Administrar el acceso a imágenes personalizadas

Para permitir que los usuarios creen, borren, usen o compartan tus imágenes personalizadas, debes otorgarles las funciones de administración de identidades y accesos (IAM) adecuadas. En este documento, se describen los permisos de IAM necesarios para crear y administrar imágenes personalizadas y cómo otorgarlos a los usuarios.

Para obtener información general sobre cómo otorgar acceso a los recursos de Compute Engine, consulta Administra el acceso a los recursos de Compute Engine. Si quieres obtener información sobre IAM, consulta la documentación de IAM.

Antes de comenzar

Si deseas usar los ejemplos de línea de comandos de esta guía, haz lo siguiente:
1. Instala Google Cloud CLI o actualízala a la última versión.
2. Configura una región y una zona predeterminadas.
Si deseas usar los ejemplos de API de esta guía, configura el acceso a la API.
Lee la documentación de IAM.
Obtén información sobre las funciones de IAM de Compute Engine, en particular, la función de usuario de imagen de Compute (roles/compute.imageUser).

Limitaciones

En las imágenes, no puedes otorgar funciones al tipo de membresía especial allUsers.

Otorga permisos para crear imágenes personalizadas

Puedes otorgar a los usuarios la capacidad de crear imágenes personalizadas en la organización o el proyecto.

Compute Engine ofrece la función de administrador de Compute Storage predefinida (roles/compute.storageAdmin) que puedes asignar a los usuarios a fin de que puedan crear, borrar y administrar. Recursos relacionados con el almacenamiento, incluidas las imágenes, las instantáneas y los discos. Si necesitas una función que permita solo la creación de imágenes, debes crear una función personalizada. En la función personalizada, se incluyen los siguientes permisos:

compute.images.create para crear imágenes nuevas
compute.images.list para mostrar las imágenes del proyecto
compute.disks.use para las imágenes que se creen desde un disco
compute.disks.list para los usuarios que deban enumerar todos los discos de un proyecto

Si le das a un usuario la capacidad de crear imágenes personalizadas a nivel de la organización, este puede crear imágenes personalizadas para cualquier proyecto dentro de la organización.

Permisos necesarios para esta tarea

Para realizar esta tarea, debes tener los siguientes permisos:

resourcemanager.[projects|organizations].getIamPolicy en el proyecto o la organización para ver la política de IAM actual
resourcemanager.[projects|organizations].setIamPolicy en el proyecto o la organización para actualizar la política de IAM

Console

En Google Cloud Console, ve a la página IAM de la organización o el proyecto.

Ir a IAM
Para agregar un miembro nuevo, haz clic en Otorgar acceso.
En el campo Principales nuevas, ingresa la dirección de correo electrónico de la identidad a la que deseas otorgar acceso.

Por ejemplo:
- Correo electrónico de la Cuenta de Google: test-user@gmail.com
- Grupo de Google: admins@googlegroups.com
- Cuenta de servicio: server@example.gserviceaccount.com
- Dominio de Google Workspace: example.com
En la lista Selecciona una función, elige Compute Engine > Administrador de almacenamiento de Compute o selecciona una función personalizada en caso de que hayas creado una.
Opcional: Para controlar aún más el acceso de los usuarios a los recursos de Google Cloud, agrega vinculaciones de funciones condicionales.
Guarde los cambios.

gcloud

Para otorgar la función roles/compute.storageAdmin a nivel de organización, usa el comando gcloud organizations add-iam-policy-binding:

gcloud organizations add-iam-policy-binding ORGANIZATION_ID \
    --member='MEMBER' \
    --role='roles/compute.storageAdmin'

Para otorgar la función roles/compute.storageAdmin a nivel de proyecto, usa el comando gcloud projects add-iam-policy-binding:

gcloud projects add-iam-policy-binding PROJECT_ID \
    --member='MEMBER' \
    --role='roles/compute.storageAdmin'

Reemplaza lo siguiente:

ORGANIZATION_ID o PROJECT_ID: Es el ID de la organización o el ID del proyecto, por ejemplo, my-organization-1 o my-project-1.
MEMBER: Una identidad válida a la que deseas otorgar la función.

Por ejemplo:
- Correo electrónico de la Cuenta de Google: user:user@gmail.com
- Grupo de Google: group:admins@googlegroups.com
- Cuenta de servicio: serviceAccount:server@example.gserviceaccount.com
- Dominio de Google Workspace: domain:example.com

API

Lee la política existente con el método getIamPolicy correspondiente del recurso. Para los proyectos, usa el método projects.getIamPolicy.
```
POST https://cloudresourcemanager.googleapis.com/v1/projects/PROJECT_ID:getIamPolicy
```
Reemplaza PROJECT_ID por el ID del proyecto para my-project-1.

Para las organizaciones, usa el método organizations.getIamPolicy.
```
POST https://cloudresourcemanager.googleapis.com/v1/organizations/ORGANIZATION_ID:getIamPolicy
```
Reemplaza ORGANIZATION_ID por el ID del proyecto para 123456578920.

Compute Engine muestra la política actual en la respuesta.
Para agregar o quitar miembros y sus funciones asociadas, edita la política con un editor de texto. Usa el siguiente formato para agregar miembros:
- user:test-user@gmail.com
- group:admins@example.com
- serviceAccount:test123@example.domain.com
- domain:example.domain.com
Por ejemplo, para otorgar la función roles/compute.storageAdmin a group:admins@example.com, agrega la siguiente vinculación a la política:
```
{
 "members": [
   "group:admins@example.com"
 ],
 "role":"roles/compute.storageAdmin"
}
```
Escribe la política actualizada mediante el método setIamPolicy.

Por ejemplo, para establecer una política a nivel de proyecto, usa el método project.setIamPolicy. En el cuerpo de la solicitud, proporciona la política de IAM actualizada del paso anterior.
```
POST https://cloudresourcemanager.googleapis.com/v1/projects/PROJECT_ID:setIamPolicy
```
Reemplaza PROJECT_ID por el ID del proyecto.

