipo de balanceo de cargas que administra balanceadores de cargas, certificados SSL para balanceadores de cargas, políticas SSL y otros recursos de balanceo de cargas y, además, tiene un equipo independiente de herramientas de redes que administra el resto de los recursos de herramientas de redes, debes otorgar este rol al grupo del equipo de balanceo de cargas. Recursos de nivel más bajo en los que puedes otorgar este rol: Instancia ^Beta	certificatemanager.certmaps.get certificatemanager.certmaps.list certificatemanager.certmaps.use compute.addresses.* compute.backendBuckets.* compute.backendServices.* compute.disks.listEffectiveTags compute.disks.listTagBindings compute.forwardingRules.* compute.globalAddresses.* compute.globalForwardingRules.* compute.globalNetworkEndpointGroups.* compute.healthChecks.* compute.httpHealthChecks.* compute.httpsHealthChecks.* compute.images.listEffectiveTags compute.images.listTagBindings compute.instanceGroups.* compute.instances.get compute.instances.list compute.instances.listEffectiveTags compute.instances.listTagBindings compute.instances.use compute.instances.useReadOnly compute.networkEndpointGroups.* compute.networks.get compute.networks.list compute.networks.use compute.projects.get compute.regionBackendServices.* compute.regionHealthCheckServices.* compute.regionHealthChecks.* compute.regionNetworkEndpointGroups.* compute.regionNotificationEndpoints.* compute.regionSecurityPolicies.get compute.regionSecurityPolicies.list compute.regionSecurityPolicies.use compute.regionSslCertificates.* compute.regionTargetHttpProxies.* compute.regionTargetHttpsProxies.* compute.regionUrlMaps.* compute.securityPolicies.get compute.securityPolicies.list compute.securityPolicies.use compute.snapshots.listEffectiveTags compute.snapshots.listTagBindings compute.sslCertificates.* compute.sslPolicies.* compute.subnetworks.get compute.subnetworks.list compute.subnetworks.use compute.targetGrpcProxies.* compute.targetHttpProxies.* compute.targetHttpsProxies.* compute.targetInstances.* compute.targetPools.* compute.targetSslProxies.* compute.targetTcpProxies.* compute.urlMaps.* networksecurity.clientTlsPolicies.get networksecurity.clientTlsPolicies.list networksecurity.clientTlsPolicies.use networksecurity.serverTlsPolicies.get networksecurity.serverTlsPolicies.list networksecurity.serverTlsPolicies.use resourcemanager.projects.get resourcemanager.projects.list serviceusage.quotas.get serviceusage.services.get serviceusage.services.list

Rol del usuario de servicios de balanceador de cargas de Compute

Título y nombre	Descripción	Permisos
Usuario de servicios del balanceador de cargas de Compute (roles/compute.loadBalancerServiceUser) ^Beta	Permisos para usar servicios de un balanceador de cargas en otros proyectos.	compute.backendServices.get compute.backendServices.list compute.backendServices.use compute.projects.get compute.regionBackendServices.get compute.regionBackendServices.list compute.regionBackendServices.use resourcemanager.projects.get resourcemanager.projects.list serviceusage.quotas.get serviceusage.services.get serviceusage.services.list

Función de administrador de red de Compute

Título y nombre	Descripción	Permisos
Administrador de red de Compute (roles/compute.networkAdmin)	Permisos para crear, modificar y borrar recursos de red, excepto reglas de firewall y certificados SSL el rol de administrador de red permite el acceso de solo lectura a las reglas de firewall, certificados SSL y, también, instancias (para ver sus direcciones IP efímeras). El rol de administrador de red no permite que un usuario cree, inicie, detenga o borre instancias. Por ejemplo, si tu empresa tiene un equipo de seguridad que administra firewalls y certificados SSL y, además, tiene un equipo de herramientas de redes que administra el resto de los recursos de herramientas de redes, debes otorgar este rol al grupo del equipo de herramientas de redes. O bien, si tienes un equipo combinado que administra la seguridad y las herramientas de redes, otorga este rol, así como el rol roles/compute.securityAdmin, al grupo del equipo combinado. Recursos de nivel más bajo en los que puedes otorgar este rol: Instancia ^Beta	compute.acceleratorTypes.* compute.addresses.* compute.autoscalers.get compute.autoscalers.list compute.backendBuckets.* compute.backendServices.* compute.disks.listEffectiveTags compute.disks.listTagBindings compute.externalVpnGateways.* compute.firewallPolicies.get compute.firewallPolicies.list compute.firewallPolicies.use compute.firewalls.get compute.firewalls.list compute.forwardingRules.* compute.globalAddresses.* compute.globalForwardingRules.* compute.globalNetworkEndpointGroups.get compute.globalNetworkEndpointGroups.list compute.globalNetworkEndpointGroups.use compute.globalOperations.get compute.globalOperations.list compute.globalPublicDelegatedPrefixes.delete compute.globalPublicDelegatedPrefixes.get compute.globalPublicDelegatedPrefixes.list compute.globalPublicDelegatedPrefixes.update compute.globalPublicDelegatedPrefixes.updatePolicy compute.healthChecks.* compute.httpHealthChecks.* compute.httpsHealthChecks.* compute.images.listEffectiveTags compute.images.listTagBindings compute.instanceGroupManagers.get compute.instanceGroupManagers.list compute.instanceGroupManagers.update compute.instanceGroupManagers.use compute.instanceGroups.get compute.instanceGroups.list compute.instanceGroups.update compute.instanceGroups.use compute.instances.get compute.instances.getGuestAttributes compute.instances.getScreenshot compute.instances.getSerialPortOutput compute.instances.list compute.instances.listEffectiveTags compute.instances.listReferrers compute.instances.listTagBindings compute.instances.updateSecurity compute.instances.use compute.instances.useReadOnly compute.interconnectAttachments.* compute.interconnectLocations.* compute.interconnects.* compute.machineTypes.* compute.networkEndpointGroups.get compute.networkEndpointGroups.list compute.networkEndpointGroups.use compute.networks.* compute.packetMirrorings.get compute.packetMirrorings.list compute.projects.get compute.publicDelegatedPrefixes.delete compute.publicDelegatedPrefixes.get compute.publicDelegatedPrefixes.list compute.publicDelegatedPrefixes.update compute.publicDelegatedPrefixes.updatePolicy compute.regionBackendServices.* compute.regionFirewallPolicies.get compute.regionFirewallPolicies.list compute.regionFirewallPolicies.use compute.regionHealthCheckServices.* compute.regionHealthChecks.* compute.regionNetworkEndpointGroups.get compute.regionNetworkEndpointGroups.list compute.regionNetworkEndpointGroups.use compute.regionNotificationEndpoints.* compute.regionOperations.get compute.regionOperations.list compute.regionSecurityPolicies.get compute.regionSecurityPolicies.list compute.regionSecurityPolicies.use compute.regionSslCertificates.get compute.regionSslCertificates.list compute.regionTargetHttpProxies.* compute.regionTargetHttpsProxies.* compute.regionUrlMaps.* compute.regions.* compute.routers.* compute.routes.* compute.securityPolicies.get compute.securityPolicies.list compute.securityPolicies.use compute.serviceAttachments.* compute.snapshots.listEffectiveTags compute.snapshots.listTagBindings compute.sslCertificates.get compute.sslCertificates.list compute.sslPolicies.* compute.subnetworks.* compute.targetGrpcProxies.* compute.targetHttpProxies.* compute.targetHttpsProxies.* compute.targetInstances.* compute.targetPools.* compute.targetSslProxies.* compute.targetTcpProxies.* compute.targetVpnGateways.* compute.urlMaps.* compute.vpnGateways.* compute.vpnTunnels.* compute.zoneOperations.get compute.zoneOperations.list compute.zones.* networkconnectivity.locations.* networkconnectivity.operations.* networksecurity.* networkservices.* resourcemanager.projects.get resourcemanager.projects.list servicedirectory.namespaces.create servicedirectory.namespaces.delete servicedirectory.services.create servicedirectory.services.delete servicenetworking.operations.get servicenetworking.services.addPeering servicenetworking.services.createPeeredDnsDomain servicenetworking.services.deletePeeredDnsDomain servicenetworking.services.get servicenetworking.services.listPeeredDnsDomains serviceusage.quotas.get serviceusage.services.get serviceusage.services.list trafficdirector.*

