Nesta página, descrevemos como criar e gerenciar papéis personalizados de gerenciamento de identidade e acesso (IAM). O gerenciamento de papéis inclui modificar, desativar, listar, excluir e cancelar a exclusão de papéis.
Antes de começar
Enable the IAM API.
Configure a autenticação.
Select the tab for how you plan to use the samples on this page:
Console
When you use the Google Cloud console to access Google Cloud services and APIs, you don't need to set up authentication.
gcloud
In the Google Cloud console, activate Cloud Shell.
At the bottom of the Google Cloud console, a Cloud Shell session starts and displays a command-line prompt. Cloud Shell is a shell environment with the Google Cloud CLI already installed and with values already set for your current project. It can take a few seconds for the session to initialize.
C++
Para usar as amostras de C++ nesta página em um ambiente de desenvolvimento local, instale e inicialize o gcloud CLI e, em seguida, configure o Application Default Credentials com suas credenciais de usuário.
- Install the Google Cloud CLI.
-
To initialize the gcloud CLI, run the following command:
gcloud init
-
If you're using a local shell, then create local authentication credentials for your user account:
gcloud auth application-default login
You don't need to do this if you're using Cloud Shell.
Para mais informações, consulte Configurar a autenticação para um ambiente de desenvolvimento local na documentação de autenticação do Google Cloud.
C#
Para usar os exemplos .NET desta página em um ambiente de desenvolvimento local, instale e inicialize o gcloud CLI e e configure o Application Default Credentials com suas credenciais de usuário.
- Install the Google Cloud CLI.
-
To initialize the gcloud CLI, run the following command:
gcloud init
-
If you're using a local shell, then create local authentication credentials for your user account:
gcloud auth application-default login
You don't need to do this if you're using Cloud Shell.
Para mais informações, consulte Configurar a autenticação para um ambiente de desenvolvimento local na documentação de autenticação do Google Cloud.
Go
Para usar os exemplos Go desta página em um ambiente de desenvolvimento local, instale e inicialize o gcloud CLI e e configure o Application Default Credentials com suas credenciais de usuário.
- Install the Google Cloud CLI.
-
To initialize the gcloud CLI, run the following command:
gcloud init
-
If you're using a local shell, then create local authentication credentials for your user account:
gcloud auth application-default login
You don't need to do this if you're using Cloud Shell.
Para mais informações, consulte Configurar a autenticação para um ambiente de desenvolvimento local na documentação de autenticação do Google Cloud.
Java
Para usar os exemplos Java desta página em um ambiente de desenvolvimento local, instale e inicialize o gcloud CLI e e configure o Application Default Credentials com suas credenciais de usuário.
- Install the Google Cloud CLI.
-
To initialize the gcloud CLI, run the following command:
gcloud init
-
If you're using a local shell, then create local authentication credentials for your user account:
gcloud auth application-default login
You don't need to do this if you're using Cloud Shell.
Para mais informações, consulte Configurar a autenticação para um ambiente de desenvolvimento local na documentação de autenticação do Google Cloud.
Python
Para usar os exemplos Python desta página em um ambiente de desenvolvimento local, instale e inicialize o gcloud CLI e e configure o Application Default Credentials com suas credenciais de usuário.
- Install the Google Cloud CLI.
-
To initialize the gcloud CLI, run the following command:
gcloud init
-
If you're using a local shell, then create local authentication credentials for your user account:
gcloud auth application-default login
You don't need to do this if you're using Cloud Shell.
Para mais informações, consulte Configurar a autenticação para um ambiente de desenvolvimento local na documentação de autenticação do Google Cloud.
REST
Para usar as amostras da API REST nesta página em um ambiente de desenvolvimento local, use as credenciais fornecidas para gcloud CLI.
Install the Google Cloud CLI, then initialize it by running the following command:
gcloud init
Para mais informações, consulte Autenticar para usar REST na documentação de autenticação do Google Cloud.
Entenda a hierarquia de recursos do Google Cloud.
Funções exigidas
Para conseguir as permissões necessárias para criar e gerenciar papéis personalizados, peça ao administrador que conceda a você os seguintes papéis do IAM:
- Para gerenciar papéis para um projeto: administrador de papéis (
roles/iam.roleAdmin
) no projeto em que você quer gerenciar os papéis -
Para gerenciar papéis para uma organização: administrador de papéis da organização (
roles/iam.organizationRoleAdmin
) na organização em que você quer gerenciar os papéis
Para mais informações sobre como conceder papéis, consulte Gerenciar acesso.
Também é possível conseguir as permissões necessárias com papéis personalizados ou outros papéis predefinidos.
Ver as permissões disponíveis para projetos, pastas e organizações
É possível criar papéis personalizados para uma organização inteira ou para um projeto específico dessa organização. As permissões disponíveis para papéis personalizados dependem de onde o papel é criado. Por exemplo, se uma permissão só pode ser usada no nível da organização, ela não pode ser incluída em um papel personalizado no nível do projeto.