Otorga permisos para borrar imágenes personalizadas

Según tus necesidades, puedes otorgar permiso a los usuarios para realizar las siguientes acciones:

Borrar una imagen específica
Borrar imágenes que pertenezcan a un proyecto específico
Borrar imágenes de cualquier proyecto dentro de una organización

Si otorgas permiso a nivel de proyecto, los usuarios podrán borrar todas las imágenes que pertenezcan a ese proyecto. Si otorgas permiso a nivel de organización, el usuario podrá borrar cualquier imagen que pertenezca a esa organización, sin importar el proyecto.

Compute Engine ofrece la Función de administrador de almacenamiento de Compute predefinida (roles/compute.storageAdmin), que puedes asignar a los usuarios a fin de habilitarlos a crear, borrar y administrar recursos relacionados con el almacenamiento, como las instantáneas, las imágenes y los discos. Si necesitas una función que permita solo la eliminación de imágenes, debes crear una función personalizada. En la función personalizada, se incluyen los siguientes permisos:

compute.images.delete para borrar imágenes
compute.images.list si los usuarios necesitan enumerar imágenes en el proyecto o la organización
compute.images.get para obtener las imágenes

Permisos necesarios para esta tarea

Para realizar esta tarea, debes tener los siguientes permisos:

resourcemanager.[projects|organizations].getIamPolicy en el proyecto o la organización para ver la política de IAM actual
compute.images.getIamPolicy en la imagen para ver la política de IAM actual
resourcemanager.[projects|organizations].setIamPolicy en el proyecto o la organización para actualizar la política de IAM
compute.images.setIamPolicy en la imagen para actualizar la política de IAM

Console

A fin de otorgar permiso para borrar imágenes específicas, haz lo siguiente:

En Google Cloud Console, ve a la página Imágenes.

Ir a Imágenes
Selecciona las imágenes a las que deseas otorgar permisos.
Para expandir la columna de permisos, haz clic en Mostrar panel de información.
Para agregar uno o más miembros, haz clic en Agregar principal.
En el campo Principales nuevas, ingresa la dirección de correo electrónico de la identidad con la que deseas compartir la imagen.

Por ejemplo:
- Correo electrónico de la Cuenta de Google: test-user@gmail.com
- Grupo de Google: admins@googlegroups.com
- Cuenta de servicio: server@example.gserviceaccount.com
- Dominio de Google Workspace: example.com
En la lista Función, mantén el puntero sobre Compute Engine y selecciona Administrador de almacenamiento o selecciona una función personalizada de la lista personalizada.
Opcional: Para controlar aún más el acceso de los usuarios a los recursos de Google Cloud, agrega vinculaciones de funciones condicionales.
Guarde los cambios.

A fin de otorgar permiso para borrar imágenes de un proyecto o una organización, haz lo siguiente:

Ve a la página IAM de la organización o el proyecto.

Ir a IAM
Haz clic en Grant access.
En el campo Principales nuevas, ingresa la dirección de correo electrónico de la identidad a la que deseas otorgar acceso. Por ejemplo:
- Correo electrónico de la Cuenta de Google: test-user@gmail.com
- Grupo de Google: admins@googlegroups.com
- Cuenta de servicio: server@example.gserviceaccount.com
- Dominio de Google Workspace: example.com
En la lista Función, mantén el puntero sobre Compute Engine y selecciona Administrador de almacenamiento o selecciona una función personalizada de la lista personalizada.
Opcional: Para controlar aún más el acceso de los usuarios a los recursos de Google Cloud, agrega vinculaciones de funciones condicionales.
Guarde los cambios.

gcloud

Si deseas otorgar permisos para borrar imágenes a nivel de organización, usa el comando gcloud organizations add-iam-policy-binding:

gcloud organizations add-iam-policy-binding ORGANIZATION_ID \
    --member='MEMBER' \
    --role='ROLE'

Si deseas otorgar permisos para borrar imágenes a nivel de proyecto, usa el comando gcloud projects add-iam-policy-binding:

gcloud projects add-iam-policy-binding PROJECT_ID \
    --member='MEMBER' \
    --role='ROLE'

Si deseas otorgar permisos para borrar una imagen específica, usa el comando gcloud compute images add-iam-policy-binding:

gcloud compute images add-iam-policy-binding IMAGE_NAME \
    --member='MEMBER' \
    --role='ROLE'

Reemplaza lo siguiente:

ORGANIZATION_ID, PROJECT_ID o IMAGE_NAME: Es el ID numérico de 12 dígitos de la organización, el ID del proyecto o el nombre de la imagen, por ejemplo, 123456578920, my-project-1 o my-custom-image.
MEMBER: Una identidad válida a la que deseas otorgar la función.

Por ejemplo:
- Correo electrónico de la Cuenta de Google: user:user@gmail.com
- Grupo de Google: group:admins@googlegroups.com
- Cuenta de servicio: serviceAccount:server@example.gserviceaccount.com
- Dominio de Google Workspace: domain:example.com
ROLE: Es la función que se asigna a esta identidad, por ejemplo, la función roles/compute.storageAdmin o una función personalizada, como roles/customImageDeletionRole.

API

Lee la política existente con el método getIamPolicy correspondiente del recurso. Para los proyectos, usa el método projects.getIamPolicy:
```
POST https://cloudresourcemanager.googleapis.com/v1/projects/PROJECT_ID:getIamPolicy
```
Reemplaza PROJECT_ID por el ID del proyecto.

Para las organizaciones, usa el método organizations.getIamPolicy:
```
POST https://cloudresourcemanager.googleapis.com/v1/organizations/ORGANIZATION_ID:getIamPolicy
```
Reemplaza ORGANIZATION_ID por el ID numérico de 12 dígitos de la organización.