Función de usuario de red de Compute

Título y nombre	Descripción	Permisos
Usuario de red de Compute (roles/compute.networkUser)	Proporciona acceso a una red de VPC compartida Una vez otorgado, los propietarios del servicio pueden usar redes y subredes de VPC que pertenecen al proyecto host. Por ejemplo, un usuario de la red puede crear una instancia de VM que pertenezca a una red de proyecto host, pero no puede borrar ni crear nuevas redes en este proyecto. Recursos de nivel más bajo en los que puedes otorgar este rol: Proyecto	compute.addresses.createInternal compute.addresses.deleteInternal compute.addresses.get compute.addresses.list compute.addresses.useInternal compute.externalVpnGateways.get compute.externalVpnGateways.list compute.externalVpnGateways.use compute.firewalls.get compute.firewalls.list compute.interconnectAttachments.get compute.interconnectAttachments.list compute.interconnectLocations.* compute.interconnects.get compute.interconnects.list compute.interconnects.use compute.networks.access compute.networks.get compute.networks.getEffectiveFirewalls compute.networks.getRegionEffectiveFirewalls compute.networks.list compute.networks.listPeeringRoutes compute.networks.use compute.networks.useExternalIp compute.projects.get compute.regions.* compute.routers.get compute.routers.list compute.routes.get compute.routes.list compute.serviceAttachments.get compute.serviceAttachments.list compute.subnetworks.get compute.subnetworks.list compute.subnetworks.use compute.subnetworks.useExternalIp compute.targetVpnGateways.get compute.targetVpnGateways.list compute.vpnGateways.get compute.vpnGateways.list compute.vpnGateways.use compute.vpnTunnels.get compute.vpnTunnels.list compute.zones.* networkconnectivity.locations.* networkconnectivity.operations.get networkconnectivity.operations.list networksecurity.authorizationPolicies.get networksecurity.authorizationPolicies.list networksecurity.authorizationPolicies.use networksecurity.clientTlsPolicies.get networksecurity.clientTlsPolicies.list networksecurity.clientTlsPolicies.use networksecurity.locations.* networksecurity.operations.get networksecurity.operations.list networksecurity.serverTlsPolicies.get networksecurity.serverTlsPolicies.list networksecurity.serverTlsPolicies.use networkservices.endpointConfigSelectors.get networkservices.endpointConfigSelectors.list networkservices.endpointConfigSelectors.use networkservices.endpointPolicies.get networkservices.endpointPolicies.list networkservices.endpointPolicies.use networkservices.gateways.get networkservices.gateways.list networkservices.gateways.use networkservices.grpcRoutes.get networkservices.grpcRoutes.list networkservices.grpcRoutes.use networkservices.httpFilters.get networkservices.httpFilters.list networkservices.httpFilters.use networkservices.httpRoutes.get networkservices.httpRoutes.list networkservices.httpRoutes.use networkservices.httpfilters.get networkservices.httpfilters.list networkservices.httpfilters.use networkservices.locations.* networkservices.meshes.get networkservices.meshes.list networkservices.meshes.use networkservices.operations.get networkservices.operations.list networkservices.serviceBindings.get networkservices.serviceBindings.list networkservices.tcpRoutes.get networkservices.tcpRoutes.list networkservices.tcpRoutes.use networkservices.tlsRoutes.get networkservices.tlsRoutes.list networkservices.tlsRoutes.use resourcemanager.projects.get resourcemanager.projects.list servicenetworking.services.get serviceusage.quotas.get serviceusage.services.get serviceusage.services.list

