Control de acceso con IAM

De forma predeterminada, todos los proyectos de Google Cloud Console vienen con un solo usuario: el creador original del proyecto. Ningún otro usuario tiene acceso al proyecto ni, por lo tanto, a los recursos de Google Cloud, hasta que se los agregue como miembro de equipo del proyecto. En esta página se describen las distintas formas de agregar usuarios a un proyecto.

También se describe la forma en que Deployment Manager se autentica en otras API de Google Cloud en tu nombre para crear recursos.

Antes de comenzar

• Si deseas usar los ejemplos de línea de comandos de esta guía, instala la herramienta de línea de comandos de gcloud.
• Si deseas usar los ejemplos de la API en esta guía, configura el acceso a la API.
• Comprender los proyectos de Google Cloud Console
• Aprende sobre la Administración de identidades y accesos de Google.

Control de acceso para usuarios

A fin de brindarle a los usuarios acceso al proyecto para que pueden crear implementaciones y configuraciones, agrégalos como miembros del equipo del proyecto y otórgales las funciones de administración de identidades y accesos (IAM) adecuadas.

Para obtener información sobre cómo agregar miembros del equipo, lee la documentación para agregar miembros del equipo.

Funciones de Deployment Manager

Función	Permisos
Editor de Deployment Manager (roles/deploymentmanager.editor) Proporciona los permisos necesarios para crear y administrar implementaciones. Recursos de nivel más bajo en los que puedes otorgar esta función: Proyecto	deploymentmanager.compositeTypes.* deploymentmanager.compositeTypes.create deploymentmanager.compositeTypes.delete deploymentmanager.compositeTypes.get deploymentmanager.compositeTypes.list deploymentmanager.compositeTypes.update deploymentmanager.deployments.cancelPreview deploymentmanager.deployments.create deploymentmanager.deployments.delete deploymentmanager.deployments.get deploymentmanager.deployments.list deploymentmanager.deployments.stop deploymentmanager.deployments.update deploymentmanager.manifests.* deploymentmanager.manifests.get deploymentmanager.manifests.list deploymentmanager.operations.* deploymentmanager.operations.get deploymentmanager.operations.list deploymentmanager.resources.* deploymentmanager.resources.get deploymentmanager.resources.list deploymentmanager.typeProviders.* deploymentmanager.typeProviders.create deploymentmanager.typeProviders.delete deploymentmanager.typeProviders.get deploymentmanager.typeProviders.getType deploymentmanager.typeProviders.list deploymentmanager.typeProviders.listTypes deploymentmanager.typeProviders.update deploymentmanager.types.* deploymentmanager.types.create deploymentmanager.types.delete deploymentmanager.types.get deploymentmanager.types.list deploymentmanager.types.update resourcemanager.projects.get resourcemanager.projects.list serviceusage.quotas.get serviceusage.services.get serviceusage.services.list
Editor de tipos de Deployment Manager (roles/deploymentmanager.typeEditor) Proporciona acceso de lectura y escritura a todos los recursos de Type Registry. Recursos de nivel más bajo en los que puedes otorgar esta función: Proyecto	deploymentmanager.compositeTypes.* deploymentmanager.compositeTypes.create deploymentmanager.compositeTypes.delete deploymentmanager.compositeTypes.get deploymentmanager.compositeTypes.list deploymentmanager.compositeTypes.update deploymentmanager.operations.get deploymentmanager.typeProviders.* deploymentmanager.typeProviders.create deploymentmanager.typeProviders.delete deploymentmanager.typeProviders.get deploymentmanager.typeProviders.getType deploymentmanager.typeProviders.list deploymentmanager.typeProviders.listTypes deploymentmanager.typeProviders.update deploymentmanager.types.* deploymentmanager.types.create deploymentmanager.types.delete deploymentmanager.types.get deploymentmanager.types.list deploymentmanager.types.update resourcemanager.projects.get resourcemanager.projects.list serviceusage.quotas.get serviceusage.services.get
Visualizador de tipos de Deployment Manager (roles/deploymentmanager.typeViewer) Proporciona acceso de solo lectura a todos los recursos de Type Registry. Recursos de nivel más bajo en los que puedes otorgar esta función: Proyecto	deploymentmanager.compositeTypes.get deploymentmanager.compositeTypes.list deploymentmanager.typeProviders.get deploymentmanager.typeProviders.getType deploymentmanager.typeProviders.list deploymentmanager.typeProviders.listTypes deploymentmanager.types.get deploymentmanager.types.list resourcemanager.projects.get resourcemanager.projects.list serviceusage.quotas.get serviceusage.services.get
Visualizador de Deployment Manager (roles/deploymentmanager.viewer) Proporciona acceso de solo lectura a todos los recursos relacionados con Deployment Manager. Recursos de nivel más bajo en los que puedes otorgar esta función: Proyecto	deploymentmanager.compositeTypes.get deploymentmanager.compositeTypes.list deploymentmanager.deployments.get deploymentmanager.deployments.list deploymentmanager.manifests.* deploymentmanager.manifests.get deploymentmanager.manifests.list deploymentmanager.operations.* deploymentmanager.operations.get deploymentmanager.operations.list deploymentmanager.resources.* deploymentmanager.resources.get deploymentmanager.resources.list deploymentmanager.typeProviders.get deploymentmanager.typeProviders.getType deploymentmanager.typeProviders.list deploymentmanager.typeProviders.listTypes deploymentmanager.types.get deploymentmanager.types.list resourcemanager.projects.get resourcemanager.projects.list serviceusage.quotas.get serviceusage.services.get serviceusage.services.list

Control de acceso para Deployment Manager

Para crear otros recursos de Google Cloud, Deployment Manager usa las credenciales del agente de servicio de la API de Google para autenticarse en otras API. El agente de servicio de las API de Google está diseñada específicamente para ejecutar procesos internos de Google en tu nombre. La cuenta de servicio se identifica mediante este correo electrónico:

[PROJECT_NUMBER]@cloudservices.gserviceaccount.com

El agente de servicio de las API de Google recibe automáticamente la función de editor a nivel de proyecto y aparece en la sección IAM de Google Cloud Console. Esta cuenta de servicio existe de manera indefinida con el proyecto y solo se borra cuando se borra el proyecto. Dado que Deployment Manager y otros servicios como grupos de instancias administradas dependen de esta cuenta de servicio para crear, eliminar y administrar recursos, no se recomienda que modifiques los permisos de esta cuenta.

Nota: Si estás usando Deployment Manager a fin de administrar recursos importantes, como proyectos o funciones de IAM personalizadas, debes asignar funciones de IAM adicionales al agente de servicio de las API de Google predeterminada. Por ejemplo, si deseas usar Deployment Manager a fin de crear y administrar funciones IAM personalizadas, debes agregar la función Administrador de funciones al agente de servicio de las API de Google.

¿Qué sigue?

• Obtén más información sobre las cuentas de servicio.
• Aprende a agregar miembros del equipo.
• Obtén información sobre IAM.