Para una imagen específica, usa el método images.getIamPolicy:
```
POST https://compute.googleapis.com/compute/v1/projects/PROJECT_ID/global/images/IMAGE_NAME:getIamPolicy
```
Reemplaza lo siguiente:
- PROJECT_ID: El ID del proyecto
- IMAGE_NAME: Es el nombre de la imagen.
Compute Engine muestra la política actual en la respuesta.
Para agregar o quitar miembros y sus funciones asociadas, puedes editar la política con un editor de texto. Usa el siguiente formato para agregar miembros:
- user:test-user@gmail.com
- group:admins@example.com
- serviceAccount:test123@example.domain.com
- domain:example.domain.com
Por ejemplo, para otorgar la función roles/compute.storageAdmin a user:test-email@example.com, agrega la siguiente vinculación a la política:
```
{
 "members": [
   "user:test-email@example.com"
 ],
 "role":"roles/compute.storageAdmin"
}
```
Escribe la política actualizada mediante el método setIamPolicy.

Por ejemplo, para establecer una política a nivel de proyecto, usa el método project.setIamPolicy. En el cuerpo de la solicitud, proporciona la política de IAM actualizada del paso anterior.
```
POST https://cloudresourcemanager.googleapis.com/v1/projects/PROJECT_ID:setIamPolicy
```
Reemplaza PROJECT_ID por el ID del proyecto.

Si tu proyecto pertenece a una organización, esta puede tener otros proyectos con distintos niveles de acceso a más proyectos. Cuando creas imágenes personalizadas, las puedes compartir con los usuarios de otros proyectos que formen parte de la organización.

Compute Engine ofrece las siguientes funciones predefinidas de IAM que puedes usar para administrar imágenes:

Usuario de imagen de Compute (roles/compute.imageUser): permiso para mostrar, leer y usar imágenes en las solicitudes, sin tener permisos adicionales sobre la imagen
Administrador de Compute Storage (roles/compute.storageAdmin): Permisos para crear, modificar y borrar instantáneas, imágenes y discos

Como alternativa, también puedes crear tu propia función de IAM personalizada.

Como práctica recomendada, te sugerimos que mantengas todas tus imágenes personalizadas en un único proyecto dedicado a alojarlas. Esta práctica facilita la administración de esas imágenes y te permite que equipos específicos puedan acceder solo a las imágenes que necesitan. También puedes otorgar a los equipos acceso a todo el proyecto de imagen, pero no lo recomendamos porque se infringe el principio de privilegio mínimo.

En el siguiente ejemplo, se muestra cómo agregar un grupo para que los usuarios de este tengan acceso a la imagen.

Console

En Google Cloud Console, ve a la página Imágenes.

Ir a Imágenes
Selecciona la imagen que deseas compartir con otros usuarios.
Para expandir la columna de permisos, haz clic en Mostrar panel de información.
Para agregar uno o más miembros, haz clic en Agregar principal.
En el campo Principales nuevas, ingresa la dirección de correo electrónico de la identidad con la que deseas compartir la imagen.

Por ejemplo:
- Correo electrónico de la Cuenta de Google: test-user@gmail.com
- Grupo de Google: admins@googlegroups.com
- Cuenta de servicio: server@example.gserviceaccount.com
- Dominio de Google Workspace: example.com
En la lista Función, mantén el puntero sobre Compute Engine y selecciona Usuario de imagen o Administrador de almacenamiento, o selecciona una función personalizada.
Opcional: Para controlar aún más el acceso de los usuarios a los recursos de Google Cloud, agrega vinculaciones de funciones condicionales.
Guarde los cambios.

Para permitir que los usuarios inicien imágenes personalizadas compartidas desde la consola de Google Cloud, otorga a los usuarios la función de IAM de visualizador (roles/viewer) en el proyecto de imagen. Si otorgas esta función, ayudas a garantizar que las imágenes compartidas aparezcan en la lista de selección de imágenes.

En la consola de Google Cloud, ve a la página IAM.

Ir a IAM
Haz clic en Grant access.
En el campo Principales nuevas, ingresa la dirección de correo electrónico de la identidad con la que deseas compartir la imagen. Por ejemplo:
- Correo electrónico de la Cuenta de Google: test-user@gmail.com
- Grupo de Google: admins@googlegroups.com
- Cuenta de servicio: server@example.gserviceaccount.com
- Dominio de Google Workspace: example.com
En la lista Función, mantén el puntero sobre Proyecto y selecciona Visualizador.
Opcional: Para controlar aún más el acceso de los usuarios a los recursos de Google Cloud, agrega vinculaciones de funciones condicionales.
Guarde los cambios.

gcloud

Para actualizar la política de IAM de una imagen específica, usa el comando gcloud compute images add-iam-policy-binding:

gcloud compute images add-iam-policy-binding IMAGE_NAME \
    --member='MEMBER' \
    --role='ROLE'

Reemplaza lo siguiente:

IMAGE_NAME: Es el nombre de la imagen, por ejemplo, custom-centos-8
MEMBER: Es una identidad válida a la que deseas otorgar la función.

Por ejemplo:
- user:test-user@gmail.com
- group:admins@example.com
- serviceAccount:test123@example.domain.com
- domain:example.domain.com
ROLE: Es la función a la que se asigna esta identidad, como roles/compute.imageUser, roles/compute.storageAdmin o una función personalizada.