Función de visualizador de red de Compute

Título y nombre	Descripción	Permisos
Visualizador de la red de Compute (roles/compute.networkViewer)	Acceso de solo lectura a todos los recursos de red Por ejemplo, si tienes un software que inspecciona la configuración de red, puedes otorgar este rol a la cuenta de servicio de ese software. Recursos de nivel más bajo en los que puedes otorgar este rol: Instancia ^Beta	compute.acceleratorTypes.* compute.addresses.get compute.addresses.list compute.autoscalers.get compute.autoscalers.list compute.backendBuckets.get compute.backendBuckets.list compute.backendServices.get compute.backendServices.list compute.disks.listEffectiveTags compute.disks.listTagBindings compute.externalVpnGateways.get compute.externalVpnGateways.list compute.firewalls.get compute.firewalls.list compute.forwardingRules.get compute.forwardingRules.list compute.globalAddresses.get compute.globalAddresses.list compute.globalForwardingRules.get compute.globalForwardingRules.list compute.globalForwardingRules.pscGet compute.healthChecks.get compute.healthChecks.list compute.httpHealthChecks.get compute.httpHealthChecks.list compute.httpsHealthChecks.get compute.httpsHealthChecks.list compute.images.listEffectiveTags compute.images.listTagBindings compute.instanceGroupManagers.get compute.instanceGroupManagers.list compute.instanceGroups.get compute.instanceGroups.list compute.instances.get compute.instances.getGuestAttributes compute.instances.getScreenshot compute.instances.getSerialPortOutput compute.instances.list compute.instances.listEffectiveTags compute.instances.listReferrers compute.instances.listTagBindings compute.interconnectAttachments.get compute.interconnectAttachments.list compute.interconnectLocations.* compute.interconnects.get compute.interconnects.list compute.machineTypes.* compute.networks.get compute.networks.getEffectiveFirewalls compute.networks.getRegionEffectiveFirewalls compute.networks.list compute.networks.listPeeringRoutes compute.packetMirrorings.get compute.packetMirrorings.list compute.projects.get compute.regionBackendServices.get compute.regionBackendServices.list compute.regionHealthCheckServices.get compute.regionHealthCheckServices.list compute.regionHealthChecks.get compute.regionHealthChecks.list compute.regionNotificationEndpoints.get compute.regionNotificationEndpoints.list compute.regionSslCertificates.get compute.regionSslCertificates.list compute.regionTargetHttpProxies.get compute.regionTargetHttpProxies.list compute.regionTargetHttpsProxies.get compute.regionTargetHttpsProxies.list compute.regionUrlMaps.get compute.regionUrlMaps.list compute.regions.* compute.routers.get compute.routers.list compute.routes.get compute.routes.list compute.serviceAttachments.get compute.serviceAttachments.list compute.snapshots.listEffectiveTags compute.snapshots.listTagBindings compute.sslCertificates.get compute.sslCertificates.list compute.sslPolicies.get compute.sslPolicies.list compute.sslPolicies.listAvailableFeatures compute.subnetworks.get compute.subnetworks.list compute.targetGrpcProxies.get compute.targetGrpcProxies.list compute.targetHttpProxies.get compute.targetHttpProxies.list compute.targetHttpsProxies.get compute.targetHttpsProxies.list compute.targetInstances.get compute.targetInstances.list compute.targetPools.get compute.targetPools.list compute.targetSslProxies.get compute.targetSslProxies.list compute.targetTcpProxies.get compute.targetTcpProxies.list compute.targetVpnGateways.get compute.targetVpnGateways.list compute.urlMaps.get compute.urlMaps.list compute.vpnGateways.get compute.vpnGateways.list compute.vpnTunnels.get compute.vpnTunnels.list compute.zones.* networkconnectivity.locations.* networkconnectivity.operations.get networkconnectivity.operations.list networksecurity.authorizationPolicies.get networksecurity.authorizationPolicies.list networksecurity.clientTlsPolicies.get networksecurity.clientTlsPolicies.list networksecurity.locations.* networksecurity.operations.get networksecurity.operations.list networksecurity.serverTlsPolicies.get networksecurity.serverTlsPolicies.list networkservices.endpointConfigSelectors.get networkservices.endpointConfigSelectors.list networkservices.endpointPolicies.get networkservices.endpointPolicies.list networkservices.gateways.get networkservices.gateways.list networkservices.grpcRoutes.get networkservices.grpcRoutes.list networkservices.httpFilters.get networkservices.httpFilters.list networkservices.httpRoutes.get networkservices.httpRoutes.list networkservices.httpfilters.get networkservices.httpfilters.list networkservices.locations.* networkservices.meshes.get networkservices.meshes.list networkservices.operations.get networkservices.operations.list networkservices.serviceBindings.get networkservices.serviceBindings.list networkservices.tcpRoutes.get networkservices.tcpRoutes.list networkservices.tlsRoutes.get networkservices.tlsRoutes.list resourcemanager.projects.get resourcemanager.projects.list servicenetworking.services.get serviceusage.quotas.get serviceusage.services.get serviceusage.services.list trafficdirector.*

Rol de administrador de la Política de firewall de Compute para la organización

Título y nombre	Descripción	Permisos
Administrador de políticas de firewall de la organización de Compute (roles/compute.orgFirewallPolicyAdmin)	Tiene control completo sobre las políticas de firewall de Compute Engine de la organización.	compute.firewallPolicies.cloneRules compute.firewallPolicies.create compute.firewallPolicies.delete compute.firewallPolicies.get compute.firewallPolicies.getIamPolicy compute.firewallPolicies.list compute.firewallPolicies.move compute.firewallPolicies.setIamPolicy compute.firewallPolicies.update compute.firewallPolicies.use compute.globalOperations.get compute.globalOperations.getIamPolicy compute.globalOperations.list compute.globalOperations.setIamPolicy compute.projects.get compute.regionFirewallPolicies.* compute.regionOperations.get compute.regionOperations.getIamPolicy compute.regionOperations.list compute.regionOperations.setIamPolicy resourcemanager.projects.get resourcemanager.projects.list serviceusage.quotas.get serviceusage.services.get serviceusage.services.list

