Kontrol akses dengan IAM

Secara default, semua project Konsol Google Cloud dilengkapi dengan satu pengguna: pembuat project asli. Tidak ada pengguna lain yang memiliki akses ke project, sehingga akses ke resource Google Cloud hingga seorang pengguna ditambahkan sebagai anggota tim project. Halaman ini menjelaskan berbagai cara untuk menambahkan pengguna baru ke project Anda.

Artikel ini juga menjelaskan cara Deployment Manager mengautentikasi ke Google Cloud API lainnya atas nama Anda untuk membuat resource.

Sebelum memulai

• Jika Anda ingin menggunakan contoh command line dalam panduan ini, instal alat command line`gcloud`.
• Jika Anda ingin menggunakan contoh API dalam panduan ini, siapkan akses API.
• Memahami project Konsol Google Cloud.
• Memahami Identity and Access Management Google.

Kontrol akses untuk pengguna

Untuk memberi pengguna akses ke project Anda agar mereka dapat membuat konfigurasi dan deployment, tambahkan pengguna Anda sebagai anggota tim project dan beri mereka peran Identity and Access Management (IAM) yang sesuai.

Untuk mengetahui informasi tentang cara menambahkan anggota tim, baca dokumentasi untuk menambahkan anggota tim.

Peran Deployment Manager

Role	Permissions
Deployment Manager Editor (roles/deploymentmanager.editor) Provides the permissions necessary to create and manage deployments. Lowest-level resources where you can grant this role: Project	deploymentmanager.compositeTypes.* deploymentmanager.compositeTypes.create deploymentmanager.compositeTypes.delete deploymentmanager.compositeTypes.get deploymentmanager.compositeTypes.list deploymentmanager.compositeTypes.update deploymentmanager.deployments.cancelPreview deploymentmanager.deployments.create deploymentmanager.deployments.delete deploymentmanager.deployments.get deploymentmanager.deployments.list deploymentmanager.deployments.stop deploymentmanager.deployments.update deploymentmanager.manifests.* deploymentmanager.manifests.get deploymentmanager.manifests.list deploymentmanager.operations.* deploymentmanager.operations.get deploymentmanager.operations.list deploymentmanager.resources.* deploymentmanager.resources.get deploymentmanager.resources.list deploymentmanager.typeProviders.* deploymentmanager.typeProviders.create deploymentmanager.typeProviders.delete deploymentmanager.typeProviders.get deploymentmanager.typeProviders.getType deploymentmanager.typeProviders.list deploymentmanager.typeProviders.listTypes deploymentmanager.typeProviders.update deploymentmanager.types.* deploymentmanager.types.create deploymentmanager.types.delete deploymentmanager.types.get deploymentmanager.types.list deploymentmanager.types.update resourcemanager.projects.get resourcemanager.projects.list serviceusage.quotas.get serviceusage.services.get serviceusage.services.list
Deployment Manager Type Editor (roles/deploymentmanager.typeEditor) Provides read and write access to all Type Registry resources. Lowest-level resources where you can grant this role: Project	deploymentmanager.compositeTypes.* deploymentmanager.compositeTypes.create deploymentmanager.compositeTypes.delete deploymentmanager.compositeTypes.get deploymentmanager.compositeTypes.list deploymentmanager.compositeTypes.update deploymentmanager.operations.get deploymentmanager.typeProviders.* deploymentmanager.typeProviders.create deploymentmanager.typeProviders.delete deploymentmanager.typeProviders.get deploymentmanager.typeProviders.getType deploymentmanager.typeProviders.list deploymentmanager.typeProviders.listTypes deploymentmanager.typeProviders.update deploymentmanager.types.* deploymentmanager.types.create deploymentmanager.types.delete deploymentmanager.types.get deploymentmanager.types.list deploymentmanager.types.update resourcemanager.projects.get resourcemanager.projects.list serviceusage.quotas.get serviceusage.services.get
Deployment Manager Type Viewer (roles/deploymentmanager.typeViewer) Provides read-only access to all Type Registry resources. Lowest-level resources where you can grant this role: Project	deploymentmanager.compositeTypes.get deploymentmanager.compositeTypes.list deploymentmanager.typeProviders.get deploymentmanager.typeProviders.getType deploymentmanager.typeProviders.list deploymentmanager.typeProviders.listTypes deploymentmanager.types.get deploymentmanager.types.list resourcemanager.projects.get resourcemanager.projects.list serviceusage.quotas.get serviceusage.services.get
Deployment Manager Viewer (roles/deploymentmanager.viewer) Provides read-only access to all Deployment Manager-related resources. Lowest-level resources where you can grant this role: Project	deploymentmanager.compositeTypes.get deploymentmanager.compositeTypes.list deploymentmanager.deployments.get deploymentmanager.deployments.list deploymentmanager.manifests.* deploymentmanager.manifests.get deploymentmanager.manifests.list deploymentmanager.operations.* deploymentmanager.operations.get deploymentmanager.operations.list deploymentmanager.resources.* deploymentmanager.resources.get deploymentmanager.resources.list deploymentmanager.typeProviders.get deploymentmanager.typeProviders.getType deploymentmanager.typeProviders.list deploymentmanager.typeProviders.listTypes deploymentmanager.types.get deploymentmanager.types.list resourcemanager.projects.get resourcemanager.projects.list serviceusage.quotas.get serviceusage.services.get serviceusage.services.list

Kontrol akses untuk Deployment Manager

Untuk membuat resource Google Cloud lain, Deployment Manager menggunakan kredensial Agen Layanan Google API untuk melakukan autentikasi ke API lain. Agen Layanan Google API dirancang khusus untuk menjalankan proses internal Google atas nama Anda. Akun layanan ini dapat diidentifikasi menggunakan email:

[PROJECT_NUMBER]@cloudservices.gserviceaccount.com

Agen Layanan Google API otomatis diberi peran Editor di level project dan tercantum di bagian IAM pada Konsol Google Cloud. Akun layanan ini ada untuk project tanpa batas waktu, dan hanya akan dihapus jika project tersebut dihapus. Karena Deployment Manager dan layanan lain, seperti grup instance terkelola, mengandalkan akun layanan ini untuk membuat, menghapus, dan mengelola resource, sebaiknya Anda tidak mengubah izin akun ini.

Catatan: Jika menggunakan Deployment Manager untuk mengelola resource penting, seperti project atau peran IAM kustom, Anda harus menetapkan peran IAM tambahan ke Agen Layanan Google API default. Misalnya, jika Anda ingin menggunakan Deployment Manager untuk membuat dan mengelola peran IAM khusus, Anda harus menambahkan peran Administrator Peran ke Agen Layanan Google API.

Langkah selanjutnya

• Pelajari akun layanan.
• Pelajari cara menambahkan anggota tim.
• Pelajari tentang IAM.