De forma opcional, permite que los usuarios vean estas imágenes compartidas en su images.list otorga a los usuarios la función de visualizador de IAM (roles/viewer) para el proyecto de imagen mediante el comando gcloud projects add-iam-policy-binding. Si no es necesario que los usuarios vean la lista de imágenes compartidas, puedes omitir este paso.

gcloud projects add-iam-policy-binding PROJECT_ID \
    --member='MEMBER' \
    --role='roles/viewer'

API

Lee la política existente con el método getIamPolicy correspondiente del recurso. Por ejemplo, para obtener la política en una imagen específica, usa el método images.getIamPolicy:
```
POST https://compute.googleapis.com/compute/v1/projects/PROJECT_ID/global/images/IMAGE_NAME:getIamPolicy
```
Reemplaza lo siguiente:
- PROJECT_ID: Es el ID del proyecto al que pertenece esta imagen.
- IMAGE_NAME: Es el nombre de la imagen.
Compute Engine muestra la política actual en la respuesta.
Para agregar o quitar miembros y sus funciones asociadas, edita la política con un editor de texto. Usa el siguiente formato para agregar miembros:
- user:test-user@gmail.com
- group:admins@example.com
- serviceAccount:test123@example.domain.com
- domain:example.domain.com
Por ejemplo, para otorgar roles/compute.imageUser a test-email@example.com, agrega la siguiente vinculación nueva a la política:
```
{
 "members": [
   "user:test-email@example.com"
 ],
 "role":"roles/compute.imageUser"
}
```
Escribe la política actualizada mediante el método setIamPolicy. Por ejemplo, para establecer políticas en una imagen específica, usa el método project.setIamPolicy. En el cuerpo de la solicitud, proporciona la política de IAM actualizada del paso anterior.
```
POST https://compute.googleapis.com/compute/v1/projects/PROJECT_ID/global/images/IMAGE_NAME:setIamPolicy
```
Reemplaza lo siguiente:
- PROJECT_ID: Es el ID del proyecto al que pertenece esta imagen.
- IMAGE_NAME: Es el nombre de la imagen.

De forma opcional, permite que los usuarios vean estas imágenes compartidas en su images.list otorga a los usuarios la función de visualizador de IAM (roles/viewer) para el proyecto de imagen mediante el comando projects.setIamPolicy. Si no es necesario que los usuarios vean la lista de imágenes compartidas, puedes omitir este paso.

POST https://cloudresourcemanager.googleapis.com/v1/projects/PROJECT_ID:setIamPolicy

Crear un catálogo de imágenes personalizadas puede ser útil para compartir imágenes con socios, usuarios o contratistas ajenos a la organización. Para compartir las imágenes con usuarios fuera de la organización, agrégalos como usuarios de imagen a tu proyecto:

Console

En Google Cloud Console, ve a la página Imágenes.

Ir a Imágenes
Selecciona la imagen que deseas compartir con otros usuarios.
Para expandir la columna de permisos, haz clic en Mostrar panel de información.
Para agregar uno o más miembros, haz clic en Agregar principal.
En el campo Principales nuevas, ingresa la dirección de correo electrónico del grupo con el que deseas compartir la imagen. Por ejemplo, admins@example.com
En la lista Función, mantén el puntero sobre Compute Engine y selecciona Usuario de imagen de Compute.
Opcional: Para controlar aún más el acceso de los usuarios a los recursos de Google Cloud, agrega vinculaciones de funciones condicionales.
Guarde los cambios.

En la consola de Google Cloud, ve a la página IAM.

Ir a IAM
Haz clic en Grant access.
En el campo Principales nuevas, ingresa la dirección de correo electrónico de la identidad con la que deseas compartir la imagen. Por ejemplo, admins@example.com
En la lista Función, mantén el puntero sobre Proyecto y selecciona Visualizador.
Opcional: Para controlar aún más el acceso de los usuarios a los recursos de Google Cloud, agrega vinculaciones de funciones condicionales.
Guarde los cambios.

gcloud

Para otorgar la función roles/compute.imageUser a los usuarios, usa el comando gcloud compute images add-iam-policy-binding:

gcloud compute images add-iam-policy-binding IMAGE_NAME \
    --member='MEMBER' \
    --role='roles/compute.imageUser'

Reemplaza lo siguiente:

IMAGE_NAME: Es el nombre de la imagen, por ejemplo, custom-centos-8.
MEMBER: Una identidad válida a la que deseas otorgar la función, por ejemplo, group:admins@example.com.

gcloud projects add-iam-policy-binding PROJECT_ID \
    --member='MEMBER' \
    --role='roles/viewer'

API

Lee la política existente con el método getIamPolicy correspondiente del recurso. Por ejemplo, para obtener la política en una imagen específica, usa el método images.getIamPolicy:
```
POST https://compute.googleapis.com/compute/v1/projects/PROJECT_ID/global/images/IMAGE_NAME:getIamPolicy
```
Reemplaza lo siguiente:
- PROJECT_ID: Es el ID del proyecto al que pertenece esta imagen.
- IMAGE_NAME: Es el nombre de la imagen.
Compute Engine muestra la política actual en la respuesta.
Para agregar o quitar miembros y sus funciones asociadas, puedes editar la política con un editor de texto. Usa el siguiente formato para agregar miembros:
- user:test-user@gmail.com
- group:admins@example.com
- serviceAccount:test123@example.domain.com
- domain:example.domain.com
Por ejemplo, para otorgar roles/compute.imageUser a test-user@example.com, agrega la siguiente vinculación nueva a la política:
```
{
  "members": [
    "user:test-user@example.com"
  ],
  "role":"roles/compute.imageUser"
}
```
Escribe la política actualizada mediante el método setIamPolicy. Por ejemplo, para establecer una política en una imagen específica, usa el método images.setIamPolicy. En el cuerpo de la solicitud, proporciona la política de IAM actualizada del paso anterior.
```
POST https://compute.googleapis.com/compute/v1/projects/PROJECT_ID/global/images/IMAGE_NAME:setIamPolicy
```
Reemplaza lo siguiente:
- PROJECT_ID: Es el ID del proyecto al que pertenece esta imagen.
- IMAGE_NAME: Es el nombre de la imagen.
De forma opcional, permite que los usuarios vean estas imágenes compartidas en su images.list otorga a los usuarios la función de visualizador de IAM (roles/viewer ) para el proyecto de imagen mediante la projects.setIamPolicy método. Si no es necesario que los usuarios vean la lista de imágenes compartidas, puedes omitir este paso.
```
POST https://cloudresourcemanager.googleapis.com/v1/projects/PROJECT_ID:setIamPolicy
```

Puedes compartir las imágenes personalizadas con todos los usuarios autenticados de Compute Engine, sin importar si forman parte de la organización o el proyecto.