Rol de usuario de la política de firewall de Compute para la organización

Título y nombre	Descripción	Permisos
Usuario de políticas de firewall de la organización de Compute (roles/compute.orgFirewallPolicyUser)	Consulta o usa las políticas de firewall de Compute Engine para asociarlas con la organización o con las carpetas.	compute.firewallPolicies.get compute.firewallPolicies.list compute.firewallPolicies.use compute.globalOperations.get compute.globalOperations.getIamPolicy compute.globalOperations.list compute.projects.get compute.regionFirewallPolicies.get compute.regionFirewallPolicies.list compute.regionFirewallPolicies.use compute.regionOperations.get compute.regionOperations.getIamPolicy compute.regionOperations.list resourcemanager.projects.get resourcemanager.projects.list serviceusage.quotas.get serviceusage.services.get serviceusage.services.list

Función de administrador de la política de seguridad de Compute en la organización

Título y nombre	Descripción	Permisos
Administrador de políticas de seguridad de Compute para la organización (roles/compute.orgSecurityPolicyAdmin)	Control total de las Políticas de seguridad de Compute Engine de la organización.	compute.firewallPolicies.* compute.globalOperations.get compute.globalOperations.getIamPolicy compute.globalOperations.list compute.globalOperations.setIamPolicy compute.projects.get compute.securityPolicies.addAssociation compute.securityPolicies.copyRules compute.securityPolicies.create compute.securityPolicies.delete compute.securityPolicies.get compute.securityPolicies.getIamPolicy compute.securityPolicies.list compute.securityPolicies.move compute.securityPolicies.removeAssociation compute.securityPolicies.setIamPolicy compute.securityPolicies.update compute.securityPolicies.use resourcemanager.projects.get resourcemanager.projects.list serviceusage.quotas.get serviceusage.services.get serviceusage.services.list

Función de usuario de la política de seguridad de Compute en la organización

Título y nombre	Descripción	Permisos
Usuario de políticas de seguridad de Compute para la organización (roles/compute.orgSecurityPolicyUser)	Consulta o usa las políticas de seguridad de Compute Engine para asociarlas con la organización o con las carpetas.	compute.firewallPolicies.addAssociation compute.firewallPolicies.get compute.firewallPolicies.list compute.firewallPolicies.removeAssociation compute.firewallPolicies.use compute.globalOperations.get compute.globalOperations.getIamPolicy compute.globalOperations.list compute.globalOperations.setIamPolicy compute.projects.get compute.securityPolicies.addAssociation compute.securityPolicies.get compute.securityPolicies.list compute.securityPolicies.removeAssociation compute.securityPolicies.use resourcemanager.projects.get resourcemanager.projects.list serviceusage.quotas.get serviceusage.services.get serviceusage.services.list

Función de administrador de recursos de Compute en la organización

Título y nombre	Descripción	Permisos
Administrador de recursos de Compute en la organización (roles/compute.orgSecurityResourceAdmin)	Tiene control completo sobre las asociaciones de la política de firewall de Compute Engine con la organización o con las carpetas.	compute.globalOperations.get compute.globalOperations.getIamPolicy compute.globalOperations.list compute.globalOperations.setIamPolicy compute.organizations.listAssociations compute.organizations.setFirewallPolicy compute.organizations.setSecurityPolicy compute.projects.get resourcemanager.projects.get resourcemanager.projects.list serviceusage.quotas.get serviceusage.services.get serviceusage.services.list

Función de acceso de administrador del SO de Compute

Título y nombre	Descripción	Permisos
Acceso de administrador al SO de Compute (roles/compute.osAdminLogin)	Acceso a una instancia de Compute Engine como un usuario administrador Recursos de nivel más bajo en los que puedes otorgar este rol: Instancia ^Beta	compute.disks.listEffectiveTags compute.disks.listTagBindings compute.images.listEffectiveTags compute.images.listTagBindings compute.instances.get compute.instances.list compute.instances.listEffectiveTags compute.instances.listTagBindings compute.instances.osAdminLogin compute.instances.osLogin compute.projects.get compute.snapshots.listEffectiveTags compute.snapshots.listTagBindings resourcemanager.projects.get resourcemanager.projects.list serviceusage.quotas.get serviceusage.services.get serviceusage.services.list

Función de acceso a SO de Compute

Título y nombre	Descripción	Permisos
Acceso a SO de Compute (roles/compute.osLogin)	Acceso a una instancia de Compute Engine como un usuario estándar Recursos de nivel más bajo en los que puedes otorgar este rol: Instancia ^Beta	compute.disks.listEffectiveTags compute.disks.listTagBindings compute.images.listEffectiveTags compute.images.listTagBindings compute.instances.get compute.instances.list compute.instances.listEffectiveTags compute.instances.listTagBindings compute.instances.osLogin compute.projects.get compute.snapshots.listEffectiveTags compute.snapshots.listTagBindings resourcemanager.projects.get resourcemanager.projects.list serviceusage.quotas.get serviceusage.services.get serviceusage.services.list

Función de acceso de usuario externo a SO de Compute

Título y nombre	Descripción	Permisos
Usuario externo del acceso al SO de Compute (roles/compute.osLoginExternalUser)	Disponible solo a nivel de la organización. Acceso para que un usuario externo configure la información de acceso al SO asociada con esta organización. Este rol no otorga acceso a instancias. A los usuarios externos se les debe otorgar una de las funciones de acceso al SO obligatorias para permitirles que accedan a instancias mediante SSH. Recursos de nivel más bajo en los que puedes otorgar este rol: Organización	compute.oslogin.updateExternalUser

Función de administrador de duplicación de paquetes de Compute

Título y nombre	Descripción	Permisos
Administrador de duplicación de paquetes de Compute (roles/compute.packetMirroringAdmin)	Especifica los recursos para duplicar.	compute.instances.updateSecurity compute.networks.mirror compute.projects.get compute.subnetworks.mirror resourcemanager.projects.get resourcemanager.projects.list serviceusage.quotas.get serviceusage.services.get serviceusage.services.list

