Controle de acesso com o IAM

Por padrão, todos os projetos do console do Google Cloud vêm com um único usuário: o criador do projeto original. Ninguém mais terá acesso ao projeto e aos recursos do Google Cloud até que um usuário seja adicionado como membro da equipe do projeto. Esta página descreve as diferentes maneiras de adicionar novos usuários ao projeto.

Ela também descreve como o Deployment Manager se autentica em outras APIs do Google Cloud em seu nome para criar recursos.

Antes de começar

• Para usar os exemplos de linha de comando deste guia, instale a ferramenta de linha de comando "gcloud".
• Para usar os exemplos de API deste guia, configure o acesso de API.
• Noções básicas sobre os projetos do console do Google Cloud.
• Entenda o Google Identity and Access Management.

Controle de acesso para usuários

Para dar aos usuários acesso ao projeto, de maneira que eles possam criar configurações e implantações, adicione-os como membros da equipe do projeto e conceda-lhes os devidos papéis do gerenciamento de identidade e acesso (IAM).

Para informações sobre como adicionar membros de equipe, leia a documentação referente à adição de membros da equipe.

Papéis do Deployment Manager

Role	Permissions
Deployment Manager Editor (roles/deploymentmanager.editor) Provides the permissions necessary to create and manage deployments. Lowest-level resources where you can grant this role: Project	deploymentmanager.compositeTypes.* deploymentmanager.compositeTypes.create deploymentmanager.compositeTypes.delete deploymentmanager.compositeTypes.get deploymentmanager.compositeTypes.list deploymentmanager.compositeTypes.update deploymentmanager.deployments.cancelPreview deploymentmanager.deployments.create deploymentmanager.deployments.delete deploymentmanager.deployments.get deploymentmanager.deployments.list deploymentmanager.deployments.stop deploymentmanager.deployments.update deploymentmanager.manifests.* deploymentmanager.manifests.get deploymentmanager.manifests.list deploymentmanager.operations.* deploymentmanager.operations.get deploymentmanager.operations.list deploymentmanager.resources.* deploymentmanager.resources.get deploymentmanager.resources.list deploymentmanager.typeProviders.* deploymentmanager.typeProviders.create deploymentmanager.typeProviders.delete deploymentmanager.typeProviders.get deploymentmanager.typeProviders.getType deploymentmanager.typeProviders.list deploymentmanager.typeProviders.listTypes deploymentmanager.typeProviders.update deploymentmanager.types.* deploymentmanager.types.create deploymentmanager.types.delete deploymentmanager.types.get deploymentmanager.types.list deploymentmanager.types.update resourcemanager.projects.get resourcemanager.projects.list serviceusage.quotas.get serviceusage.services.get serviceusage.services.list
Deployment Manager Type Editor (roles/deploymentmanager.typeEditor) Provides read and write access to all Type Registry resources. Lowest-level resources where you can grant this role: Project	deploymentmanager.compositeTypes.* deploymentmanager.compositeTypes.create deploymentmanager.compositeTypes.delete deploymentmanager.compositeTypes.get deploymentmanager.compositeTypes.list deploymentmanager.compositeTypes.update deploymentmanager.operations.get deploymentmanager.typeProviders.* deploymentmanager.typeProviders.create deploymentmanager.typeProviders.delete deploymentmanager.typeProviders.get deploymentmanager.typeProviders.getType deploymentmanager.typeProviders.list deploymentmanager.typeProviders.listTypes deploymentmanager.typeProviders.update deploymentmanager.types.* deploymentmanager.types.create deploymentmanager.types.delete deploymentmanager.types.get deploymentmanager.types.list deploymentmanager.types.update resourcemanager.projects.get resourcemanager.projects.list serviceusage.quotas.get serviceusage.services.get
Deployment Manager Type Viewer (roles/deploymentmanager.typeViewer) Provides read-only access to all Type Registry resources. Lowest-level resources where you can grant this role: Project	deploymentmanager.compositeTypes.get deploymentmanager.compositeTypes.list deploymentmanager.typeProviders.get deploymentmanager.typeProviders.getType deploymentmanager.typeProviders.list deploymentmanager.typeProviders.listTypes deploymentmanager.types.get deploymentmanager.types.list resourcemanager.projects.get resourcemanager.projects.list serviceusage.quotas.get serviceusage.services.get
Deployment Manager Viewer (roles/deploymentmanager.viewer) Provides read-only access to all Deployment Manager-related resources. Lowest-level resources where you can grant this role: Project	deploymentmanager.compositeTypes.get deploymentmanager.compositeTypes.list deploymentmanager.deployments.get deploymentmanager.deployments.list deploymentmanager.manifests.* deploymentmanager.manifests.get deploymentmanager.manifests.list deploymentmanager.operations.* deploymentmanager.operations.get deploymentmanager.operations.list deploymentmanager.resources.* deploymentmanager.resources.get deploymentmanager.resources.list deploymentmanager.typeProviders.get deploymentmanager.typeProviders.getType deploymentmanager.typeProviders.list deploymentmanager.typeProviders.listTypes deploymentmanager.types.get deploymentmanager.types.list resourcemanager.projects.get resourcemanager.projects.list serviceusage.quotas.get serviceusage.services.get serviceusage.services.list

Controle de acesso do Deployment Manager

Para criar outros recursos do Google Cloud, o Deployment Manager usa as credenciais do agente de serviço das APIs do Google para fazer a autenticação em outras APIs. O agente de serviço de APIs do Google foi projetado especificamente para executar processos internos do Google em seu nome. A conta de serviço e é identificável pelo e-mail:

[PROJECT_NUMBER]@cloudservices.gserviceaccount.com

O agente de serviço das APIs do Google recebe automaticamente o papel de editor no nível do projeto e é listado na seção "IAM" do Console do Google Cloud. Essa conta permanece indefinidamente no projeto até que ele seja excluído. Como o Deployment Manager e outros serviços, como grupos de instâncias gerenciadas, dependem dessa conta de serviço para criar, excluir e gerenciar recursos, não é recomendável modificar as permissões dela.

Observação: se você estiver usando o Deployment Manager para gerenciar recursos críticos, como projetos ou papéis personalizados de IAM, precisará atribuir outros papéis de IAM ao agente de serviço padrão das APIs do Google. Por exemplo, se você quiser usar o Deployment Manager para criar e gerenciar papéis de IAM personalizados, será preciso adicionar o papel Administrador de papéis ao agente de serviço de APIs do Google.

A seguir

• Saiba mais sobre contas de serviço.
• Saiba como adicionar membros da equipe.
• Saiba mais sobre IAM.