Solo puedes compartir recursos, como imágenes, con los usuarios autenticados; no puedes compartir organizaciones ni proyectos con todos los usuarios autenticados. Esta restricción, junto con la jerarquía de recursos, ayuda a evitar que una organización comparta de manera involuntaria el proyecto entero con todos los usuarios autenticados de Compute Engine.

En el siguiente ejemplo, se muestra cómo otorgar a todos los usuarios autenticados de Compute Engine la función de usuario de imagen de Compute (roles/compute.imageUser) a una imagen personalizada.

gcloud

Para hacer públicas las imágenes, usa el comando gcloud compute images add-iam-policy-binding:

gcloud compute images add-iam-policy-binding IMAGE_NAME \
    --member='allAuthenticatedUsers' \
    --role='roles/compute.imageUser'

Reemplaza IMAGE_NAME con el nombre del recurso, por ejemplo, my_image.

API

Lee la política existente con el método getIamPolicy. Por ejemplo, para obtener la política en una imagen específica, usa el método images.getIamPolicy:
```
POST https://compute.googleapis.com/compute/v1/projects/PROJECT_ID/global/images/IMAGE_NAME:getIamPolicy
```
Reemplaza lo siguiente:
- PROJECT_ID: Es el ID del proyecto al que pertenece esta imagen.
- IMAGE_NAME: Es el nombre de la imagen.
Compute Engine muestra la política actual en la respuesta.
Para agregar o quitar miembros y sus funciones asociadas, edita la política con un editor de texto:
```
{
 "members": [
   "allAuthenticatedUsers"
 ],
 "role":"roles/compute.imageUser"
}
```
Escribe la política actualizada mediante el método setIamPolicy. Por ejemplo, para establecer una política en una imagen específica, usa el método images.setIamPolicy. En el cuerpo de la solicitud, proporciona la política de IAM actualizada del paso anterior.
```
POST https://compute.googleapis.com/compute/v1/projects/PROJECT_ID/global/images/IMAGE_NAME:setIamPolicy
```
Reemplaza lo siguiente:
- PROJECT_ID: Es el ID del proyecto al que pertenece esta imagen.
- IMAGE_NAME: Es el nombre de la imagen.

Otorga acceso a las imágenes a un grupo de instancias administrado

Compute Engine te permite crear grupos de instancias, ya sean administrados o no administrados. Si creas un grupo de instancias administrado, Compute Engine usa el agente de servicio de las API de Google para llamar a la API de Compute Engine y realizar acciones relacionadas con el grupo, como actualizar instancias y volver a crear las que están en mal estado.

Si deseas crear un MIG con una imagen de otro proyecto, otorga la función de usuario de imagen de Compute (roles/compute.imageUser) a la cuenta de servicio de las API que pertenece al proyecto que crea el MIG. Por ejemplo:

En el proyecto A, se quiere crear un MIG mediante imágenes que son propiedad del proyecto B.
Desde el proyecto B, se le otorga a la cuenta de servicio del proyecto A la función de usuario de imagen de Compute.
Ahora en el proyecto A se pueden usar imágenes del proyecto B para crear MIG.

Después de otorgar la función, puedes acceder a la imagen desde los otros proyectos mediante la consola o la URL de la imagen cuando creas la plantilla de instancias para el grupo administrado.

Ingresa la dirección de correo electrónico de la cuenta de servicio

En la consola de Google Cloud, ve a la página IAM del proyecto a cuya cuenta de servicio quieras otorgar acceso.

Ir a IAM
Si se te solicita, selecciona tu proyecto de la lista.
Busca el agente de servicio de las API de Google, que tiene la dirección de correo electrónico con el siguiente formato:
```
PROJECT_NUMBER@cloudservices.gserviceaccount.com
```
Nota: Esta dirección de correo electrónico requiere el número del proyecto, no el ID del proyecto. Para obtener información sobre cómo identificar el número de proyecto, consulta Identifica proyectos.

Después de recuperar la dirección de correo electrónico de la cuenta de servicio, puedes ir a una de las siguientes secciones:

Otorga a un MIG acceso a todas las imágenes de un proyecto
Otorga a un MIG acceso a imágenes específicas de un proyecto

Otorga a un MIG acceso a todas las imágenes de un proyecto

Ahora que tienes la dirección de correo electrónico de una cuenta de servicio, puedes agregar esta dirección a otro proyecto y otorgarle la función de usuario de imagen de Compute (roles/compute.imageUser).

Console

En Google Cloud Console, ve a la página IAM del proyecto de imagen.

Ir a IAM
Para agregar un miembro nuevo, haz clic en Otorgar acceso.
En el campo Principales nuevas, agrega la dirección de correo electrónico de la cuenta de servicio.
En la lista Función, mantén el puntero sobre Compute y selecciona Usuario de imagen de Compute.
Opcional: Para controlar aún más el acceso de los usuarios a los recursos de Google Cloud, agrega vinculaciones de funciones condicionales.
Haz clic en Guardar.
Vuelve al proyecto de la cuenta de servicio.

Ahora puedes crear una plantilla de instancias basada en una imagen del proyecto de imagen y crear un MIG basado en la plantilla de instancias.

gcloud

Agrega una cuenta de servicio del proyecto de imagen con el comando gcloud projects add-iam-policy-binding:

gcloud projects add-iam-policy-binding PROJECT_ID \
    --member='serviceAccount:SERVICE_ACCOUNT_EMAIL' --role='roles/compute.imageUser'

Reemplaza lo siguiente:

PROJECT_ID: Es el ID del proyecto que contiene las imágenes que deseas compartir.
SERVICE_ACCOUNT_EMAIL: Es el correo electrónico de la cuenta de servicio.

Ahora puedes crear una plantilla de instancias basada en una imagen del proyecto de imagen y crear un MIG basado en la plantilla de instancias.