Función de usuario de duplicación de paquetes de Compute

Título y nombre	Descripción	Permisos
Usuario de duplicación de paquetes de Compute (roles/compute.packetMirroringUser)	Usa duplicaciones de paquetes de Compute Engine.	compute.packetMirrorings.* compute.projects.get resourcemanager.projects.get resourcemanager.projects.list serviceusage.quotas.get serviceusage.services.get serviceusage.services.list

Función de administrador de IP pública de Compute

Título y nombre	Descripción	Permisos
Administrador de IP públicas de Compute (roles/compute.publicIpAdmin)	Control total de la administración de direcciones IP públicas para Compute Engine.	compute.addresses.* compute.globalAddresses.* compute.globalPublicDelegatedPrefixes.* compute.publicAdvertisedPrefixes.* compute.publicDelegatedPrefixes.* resourcemanager.projects.get resourcemanager.projects.list

Función de administrador de seguridad de Compute

Título y nombre	Descripción	Permisos
Administrador de seguridad de Compute (roles/compute.securityAdmin)	Permisos para crear, modificar y borrar reglas de firewall y certificados SSL, y también configurar VM protegidas. Por ejemplo, si tu empresa tiene un equipo de seguridad que administra firewalls y certificados SSL y, además, un equipo de herramientas de redes que administra el resto de los recursos de herramientas de redes, debes otorgar este rol al grupo del equipo de seguridad. Recursos de nivel más bajo en los que puedes otorgar este rol: Instancia ^Beta	compute.backendBuckets.list compute.backendServices.list compute.firewallPolicies.* compute.firewalls.* compute.globalOperations.get compute.globalOperations.list compute.instances.getEffectiveFirewalls compute.instances.list compute.instances.setShieldedInstanceIntegrityPolicy compute.instances.setShieldedVmIntegrityPolicy compute.instances.updateSecurity compute.instances.updateShieldedInstanceConfig compute.instances.updateShieldedVmConfig compute.networks.get compute.networks.getEffectiveFirewalls compute.networks.getRegionEffectiveFirewalls compute.networks.list compute.networks.updatePolicy compute.packetMirrorings.* compute.projects.get compute.regionBackendServices.list compute.regionFirewallPolicies.* compute.regionOperations.get compute.regionOperations.list compute.regionSecurityPolicies.* compute.regionSslCertificates.* compute.regions.* compute.routes.get compute.routes.list compute.securityPolicies.* compute.sslCertificates.* compute.sslPolicies.* compute.subnetworks.get compute.subnetworks.list compute.targetInstances.list compute.targetPools.list compute.zoneOperations.get compute.zoneOperations.list compute.zones.* resourcemanager.projects.get resourcemanager.projects.list serviceusage.quotas.get serviceusage.services.get serviceusage.services.list

Rol de visualizador de usuario único de Compute

Título y nombre	Descripción	Permisos
Visualizador de usuario único de Compute (roles/compute.soleTenantViewer) ^Beta	Permisos para ver grupos de nodos de usuario único	compute.nodeGroups.get compute.nodeGroups.getIamPolicy compute.nodeGroups.list compute.nodeTemplates.get compute.nodeTemplates.getIamPolicy compute.nodeTemplates.list compute.nodeTypes.*

Función de administrador de almacenamiento de Compute

Título y nombre	Descripción	Permisos
Administrador de seguridad de Compute (roles/compute.storageAdmin)	Permisos para crear, modificar y borrar imágenes, instantáneas y discos. Por ejemplo, si en tu empresa hay una persona que administra las imágenes del proyecto y no quieres que tenga el rol de editor en el proyecto, debes otorgarle este rol a su cuenta en el proyecto. Recursos de nivel más bajo en los que puedes otorgar este rol: Disco Imagen Instantánea ^beta	compute.diskTypes.* compute.disks.* compute.globalOperations.get compute.globalOperations.list compute.images.* compute.licenseCodes.* compute.licenses.* compute.projects.get compute.regionOperations.get compute.regionOperations.list compute.regions.* compute.resourcePolicies.* compute.snapshots.* compute.zoneOperations.get compute.zoneOperations.list compute.zones.* resourcemanager.projects.get resourcemanager.projects.list serviceusage.quotas.get serviceusage.services.get serviceusage.services.list

