Contrôle des accès avec IAM

Par défaut, tous les projets de la console Google Cloud ne possèdent qu'un seul utilisateur : le créateur du projet d'origine. Personne d'autre n'a accès au projet (et donc aux ressources Google Cloud) avant qu'un autre utilisateur n'ait été ajouté comme membre de l'équipe du projet. Cette page décrit les différentes façons d'ajouter de nouveaux utilisateurs à votre projet.

Elle explique également la façon dont Deployment Manager s'authentifie sur les autres API Google Cloud en votre nom pour créer des ressources.

Avant de commencer

• Si vous voulez vous servir des exemples de ligne de commande de ce guide, installez l'outil de ligne de commande gcloud.
• Si vous voulez utiliser les exemples d'API de ce guide, configurez l'accès aux API.
• Assurez-vous d'avoir bien compris le fonctionnement des projets de la console Google Cloud.
• Assurez-vous d'avoir bien compris le fonctionnement de Google IAM.

Contrôle des accès pour les utilisateurs

Pour permettre à vos utilisateurs d'accéder à votre projet et de créer des configurations et des déploiements, ajoutez-les en tant que membres de l'équipe du projet et accordez-leur les rôles IAM appropriés.

Pour découvrir comment ajouter des membres à l'équipe, veuillez consulter la documentation propre à l'ajout de membres à l'équipe.

Rôles Deployment Manager

Role	Permissions
Deployment Manager Editor (roles/deploymentmanager.editor) Provides the permissions necessary to create and manage deployments. Lowest-level resources where you can grant this role: Project	deploymentmanager.compositeTypes.* deploymentmanager.compositeTypes.create deploymentmanager.compositeTypes.delete deploymentmanager.compositeTypes.get deploymentmanager.compositeTypes.list deploymentmanager.compositeTypes.update deploymentmanager.deployments.cancelPreview deploymentmanager.deployments.create deploymentmanager.deployments.delete deploymentmanager.deployments.get deploymentmanager.deployments.list deploymentmanager.deployments.stop deploymentmanager.deployments.update deploymentmanager.manifests.* deploymentmanager.manifests.get deploymentmanager.manifests.list deploymentmanager.operations.* deploymentmanager.operations.get deploymentmanager.operations.list deploymentmanager.resources.* deploymentmanager.resources.get deploymentmanager.resources.list deploymentmanager.typeProviders.* deploymentmanager.typeProviders.create deploymentmanager.typeProviders.delete deploymentmanager.typeProviders.get deploymentmanager.typeProviders.getType deploymentmanager.typeProviders.list deploymentmanager.typeProviders.listTypes deploymentmanager.typeProviders.update deploymentmanager.types.* deploymentmanager.types.create deploymentmanager.types.delete deploymentmanager.types.get deploymentmanager.types.list deploymentmanager.types.update resourcemanager.projects.get resourcemanager.projects.list serviceusage.quotas.get serviceusage.services.get serviceusage.services.list
Deployment Manager Type Editor (roles/deploymentmanager.typeEditor) Provides read and write access to all Type Registry resources. Lowest-level resources where you can grant this role: Project	deploymentmanager.compositeTypes.* deploymentmanager.compositeTypes.create deploymentmanager.compositeTypes.delete deploymentmanager.compositeTypes.get deploymentmanager.compositeTypes.list deploymentmanager.compositeTypes.update deploymentmanager.operations.get deploymentmanager.typeProviders.* deploymentmanager.typeProviders.create deploymentmanager.typeProviders.delete deploymentmanager.typeProviders.get deploymentmanager.typeProviders.getType deploymentmanager.typeProviders.list deploymentmanager.typeProviders.listTypes deploymentmanager.typeProviders.update deploymentmanager.types.* deploymentmanager.types.create deploymentmanager.types.delete deploymentmanager.types.get deploymentmanager.types.list deploymentmanager.types.update resourcemanager.projects.get resourcemanager.projects.list serviceusage.quotas.get serviceusage.services.get
Deployment Manager Type Viewer (roles/deploymentmanager.typeViewer) Provides read-only access to all Type Registry resources. Lowest-level resources where you can grant this role: Project	deploymentmanager.compositeTypes.get deploymentmanager.compositeTypes.list deploymentmanager.typeProviders.get deploymentmanager.typeProviders.getType deploymentmanager.typeProviders.list deploymentmanager.typeProviders.listTypes deploymentmanager.types.get deploymentmanager.types.list resourcemanager.projects.get resourcemanager.projects.list serviceusage.quotas.get serviceusage.services.get
Deployment Manager Viewer (roles/deploymentmanager.viewer) Provides read-only access to all Deployment Manager-related resources. Lowest-level resources where you can grant this role: Project	deploymentmanager.compositeTypes.get deploymentmanager.compositeTypes.list deploymentmanager.deployments.get deploymentmanager.deployments.list deploymentmanager.manifests.* deploymentmanager.manifests.get deploymentmanager.manifests.list deploymentmanager.operations.* deploymentmanager.operations.get deploymentmanager.operations.list deploymentmanager.resources.* deploymentmanager.resources.get deploymentmanager.resources.list deploymentmanager.typeProviders.get deploymentmanager.typeProviders.getType deploymentmanager.typeProviders.list deploymentmanager.typeProviders.listTypes deploymentmanager.types.get deploymentmanager.types.list resourcemanager.projects.get resourcemanager.projects.list serviceusage.quotas.get serviceusage.services.get serviceusage.services.list

Contrôle des accès pour Deployment Manager

Pour créer d'autres ressources Google Cloud, Deployment Manager s'authentifie auprès d'autres API à l'aide des identifiants de l'agent de service des API Google. L'agent de service des API Google est spécialement conçu pour exécuter les processus Google internes en votre nom. Le compte de service peut être identifié à l'aide de l'adresse e-mail :

[PROJECT_NUMBER]@cloudservices.gserviceaccount.com

Le rôle Éditeur est automatiquement attribué à l'agent de service des API Google au niveau du projet. Il est répertorié dans la section IAM de Google Cloud Console. Le compte de service existe indéfiniment avec le projet et n'est supprimé que lorsque ce dernier est supprimé. Étant donné que Deployment Manager et d'autres services tels que les groupes d'instances gérés s'appuient sur ce compte de service pour créer, supprimer et gérer des ressources, il est déconseillé de modifier les autorisations de ce compte.

Remarque : Lorsque vous gérez des ressources critiques (telles que des projets ou des rôles IAM personnalisés) à l'aide de Deployment Manager, vous devez attribuer des rôles IAM supplémentaires à l'agent de service par défaut des API Google. Par exemple, si vous souhaitez utiliser Deployment Manager pour créer et gérer des rôles IAM personnalisés, vous devez ajouter le rôle "Administrateur de rôle" à l'agent de service des API Google.

Étape suivante

• En savoir plus sur les comptes de service
• Découvrir comment ajouter des membres à l'équipe
• Apprenez-en davantage sur IAM