本页介绍 Cloud Endpoints 中可用的 API 访问权限控制选项。
概览
Endpoints 使用 Identity and Access Management (IAM) 来控制对 API 的访问权限。您可以在项目级层和个别 Endpoints 服务级层授予对 API 的访问权限。例如，您可以执行以下操作：
- 按服务向项目成员授予访问权限。
- 向用户或服务帐号授予部署更新后的 Endpoints 配置的权限。
- 向 API 用户授予访问权限，以便他们可以在自己的 Google Cloud 项目中启用您的 API。
控制对服务的访问权限的角色
您可以针对特定服务授予以下角色，这项操作可以在 Google Cloud Console 的 Endpoints > 服务页面上执行，也可以使用 API 或 gcloud 命令行工具执行。
| IAM 角色名称 | 角色称谓 | 说明 |
|---|---|---|
roles/servicemanagement.serviceConsumer |
Service Consumer | 可为非项目成员授予在其自己的项目中查看和启用 API 所需的权限。Service Consumer 角色只能授予 Google 帐号、Google 群组或服务帐号。如果您已为 API 创建门户，则获授这一角色的 API 用户可以访问此门户。如需了解此角色，请参阅 Service Management API 访问权限控制主题。 |
roles/servicemanagement.serviceController |
Service Controller | 可提供在运行期间调用 Service Infrastructure API 中的 check 和
report 方法所需的权限。此角色通常授予服务帐号。如需了解此角色，请参阅 Service Management API 访问权限控制主题。 |
roles/servicemanagement.configEditor |
Service Config Editor | 可提供部署 Endpoints 配置的权限。与在服务级层授予的 Project Editor 角色相比，此角色的限制性更高。 |
roles/servicemanagement.admin |
Service Management Administrator | 可提供 Service Config Editor 的全部权限，以及管理 API 访问的权限。此角色与在服务级层授予的 Project Owner 角色相当。 |
Endpoints 门户权限
Endpoints Portal Admin 角色是项目级层角色，可提供以下权限。
| 权限 | 说明 |
|---|---|
endpoints.portals.listCustomDomains |
要访问 Cloud Console 中的 Endpoints 门户页面，需要具备此权限。被授予 Project Viewer 角色的项目成员也会拥有此权限。 |
endpoints.portals.attachCustomDomain |
要在 Cloud Console 的 Endpoints 门户页面上添加自定义网域，需要具备此权限。被授予 Project Editor 角色的项目成员也会拥有此权限。 |
endpoints.portals.detachCustomDomain |
要在 Cloud Console 的 Endpoints 门户页面上删除自定义网域，需要具备此权限。被授予 Project Editor 角色的项目成员也会拥有此权限。 |
endpoints.portals.update |
在为 API 创建的门户上，要访问设置页面上的网站级标签页，以更改该门户上使用的颜色和徽标等设置，需要具备此权限。 |