Función de visualizador de Compute

Título y nombre	Descripción	Permisos
Visualizador de Compute (roles/compute.viewer)	Acceso de solo lectura para obtener y mostrar los recursos de Compute Engine sin poder leer los datos almacenados en ellos Por ejemplo, una cuenta con este rol podría crear inventarios de todos los discos en un proyecto, pero no podría leer ninguno de los datos de esos discos. Recursos de nivel más bajo en los que puedes otorgar este rol: Disco Imagen Instancia Plantilla de instancias Grupo de nodos Plantilla de nodo Instantánea ^beta	compute.acceleratorTypes.* compute.addresses.get compute.addresses.list compute.autoscalers.get compute.autoscalers.list compute.backendBuckets.get compute.backendBuckets.list compute.backendServices.get compute.backendServices.getIamPolicy compute.backendServices.list compute.commitments.get compute.commitments.list compute.diskTypes.* compute.disks.get compute.disks.getIamPolicy compute.disks.list compute.disks.listEffectiveTags compute.disks.listTagBindings compute.externalVpnGateways.get compute.externalVpnGateways.list compute.firewallPolicies.get compute.firewallPolicies.getIamPolicy compute.firewallPolicies.list compute.firewalls.get compute.firewalls.list compute.forwardingRules.get compute.forwardingRules.list compute.globalAddresses.get compute.globalAddresses.list compute.globalForwardingRules.get compute.globalForwardingRules.list compute.globalForwardingRules.pscGet compute.globalNetworkEndpointGroups.get compute.globalNetworkEndpointGroups.list compute.globalOperations.get compute.globalOperations.getIamPolicy compute.globalOperations.list compute.globalPublicDelegatedPrefixes.get compute.globalPublicDelegatedPrefixes.list compute.healthChecks.get compute.healthChecks.list compute.httpHealthChecks.get compute.httpHealthChecks.list compute.httpsHealthChecks.get compute.httpsHealthChecks.list compute.images.get compute.images.getFromFamily compute.images.getIamPolicy compute.images.list compute.images.listEffectiveTags compute.images.listTagBindings compute.instanceGroupManagers.get compute.instanceGroupManagers.list compute.instanceGroups.get compute.instanceGroups.list compute.instanceTemplates.get compute.instanceTemplates.getIamPolicy compute.instanceTemplates.list compute.instances.get compute.instances.getEffectiveFirewalls compute.instances.getGuestAttributes compute.instances.getIamPolicy compute.instances.getScreenshot compute.instances.getSerialPortOutput compute.instances.getShieldedInstanceIdentity compute.instances.getShieldedVmIdentity compute.instances.list compute.instances.listEffectiveTags compute.instances.listReferrers compute.instances.listTagBindings compute.interconnectAttachments.get compute.interconnectAttachments.list compute.interconnectLocations.* compute.interconnects.get compute.interconnects.list compute.licenseCodes.get compute.licenseCodes.getIamPolicy compute.licenseCodes.list compute.licenses.get compute.licenses.getIamPolicy compute.licenses.list compute.machineImages.get compute.machineImages.getIamPolicy compute.machineImages.list compute.machineTypes.* compute.maintenancePolicies.get compute.maintenancePolicies.getIamPolicy compute.maintenancePolicies.list compute.networkEdgeSecurityServices.get compute.networkEdgeSecurityServices.list compute.networkEndpointGroups.get compute.networkEndpointGroups.getIamPolicy compute.networkEndpointGroups.list compute.networks.get compute.networks.getEffectiveFirewalls compute.networks.getRegionEffectiveFirewalls compute.networks.list compute.networks.listPeeringRoutes compute.nodeGroups.get compute.nodeGroups.getIamPolicy compute.nodeGroups.list compute.nodeTemplates.get compute.nodeTemplates.getIamPolicy compute.nodeTemplates.list compute.nodeTypes.* compute.organizations.listAssociations compute.packetMirrorings.get compute.packetMirrorings.list compute.projects.get compute.publicAdvertisedPrefixes.get compute.publicAdvertisedPrefixes.list compute.publicDelegatedPrefixes.get compute.publicDelegatedPrefixes.list compute.regionBackendServices.get compute.regionBackendServices.getIamPolicy compute.regionBackendServices.list compute.regionFirewallPolicies.get compute.regionFirewallPolicies.getIamPolicy compute.regionFirewallPolicies.list compute.regionHealthCheckServices.get compute.regionHealthCheckServices.list compute.regionHealthChecks.get compute.regionHealthChecks.list compute.regionNetworkEndpointGroups.get compute.regionNetworkEndpointGroups.list compute.regionNotificationEndpoints.get compute.regionNotificationEndpoints.list compute.regionOperations.get compute.regionOperations.getIamPolicy compute.regionOperations.list compute.regionSecurityPolicies.get compute.regionSecurityPolicies.list compute.regionSslCertificates.get compute.regionSslCertificates.list compute.regionTargetHttpProxies.get compute.regionTargetHttpProxies.list compute.regionTargetHttpsProxies.get compute.regionTargetHttpsProxies.list compute.regionUrlMaps.get compute.regionUrlMaps.list compute.regionUrlMaps.validate compute.regions.* compute.reservations.get compute.reservations.list compute.resourcePolicies.get compute.resourcePolicies.list compute.routers.get compute.routers.list compute.routes.get compute.routes.list compute.securityPolicies.get compute.securityPolicies.getIamPolicy compute.securityPolicies.list compute.serviceAttachments.get compute.serviceAttachments.list compute.snapshots.get compute.snapshots.getIamPolicy compute.snapshots.list compute.snapshots.listEffectiveTags compute.snapshots.listTagBindings compute.sslCertificates.get compute.sslCertificates.list compute.sslPolicies.get compute.sslPolicies.list compute.sslPolicies.listAvailableFeatures compute.subnetworks.get compute.subnetworks.getIamPolicy compute.subnetworks.list compute.targetGrpcProxies.get compute.targetGrpcProxies.list compute.targetHttpProxies.get compute.targetHttpProxies.list compute.targetHttpsProxies.get compute.targetHttpsProxies.list compute.targetInstances.get compute.targetInstances.list compute.targetPools.get compute.targetPools.list compute.targetSslProxies.get compute.targetSslProxies.list compute.targetTcpProxies.get compute.targetTcpProxies.list compute.targetVpnGateways.get compute.targetVpnGateways.list compute.urlMaps.get compute.urlMaps.list compute.urlMaps.validate compute.vpnGateways.get compute.vpnGateways.list compute.vpnTunnels.get compute.vpnTunnels.list compute.zoneOperations.get compute.zoneOperations.getIamPolicy compute.zoneOperations.list compute.zones.* resourcemanager.projects.get resourcemanager.projects.list serviceusage.quotas.get serviceusage.services.get serviceusage.services.list

Función de administrador de VPC compartida de Compute

Título y nombre	Descripción	Permisos
Administrador de VPC compartida de Compute (roles/compute.xpnAdmin)	Permisos para administrar proyectos host de VPC compartida, que permiten habilitar específicamente los proyectos host y asociar proyectos de servicio de VPC compartida a la red del proyecto host. Al nivel de la organización, solo un administrador de la organización puede otorgar este rol. Google Cloud recomienda que el administrador de VPC compartida sea el propietario del proyecto host de VPC compartida. El administrador de VPC compartida es el responsable de otorgar el rol del usuario de red de Compute (roles/compute.networkUser) a los propietarios del servicio. Por otro lado, el propietario del proyecto host de VPC compartida controla el proyecto en sí. La administración del proyecto es más sencilla si una única cuenta principal (individual o grupal) puede cumplir ambas funciones. Recursos de nivel más bajo en los que puedes otorgar este rol: Carpeta	compute.globalOperations.get compute.globalOperations.list compute.organizations.administerXpn compute.organizations.disableXpnHost compute.organizations.disableXpnResource compute.organizations.enableXpnHost compute.organizations.enableXpnResource compute.projects.get compute.subnetworks.getIamPolicy compute.subnetworks.setIamPolicy resourcemanager.organizations.get resourcemanager.projects.get resourcemanager.projects.getIamPolicy resourcemanager.projects.list

