Control de acceso con IAM

De forma predeterminada, todos los proyectos de la consola de Google Cloud incluyen un solo usuario: el creador original del proyecto. Ningún otro usuario tiene acceso al proyecto ni, por lo tanto, a los recursos de Google Cloud, hasta que se los agregue como miembro de equipo del proyecto. En esta página se describen las distintas formas de agregar usuarios a un proyecto.

También se describe la forma en que Deployment Manager se autentica en otras API de Google Cloud en tu nombre para crear recursos.

Antes de comenzar

• Si deseas usar los ejemplos de línea de comandos de esta guía, instala la herramienta de línea de comandos de gcloud.
• Si deseas usar los ejemplos de la API en esta guía, configura el acceso a la API.
• Obtén información sobre los proyectos de Google Cloud Console.
• Aprende sobre la Administración de identidades y accesos de Google.

Control de acceso para usuarios

A fin de brindarle a los usuarios acceso al proyecto para que pueden crear implementaciones y configuraciones, agrégalos como miembros del equipo del proyecto y otórgales las funciones de administración de identidades y accesos (IAM) adecuadas.

Para obtener información sobre cómo agregar miembros del equipo, lee la documentación para agregar miembros del equipo.

Funciones de Deployment Manager

Role	Permissions
Deployment Manager Editor (roles/deploymentmanager.editor) Provides the permissions necessary to create and manage deployments. Lowest-level resources where you can grant this role: Project	deploymentmanager.compositeTypes.* deploymentmanager.compositeTypes.create deploymentmanager.compositeTypes.delete deploymentmanager.compositeTypes.get deploymentmanager.compositeTypes.list deploymentmanager.compositeTypes.update deploymentmanager.deployments.cancelPreview deploymentmanager.deployments.create deploymentmanager.deployments.delete deploymentmanager.deployments.get deploymentmanager.deployments.list deploymentmanager.deployments.stop deploymentmanager.deployments.update deploymentmanager.manifests.* deploymentmanager.manifests.get deploymentmanager.manifests.list deploymentmanager.operations.* deploymentmanager.operations.get deploymentmanager.operations.list deploymentmanager.resources.* deploymentmanager.resources.get deploymentmanager.resources.list deploymentmanager.typeProviders.* deploymentmanager.typeProviders.create deploymentmanager.typeProviders.delete deploymentmanager.typeProviders.get deploymentmanager.typeProviders.getType deploymentmanager.typeProviders.list deploymentmanager.typeProviders.listTypes deploymentmanager.typeProviders.update deploymentmanager.types.* deploymentmanager.types.create deploymentmanager.types.delete deploymentmanager.types.get deploymentmanager.types.list deploymentmanager.types.update resourcemanager.projects.get resourcemanager.projects.list serviceusage.quotas.get serviceusage.services.get serviceusage.services.list
Deployment Manager Type Editor (roles/deploymentmanager.typeEditor) Provides read and write access to all Type Registry resources. Lowest-level resources where you can grant this role: Project	deploymentmanager.compositeTypes.* deploymentmanager.compositeTypes.create deploymentmanager.compositeTypes.delete deploymentmanager.compositeTypes.get deploymentmanager.compositeTypes.list deploymentmanager.compositeTypes.update deploymentmanager.operations.get deploymentmanager.typeProviders.* deploymentmanager.typeProviders.create deploymentmanager.typeProviders.delete deploymentmanager.typeProviders.get deploymentmanager.typeProviders.getType deploymentmanager.typeProviders.list deploymentmanager.typeProviders.listTypes deploymentmanager.typeProviders.update deploymentmanager.types.* deploymentmanager.types.create deploymentmanager.types.delete deploymentmanager.types.get deploymentmanager.types.list deploymentmanager.types.update resourcemanager.projects.get resourcemanager.projects.list serviceusage.quotas.get serviceusage.services.get
Deployment Manager Type Viewer (roles/deploymentmanager.typeViewer) Provides read-only access to all Type Registry resources. Lowest-level resources where you can grant this role: Project	deploymentmanager.compositeTypes.get deploymentmanager.compositeTypes.list deploymentmanager.typeProviders.get deploymentmanager.typeProviders.getType deploymentmanager.typeProviders.list deploymentmanager.typeProviders.listTypes deploymentmanager.types.get deploymentmanager.types.list resourcemanager.projects.get resourcemanager.projects.list serviceusage.quotas.get serviceusage.services.get
Deployment Manager Viewer (roles/deploymentmanager.viewer) Provides read-only access to all Deployment Manager-related resources. Lowest-level resources where you can grant this role: Project	deploymentmanager.compositeTypes.get deploymentmanager.compositeTypes.list deploymentmanager.deployments.get deploymentmanager.deployments.list deploymentmanager.manifests.* deploymentmanager.manifests.get deploymentmanager.manifests.list deploymentmanager.operations.* deploymentmanager.operations.get deploymentmanager.operations.list deploymentmanager.resources.* deploymentmanager.resources.get deploymentmanager.resources.list deploymentmanager.typeProviders.get deploymentmanager.typeProviders.getType deploymentmanager.typeProviders.list deploymentmanager.typeProviders.listTypes deploymentmanager.types.get deploymentmanager.types.list resourcemanager.projects.get resourcemanager.projects.list serviceusage.quotas.get serviceusage.services.get serviceusage.services.list

Control de acceso para Deployment Manager

Para crear otros recursos de Google Cloud, Deployment Manager usa las credenciales del agente de servicio de la API de Google para autenticarse en otras API. El agente de servicio de las API de Google está diseñada específicamente para ejecutar procesos internos de Google en tu nombre. La cuenta de servicio se identifica mediante este correo electrónico:

[PROJECT_NUMBER]@cloudservices.gserviceaccount.com

Al agente de servicio de las APIs de Google se le otorga automáticamente el rol de editor en la a nivel de proyecto y aparece en la sección IAM del Consola de Google Cloud Esta cuenta de servicio existe indefinidamente con el proyecto y solo se borra cuando se borra el proyecto. Dado que Deployment Manager y otros servicios como grupos de instancias administradas dependen de esta cuenta de servicio para crear, eliminar y administrar recursos, no se recomienda que modifiques los permisos de esta cuenta.

Nota: Si estás usando Deployment Manager a fin de administrar recursos importantes, como proyectos o funciones de IAM personalizadas, debes asignar funciones de IAM adicionales al agente de servicio de las API de Google predeterminada. Por ejemplo, si deseas usar Deployment Manager a fin de crear y administrar roles IAM personalizados, debes agregar el rol Administrador de roles al agente de servicio de las API de Google.

¿Qué sigue?

• Obtén más información sobre las cuentas de servicio.
• Aprende a agregar miembros del equipo.
• Obtén información sobre IAM.