API

Obtén la política de IAM del proyecto de imagen con el método projects.getIamPolicy:
```
 POST https://cloudresourcemanager.googleapis.com/v1/projects/PROJECT_ID:getIamPolicy
 
```
Reemplaza PROJECT_ID con el ID del proyecto de administración.
Para otorgar la función roles/compute.imageUser a la cuenta de servicio, edita la política con un editor de texto:
```
{
  "bindings": [
     {
      "role": "roles/compute.imageUser",
      "members": [
        "serviceAccount:SERVICE_ACCOUNT_EMAIL"
      ]
    }
  ]
}
```
Reemplaza SERVICE_ACCOUNT_EMAIL por el correo electrónico de la cuenta de servicio.
Escribe la política actualizada mediante projects.setIamPolicy. En el cuerpo de la solicitud, proporciona la política de IAM actualizada del paso anterior.
```
POST https://cloudresourcemanager.googleapis.com/v1/projects/PROJECT_ID:setIamPolicy
```
Reemplaza PROJECT_ID por el ID del producto del proyecto de imagen.

Ahora puedes crear una plantilla de instancias basada en una imagen del proyecto de imagen y crear un MIG basado en la plantilla de instancias.

Otorga a un MIG acceso a imágenes específicas de un proyecto

Ahora que tienes la dirección de correo electrónico de una cuenta de servicio, puedes agregar esta dirección a otro proyecto y otorgar la función de usuario de imagen de Compute (roles/compute.imageUser) a ciertas imágenes.

Console

En la consola de Google Cloud, ve a la página Imágenes del proyecto de imagen.

Ir a Imágenes
Selecciona las casillas de verificación que aparecen junto a las imágenes que deseas compartir.
Para expandir la columna de permisos, haz clic en Mostrar panel de información.
En el panel Permisos, haz clic en Agregar principal.
En el campo Principales nuevas, ingresa el correo electrónico de la cuenta de servicio con la que deseas compartir la imagen. Por ejemplo, test123@example.domain.com
En la lista Función, elige Compute y selecciona Usuario de imagen de Compute.
Opcional: Para controlar aún más el acceso de los usuarios a los recursos de Google Cloud, agrega vinculaciones de funciones condicionales.
Haz clic en Guardar.
Vuelve al proyecto de la cuenta de servicio.

Ahora puedes crear una plantilla de instancias basada en una imagen del proyecto de imagen y crear un MIG basado en la plantilla de instancias.

gcloud

Para otorgar a una cuenta de servicio acceso a una imagen específica, usa el comando gcloud compute images add-iam-policy-binding:

gcloud compute images add-iam-policy-binding IMAGE_NAME \
    --member='serviceAccount:SERVICE_ACCOUNT_EMAIL' \
    --role='roles/compute.imageUser'

Reemplaza lo siguiente:

IMAGE_NAME: Es el nombre de la imagen que deseas compartir.
SERVICE_ACCOUNT_EMAIL: Es el correo electrónico de la cuenta de servicio.

Ahora puedes crear una plantilla de instancias basada en una imagen del proyecto de imagen y crear un MIG basado en la plantilla de instancias.

API

Obtén la política de IAM de una imagen mediante el método images.getIamPolicy:
```
POST https://compute.googleapis.com/compute/v1/projects/PROJECT_ID/global/images/IMAGE_NAME:getIamPolicy
```
Reemplaza lo siguiente:
- PROJECT_ID: Es el ID del proyecto de imagen.
- IMAGE_NAME: Es el nombre de la imagen que deseas compartir.
Para otorgar la función roles/compute.imageUser a la cuenta de servicio, edita la política con un editor de texto:
```
{
  "bindings": [
     {
      "role": "roles/compute.imageUser",
      "members": [
        "serviceAccount:SERVICE_ACCOUNT_EMAIL"
      ]
    }
  ]
}
```
Reemplaza SERVICE_ACCOUNT_EMAIL por el correo electrónico de la cuenta de servicio.
Escribe la política actualizada mediante el método images.setIamPolicy. En el cuerpo de la solicitud, proporciona la política de IAM actualizada del paso anterior.
```
POST https://compute.googleapis.com/compute/v1/projects/PROJECT_ID/global/images/IMAGE_NAME:setIamPolicy
```
Reemplaza lo siguiente:
- PROJECT_ID: Es el ID del proyecto de imagen.
- IMAGE_NAME: Es el nombre de la imagen que deseas compartir.
Ahora puedes crear una plantilla de instancias basada en una imagen del proyecto de imagen y crear un MIG basado en la plantilla de instancias.

Controla el uso de las instantáneas o imágenes compartidas

Después de compartir las imágenes con otros usuarios, puedes controlar el lugar en el que ellos pueden emplear tales recursos dentro de la organización. Establece la restricción constraints/compute.storageResourceUseRestrictions para definir los proyectos en los que los usuarios pueden usar tus recursos de almacenamiento.

Debes tener permiso para modificar las políticas de tu organización a fin de configurar estas restricciones. Por ejemplo, la función resourcemanager.organizationAdmin tiene permiso para establecer estas restricciones.

Busca el ID de tu organización mediante el comando gcloud organization list:
```
gcloud organizations list
```
Obtén la configuración de políticas existente para la organización mediante el comando gcloud resource-manager org-policies describe:
```
gcloud resource-manager org-policies describe \
    compute.storageResourceUseRestrictions \
    --organization ORGANIZATION_ID > org-policy.yaml
```
Reemplaza ORGANIZATION_ID por el ID de 12 dígitos de la organización.
Abre el archivo org-policy.yaml en un editor de texto y modifica la restricción compute.storageResourceUseRestrictions. Agrega las restricciones que necesites o quita las que ya no necesitas. Cuando termines de editar el archivo, guarda los cambios. Por ejemplo, puedes configurar la siguiente entrada de restricción en el archivo de políticas:
```
constraint: compute.storageResourceUseRestrictions
listPolicy:
  allowedValues:
    - under:organization/organization-id
```
Nota: También puedes especificar un ID de carpeta mediante el formato under:folder/FOLDER_ID para organizar todos los proyectos en una carpeta.
Aplica el archivo org-policy.yaml a tu organización mediante el comando gcloud resource-manager org-policies set-policy:
```
gcloud resource-manager org-policies set-policy \
   --organization=ORGANIZATION_ID org-policy.yaml
```
Reemplaza ORGANIZATION_ID por el ID de 12 dígitos de la organización.