Función de administrador de GuestPolicy

Título y nombre	Descripción	Permisos
Administrador de GuestPolicy (roles/osconfig.guestPolicyAdmin) ^Beta	Acceso completo de administrador a GuestPolicies	osconfig.guestPolicies.* resourcemanager.projects.get resourcemanager.projects.list

Función de editor de GuestPolicy

Título y nombre	Descripción	Permisos
Editor de GuestPolicy (roles/osconfig.guestPolicyEditor) ^Beta	Editor de recursos de GuestPolicy	osconfig.guestPolicies.get osconfig.guestPolicies.list osconfig.guestPolicies.update resourcemanager.projects.get resourcemanager.projects.list

Función de visualizador de GuestPolicy

Título y nombre	Descripción	Permisos
Visualizador de GuestPolicy (roles/osconfig.guestPolicyViewer) ^Beta	Visualizador de recursos de GuestPolicy	osconfig.guestPolicies.get osconfig.guestPolicies.list resourcemanager.projects.get resourcemanager.projects.list

Rol de visualizador de InstanceOSPoliciesCompliance

Título y nombre	Descripción	Permisos
Visualizador de InstanceOSPoliciesCompliance (roles/osconfig.instanceOSPoliciesComplianceViewer) ^Beta	Visualizador de cumplimiento de políticas de SO de las instancias de VM	osconfig.instanceOSPoliciesCompliances.* resourcemanager.projects.get resourcemanager.projects.list

Rol de visualizador de inventario del SO

Título y nombre	Descripción	Permisos
Visualizador de inventarios de SO (roles/osconfig.inventoryViewer)	Visualizador de inventarios de SO	osconfig.inventories.* resourcemanager.projects.get resourcemanager.projects.list

Rol de administrador de OSPolicyAssignment

Título y nombre	Descripción	Permisos
Administrador de OSPolicyAssignment (roles/osconfig.osPolicyAssignmentAdmin)	Tiene acceso completo de administrador a las asignaciones de políticas de SO	osconfig.osPolicyAssignments.* resourcemanager.projects.get resourcemanager.projects.list

Rol del editor de OSPolicyAssignment

Título y nombre	Descripción	Permisos
Editor de OSPolicyAssignment (roles/osconfig.osPolicyAssignmentEditor)	Editor de asignaciones de políticas de SO	osconfig.osPolicyAssignments.get osconfig.osPolicyAssignments.list osconfig.osPolicyAssignments.update resourcemanager.projects.get resourcemanager.projects.list

Rol de visualizador de OSPolicyAssignmentReport

Título y nombre	Descripción	Permisos
Visualizador de OSPolicyAssignmentReport (roles/osconfig.osPolicyAssignmentReportViewer)	Visualizador de informes de asignación de políticas de SO para instancias de VM	osconfig.osPolicyAssignmentReports.* resourcemanager.projects.get resourcemanager.projects.list

Rol de visualizador de OSPolicyAssignment

Título y nombre	Descripción	Permisos
Visualizador de OSPolicyAssignment (roles/osconfig.osPolicyAssignmentViewer)	Visualizador de asignaciones de políticas del SO	osconfig.osPolicyAssignments.get osconfig.osPolicyAssignments.list resourcemanager.projects.get resourcemanager.projects.list

Función de administrador de PatchDeployment

Título y nombre	Descripción	Permisos
Administrador de PatchDeployment (roles/osconfig.patchDeploymentAdmin)	Acceso completo de administrador a PatchDeployments	osconfig.patchDeployments.* resourcemanager.projects.get resourcemanager.projects.list

Función de visualizador de PatchDeployment

Título y nombre	Descripción	Permisos
Visualizador de PatchDeployment (roles/osconfig.patchDeploymentViewer)	Visualizador de recursos de PatchDeployment	osconfig.patchDeployments.get osconfig.patchDeployments.list resourcemanager.projects.get resourcemanager.projects.list

Función de ejecutor de trabajos de aplicación de parches

Título y nombre	Descripción	Permisos
Ejecutor de trabajos de aplicación de parches (roles/osconfig.patchJobExecutor)	Acceso para ejecutar trabajos de aplicación de parches	osconfig.patchJobs.* resourcemanager.projects.get resourcemanager.projects.list

Función de visualizador de trabajos de aplicación de parches

Título y nombre	Descripción	Permisos
Visualizador de trabajos de aplicación de parches (roles/osconfig.patchJobViewer)	Obtiene y enumera trabajos de aplicación de parches	osconfig.patchJobs.get osconfig.patchJobs.list resourcemanager.projects.get resourcemanager.projects.list

Rol de visualizador de VulnerabilityReport del SO

Título y nombre	Descripción	Permisos
Visualizador de VulnerabilityReport de SO (roles/osconfig.vulnerabilityReportViewer)	Visualizador de informes de vulnerabilidades de SO	osconfig.vulnerabilityReports.* resourcemanager.projects.get resourcemanager.projects.list