Cuando termines de configurar las restricciones en la política de la organización, prueba esas restricciones para asegurarte de que creen las limitaciones que deseas.

Usa imágenes de otro proyecto

Si alguien te otorgó acceso a una o más imágenes de otro proyecto, puedes acceder a estas imágenes en el proyecto si especificas el proyecto de imagen en las solicitudes.

Por ejemplo, para crear una VM con una imagen compartida de otro proyecto, sigue estos pasos:

Permisos necesarios para esta tarea

Para realizar esta tarea debes contar con los siguientes permisos:

compute.instances.create en el proyecto
compute.instances.updateShieldedVmConfig si planeas crear una instancia de VM protegida y deseas poder modificar cualquiera de las opciones de configuración de VM protegida
compute.networks.use en el proyecto si se usa una red heredada
compute.subnetworks.use en todo el proyecto o en la subred elegida (redes de VPC)
compute.networks.useExternalIp en el proyecto si necesitas asignar una dirección IP externa (efímera o estática) a la instancia con una red heredada
compute.subnetworks.useExternalIp en todo el proyecto o en la subred elegida si necesitas asignar una dirección IP externa (efímera o estática) a la instancia con una red de VPC
compute.addresses.use en el proyecto si se especifica una dirección estática en el proyecto
compute.instances.setMetadata si se establecen metadatos
compute.instances.setTags en la instancia si se configuran rótulos identificadores
compute.instances.setLabels en la instancia si se configuran etiquetas
compute.images.useReadOnly en la imagen si se crea un disco persistente raíz nuevo
compute.disks.create en el proyecto si se crea un disco persistente raíz nuevo con esta instancia
compute.disks.useReadOnly en el disco si se conecta un disco persistente existente en modo de solo lectura
compute.disks.use en el disco si se conecta un disco existente en modo de lectura y escritura
compute.disks.setLabels en el disco si se configuran etiquetas
compute.snapshots.create en el proyecto para crear una instantánea nueva si se crea una instancia a partir de una instantánea
compute.snapshots.useReadOnly en la instantánea, si se crea una instancia a partir de una instantánea

Console

En Google Cloud Console, ve a la página Crea una instancia.

Ir a Crear una instancia
Especifica un Nombre para la VM. Para obtener más información, consulta Convención de asignación de nombres de recursos.
Opcional: Cambia la Zona para esta VM. Compute Engine aleatoriza la lista de zonas dentro de cada región para fomentar el uso en múltiples zonas.
Selecciona una Configuración de máquina para la VM.
En la sección Disco de arranque, haz clic en Cambiar para configurarlo y, luego, haz lo que se indica a continuación:

Selecciona la pestaña Imágenes personalizadas.
Para seleccionar el proyecto de imagen, haz clic en Seleccionar un proyecto y, luego, haz lo siguiente:
1. Selecciona el proyecto que contiene la imagen.
2. Haz clic en Abrir.
En la lista Imagen, haz clic en la imagen que deseas importar.
Selecciona el tipo y tamaño de tu disco de arranque.
Para confirmar las opciones del disco de arranque, haz clic en Seleccionar.

Para permitir el tráfico HTTP o HTTPS a la VM, en la sección Firewall, selecciona Permitir tráfico HTTP o Permitir tráfico HTTPS.

La consola de Google Cloud agrega una etiqueta de red a tu instancia y crea la regla de firewall de entrada correspondiente que permite todo el tráfico entrante en tcp:80 (HTTP) o tcp:443 (HTTPS). La etiqueta de red asocia la regla de firewall con la VM. Para obtener más información, consulta la Descripción general de las reglas de firewall en la documentación de la nube privada virtual.
Para iniciar y crear una VM, haz clic en Crear.

gcloud

Crea una VM con el comando gcloud compute instances create command y usa las marcas --image y --image-project para especificar el nombre de la imagen y el proyecto donde la imagen reside:

 gcloud compute instances create VM_NAME \
        --image=IMAGE \
        --image-project=IMAGE_PROJECT

Reemplaza lo siguiente:

VM_NAME: Es el nombre de la VM nueva.
IMAGE: Es el nombre de la imagen
IMAGE_PROJECT: Es el proyecto al que pertenece la imagen.

Si el comando se ejecuta con éxito, gcloud responde con las propiedades de la VM nueva:

    Created [https://compute.googleapis.com/compute/v1/projects/myproject/zones/us-central1-b/instances/example-instance].
    NAME                 ZONE           MACHINE_TYPE   PREEMPTIBLE  INTERNAL_IP  EXTERNAL_IP    STATUS
    example-instance     us-central1-b  e2-standard-2               10.240.0.4   104.198.53.60  RUNNING

API

El proceso para crear una VM con una imagen compartida en la API es el mismo que si crearas una VM con una imagen disponible de forma pública. Para crear la VM a partir de una imagen personalizada, usa el método instances.insert.