Rol de administrador de DNS

Título y nombre	Descripción	Permisos
Administrador de DNS (roles/dns.admin)	Proporciona acceso de lectura y escritura a todos los recursos de Cloud DNS. Recursos de nivel más bajo en los que puedes otorgar este rol: Proyecto	compute.networks.get compute.networks.list dns.changes.* dns.dnsKeys.* dns.managedZoneOperations.* dns.managedZones.create dns.managedZones.delete dns.managedZones.get dns.managedZones.getIamPolicy dns.managedZones.list dns.managedZones.update dns.networks.* dns.policies.create dns.policies.delete dns.policies.get dns.policies.getIamPolicy dns.policies.list dns.policies.update dns.projects.get dns.resourceRecordSets.* dns.responsePolicies.* dns.responsePolicyRules.* resourcemanager.projects.get resourcemanager.projects.list

Función de par de DNS

Título y nombre	Descripción	Permisos
Par de DNS (roles/dns.peer)	Acceso a las redes objetivo con zonas de intercambio de tráfico de DNS	dns.networks.targetWithPeeringZone

Función de lector de DNS

Título y nombre	Descripción	Permisos
Lector de DNS (roles/dns.reader)	Proporciona acceso de solo lectura a todos los recursos de Cloud DNS. Recursos de nivel más bajo en los que puedes otorgar este rol: Proyecto	compute.networks.get dns.changes.get dns.changes.list dns.dnsKeys.* dns.managedZoneOperations.* dns.managedZones.get dns.managedZones.list dns.policies.get dns.policies.list dns.projects.get dns.resourceRecordSets.get dns.resourceRecordSets.list dns.responsePolicies.get dns.responsePolicies.list dns.responsePolicyRules.get dns.responsePolicyRules.list resourcemanager.projects.get resourcemanager.projects.list

Función de administrador de cuenta de servicio

Título y nombre	Descripción	Permisos
Administrador de cuenta de servicio (roles/iam.serviceAccountAdmin)	Crea y administra cuentas de servicio. Recursos de nivel más bajo en los que puedes otorgar esta función: Cuenta de servicio	iam.serviceAccounts.create iam.serviceAccounts.delete iam.serviceAccounts.disable iam.serviceAccounts.enable iam.serviceAccounts.get iam.serviceAccounts.getIamPolicy iam.serviceAccounts.list iam.serviceAccounts.setIamPolicy iam.serviceAccounts.undelete iam.serviceAccounts.update resourcemanager.projects.get resourcemanager.projects.list

Función Crear cuentas de servicio

Título y nombre	Descripción	Permisos
Crea cuentas de servicio (roles/iam.serviceAccountCreator)	Acceso para crear cuentas de servicio	iam.serviceAccounts.create iam.serviceAccounts.get iam.serviceAccounts.list resourcemanager.projects.get resourcemanager.projects.list

Función Borrar cuentas de servicio

Título y nombre	Descripción	Permisos
Borrar cuentas de servicio (roles/iam.serviceAccountDeleter)	Acceso para borrar cuentas de servicio	iam.serviceAccounts.delete iam.serviceAccounts.get iam.serviceAccounts.list resourcemanager.projects.get resourcemanager.projects.list

Función de administrador de clave de cuenta de servicio

Título y nombre	Descripción	Permisos
Administrador de claves de cuentas de servicio (roles/iam.serviceAccountKeyAdmin)	Crea y administra (y rota) claves de cuenta de servicio. Recursos de nivel más bajo en los que puedes otorgar esta función: Cuenta de servicio	iam.serviceAccountKeys.* iam.serviceAccounts.get iam.serviceAccounts.list resourcemanager.projects.get resourcemanager.projects.list

Rol de creador de tokens de identidad de OpenID Connect para cuentas de servicio

Título y nombre	Descripción	Permisos
Creador de tokens de identidad de OpenID Connect para cuentas de servicio (roles/iam.serviceAccountOpenIdTokenCreator)	Puede crear tokens de identidad de OpenID Connect (OIDC)	iam.serviceAccounts.getOpenIdToken

Función de creador de tokens de cuenta de servicio

Título y nombre	Descripción	Permisos
Creador de tokens de cuenta de servicio (roles/iam.serviceAccountTokenCreator)	Actúa en nombre de cuentas de servicio (crear tokens de acceso de OAuth2, firmar BLOB o JWT, etc.). Recursos de nivel más bajo en los que puedes otorgar esta función: Cuenta de servicio	iam.serviceAccounts.get iam.serviceAccounts.getAccessToken iam.serviceAccounts.getOpenIdToken iam.serviceAccounts.implicitDelegation iam.serviceAccounts.list iam.serviceAccounts.signBlob iam.serviceAccounts.signJwt resourcemanager.projects.get resourcemanager.projects.list

Función de usuario de cuenta de servicio

Título y nombre	Descripción	Permisos
Usuario de la cuenta de servicio (roles/iam.serviceAccountUser)	Puede ejecutar operaciones como la cuenta de servicio. Recursos de nivel más bajo en los que puedes otorgar esta función: Cuenta de servicio	iam.serviceAccounts.actAs iam.serviceAccounts.get iam.serviceAccounts.list resourcemanager.projects.get resourcemanager.projects.list

Ver rol de cuentas de servicio

Título y nombre	Descripción	Permisos
Ver cuentas de servicio (roles/iam.serviceAccountViewer)	Acceso de lectura a cuentas de servicio, metadatos y claves.	iam.serviceAccountKeys.get iam.serviceAccountKeys.list iam.serviceAccounts.get iam.serviceAccounts.getIamPolicy iam.serviceAccounts.list resourcemanager.projects.get resourcemanager.projects.list

Función del usuario de Workload Identity

Título y nombre	Descripción	Permisos
Usuario de Workload Identity (roles/iam.workloadIdentityUser)	Actúa en nombre de cuentas de servicio desde cargas de trabajo de GKE	iam.serviceAccounts.get iam.serviceAccounts.getAccessToken iam.serviceAccounts.getOpenIdToken iam.serviceAccounts.list

¿Qué sigue?

• Obtén más información sobre IAM.
• Obtén más información sobre cómo crear y administrar funciones de IAM personalizadas.
• Otorga funciones de IAM a los usuarios de un proyecto.
• Otorga funciones de IAM para recursos específicos de Compute Engine.
• Otorga funciones de IAM a cuentas de servicio.