POST https://compute.googleapis.com/compute/v1/projects/PROJECT_ID/zones/ZONE/instances

{
   "machineType":"zones/MACHINE_TYPE_ZONE/machineTypes/MACHINE_TYPE",
   "name":"VM_NAME",

   "disks":[
      {
         "initializeParams":{
            "sourceImage":"projects/IMAGE_PROJECT/global/images/IMAGE"
         },
         "boot":true
      }
   ],

   "networkInterfaces":[
      {
         "network":"global/networks/NETWORK_NAME"
      }
   ],

   "shieldedInstanceConfig":{
      "enableSecureBoot":"ENABLE_SECURE_BOOT"
   }
}

Reemplaza lo siguiente:

PROJECT_ID: ID del proyecto en el que se creará la VM
ZONE: Zona en la que se creará la VM
MACHINE_TYPE_ZONE: Zona que contiene el tipo de máquina que se usará para la VM nueva
MACHINE_TYPE: El tipo de máquina, predefinido o personalizado de la VM nueva
VM_NAME: Nombre de la VM nueva
IMAGE_PROJECT: nombre del proyecto que contiene la imagen compartida
IMAGE o IMAGE_FAMILY: especifica una de las siguientes opciones:
- IMAGE: nombre de la imagen compartida. Por ejemplo, "sourceImage": "projects/finance-project-1234/global/images/finance-debian-image-v2".
- IMAGE_FAMILY: si la imagen compartida se crea como parte de una familia de imágenes personalizadas, especifica esa familia de imágenes personalizada.
  Esto crea la VM a partir de la imagen de SO no obsoleta más reciente de tu familia de imágenes personalizadas. Por ejemplo, si especificas "sourceImage": "projects/finance-project-1234/global/images/family/finance-debian-family", Compute Engine crea una VM a partir de la última versión de la imagen de SO en la familia de imágenes personalizadas finance-debian-family.
NETWORK_NAME: La red de VPC que deseas usar para la VM. Puedes especificar default para usar tu red predeterminada
ENABLE_SECURE_BOOT: Si eliges una imagen que admite funciones de VM protegida, Compute Engine habilita de forma predeterminada el módulo virtual de plataforma de confianza (vTPM) y la supervisión de la integridad (opcional). Compute Engine no habilita el Inicio seguro de forma predeterminada.
Si especificas true para enableSecureBoot, Compute Engine crea una VM con las tres funciones de VM protegida habilitadas. Después de que Compute Engine inicie la VM, debes detenerla para modificar las opciones de VM protegida.

También puedes crear discos persistentes de arranque a partir de imágenes en otro proyecto. Para obtener información sobre cómo crear un disco de arranque a partir de una imagen, consulta Crea un disco de arranque persistente independiente.

Revoca el acceso a las imágenes compartidas

Una vez que un usuario ya no necesita acceder a tus recursos de Compute Engine, puedes revocar su acceso mediante la consola de Google Cloud, Google Cloud CLI o la API de Compute Engine.

Console

En la consola de Google Cloud, ve a la página Imágenes del proyecto de imagen.

Ir a Imágenes
Selecciona las casillas de verificación que están junto a las imágenes que deseas actualizar.
Para expandir la columna de permisos, haz clic en Mostrar panel de información.
Expande la función de la que deseas quitar usuarios.
Para quitar un usuario de esa función, haz clic en Borrar.

gcloud

Para quitar un usuario de una función en una imagen, usa el comando gcloud compute images remove-iam-policy-binding con las marcas --member y --role:

gcloud compute images remove-iam-policy-binding IMAGE_NAME \
    --member='MEMBER' \
    --role='ROLE'

Reemplaza lo siguiente:

IMAGE_NAME: Es el nombre de la imagen, por ejemplo, my_image.
MEMBER: La identidad que deseas quitar.

Debe tener el formato user|group|serviceAccount:email o domain:domain. Por ejemplo:
- user:test-user@gmail.com
- group:admins@example.com
- serviceAccount:test123@example.domain.com
- domain:example.domain.com
ROLE: Es la función de la que deseas quitar la identidad.

Si quieres revocar el acceso a un recurso que, por el momento, se encuentra en versión Beta, usa un comando gcloud beta compute en su lugar.

API

Lee la política existente con el método images.getIamPolicy:
```
POST https://compute.googleapis.com/compute/v1/projects/PROJECT_ID/global/images/IMAGE_NAME:getIamPolicy
```
Reemplaza lo siguiente:
- PROJECT_ID: Es el ID del proyecto al que pertenece esta imagen.
- IMAGE_NAME: Es el nombre de la imagen.
Compute Engine muestra la política actual en la respuesta.
Para quitar miembros y sus funciones asociadas, edita la política con un editor de texto.
Escribe la política actualizada mediante el método images.setIamPolicy. En el cuerpo de la solicitud, proporciona la política de IAM actualizada del paso anterior.
```
POST https://compute.googleapis.com/compute/v1/projects/PROJECT_ID/zones/global/images/IMAGE_NAME:setIamPolicy
```
Reemplaza lo siguiente:
- PROJECT_ID: Es el ID del proyecto al que pertenece esta imagen.
- IMAGE_NAME: Es el nombre de la imagen.

¿Qué sigue?

Lee sobre IAM.
Consulta una lista de las funciones de IAM de Compute Engine.
Aprende sobre las imágenes.
Obtén información para crear una VM mediante una imagen compartida.
Aprende a crear un disco persistente de inicio independiente.
Aprende a usar esta función con tus implementaciones de Deployment Manager.
Aplica el principio de privilegio mínimo otorgando acceso a recursos específicos de Compute Engine, en lugar de a todo un proyecto.

Administrar el acceso a imágenes personalizadas

Antes de comenzar

Limitaciones

Otorga permisos para crear imágenes personalizadas

Permisos necesarios para esta tarea

Console

gcloud

API

Otorga permisos para borrar imágenes personalizadas

Permisos necesarios para esta tarea

Console

gcloud

API

Comparte imágenes personalizadas dentro de una organización

Console

gcloud

API

Comparte imágenes personalizadas entre organizaciones

Console

gcloud

API

Comparte imágenes personalizadas de manera pública

gcloud

API

Otorga acceso a las imágenes a un grupo de instancias administrado

Ingresa la dirección de correo electrónico de la cuenta de servicio

Otorga a un MIG acceso a todas las imágenes de un proyecto

Console

gcloud

API

Otorga a un MIG acceso a imágenes específicas de un proyecto

Console

gcloud

API

Controla el uso de las instantáneas o imágenes compartidas

Usa imágenes de otro proyecto

Permisos necesarios para esta tarea

Console

gcloud

API

Revoca el acceso a las imágenes compartidas

Console

gcloud

API

¿Qué sigue?