Para verificar quais permissões estão disponíveis para os papéis personalizados no nível da organização e do projeto, use a CLI gcloud ou a API de gerenciamento de identidade e acesso para listar as permissões disponíveis em uma organização ou projeto específico. Por exemplo, é possível conseguir todas as permissões disponíveis para papéis personalizados criados no projeto.
Algumas permissões podem não estar visíveis para você ou utilizáveis em um papel personalizado, mesmo que sejam suportadas por papéis personalizados. Por exemplo, uma permissão pode não estar disponível para uso em papéis personalizados se você não tiver ativado a API para o serviço.
Para saber mais sobre as permissões que podem ser adicionadas aos papéis personalizados, consulte Permissões compatíveis.
gcloud
-
In the Google Cloud console, activate Cloud Shell.
At the bottom of the Google Cloud console, a Cloud Shell session starts and displays a command-line prompt. Cloud Shell is a shell environment with the Google Cloud CLI already installed and with values already set for your current project. It can take a few seconds for the session to initialize.
-
Use o comando
gcloud iam list-testable-permissions
para receber uma lista de permissões disponíveis para papéis personalizados em um projeto ou uma organização específica. A resposta lista as permissões que podem ser usadas em papéis personalizados para esse projeto ou organização.Para listar as permissões disponíveis em papéis personalizados de um projeto ou organização, execute este comando:
gcloud iam list-testable-permissions FULL_RESOURCE_NAME \ --filter="customRolesSupportLevel!=NOT_SUPPORTED"
Substitua
FULL_RESOURCE_NAME
por um dos seguintes valores:-
Projeto:
//cloudresourcemanager.googleapis.com/projects/PROJECT_ID
(por exemplo,//cloudresourcemanager.googleapis.com/projects/my-project
) -
Organização:
//cloudresourcemanager.googleapis.com/organizations/NUMERIC_ID
(por exemplo,//cloudresourcemanager.googleapis.com/organizations/123456789012
)
Os resultados indicam se cada permissão é compatível com papéis personalizados. As permissões que não têm um campo
customRolesSupportLevel
são totalmente compatíveis.O comando
list-testable-permissions
pode retornar centenas de resultados. Este exemplo parcial mostra o formato de cada resultado:--- name: appengine.applications.create stage: GA --- customRolesSupportLevel: TESTING name: appengine.applications.disable stage: GA --- name: appengine.applications.get stage: GA --- name: appengine.applications.update stage: GA --- name: appengine.instances.delete stage: GA --- name: appengine.instances.get stage: GA ---
-
C++
Para saber como instalar e usar a biblioteca de cliente do IAM, consulte Bibliotecas de cliente do IAM. Para mais informações, consulte a documentação de referência da API C++ do IAM.
Para autenticar no IAM, configure o Application Default Credentials. Para mais informações, consulte Antes de começar.
C#
Para saber como instalar e usar a biblioteca de cliente do IAM, consulte Bibliotecas de cliente do IAM. Para mais informações, consulte a documentação de referência da API C# do IAM.
Para autenticar no IAM, configure o Application Default Credentials. Para mais informações, consulte Antes de começar.
Go
Para saber como instalar e usar a biblioteca de cliente do IAM, consulte Bibliotecas de cliente do IAM. Para mais informações, consulte a documentação de referência da API Go do IAM.
Para autenticar no IAM, configure o Application Default Credentials. Para mais informações, consulte Antes de começar.
Java
Para saber como instalar e usar a biblioteca de cliente do IAM, consulte Bibliotecas de cliente do IAM. Para mais informações, consulte a documentação de referência da API Java do IAM.
Para autenticar no IAM, configure o Application Default Credentials. Para mais informações, consulte Antes de começar.
Python
Para saber como instalar e usar a biblioteca de cliente do IAM, consulte Bibliotecas de cliente do IAM. Para mais informações, consulte a documentação de referência da API Python do IAM.
Para autenticar no IAM, configure o Application Default Credentials. Para mais informações, consulte Antes de começar.
REST
O método
permissions.queryTestablePermissions
lista as permissões disponíveis em uma organização ou um projeto.Antes de usar os dados da solicitação abaixo, faça as substituições a seguir:
FULL_RESOURCE_NAME
: um URI que consiste no nome do serviço e no caminho para o recurso. Veja exemplos em Nomes de recursos completos.PAGE_SIZE
: opcional. O número de permissões a serem incluídas na resposta. O valor padrão é 100, e o valor máximo é 1.000. Se o número de permissões for maior que o tamanho da página, a resposta conterá um token de paginação que é possível usar para recuperar a próxima página de resultados.NEXT_PAGE_TOKEN
: opcional. O token de paginação retornado em uma resposta anterior desse método. Se especificado, a lista de permissões testáveis começará onde a resposta anterior terminou.
Método HTTP e URL:
POST https://iam.googleapis.com/v1/permissions:queryTestablePermissions
Corpo JSON da solicitação:
{ "fullResourceName": "FULL_RESOURCE_NAME" "pageSize": PAGE_SIZE, "pageToken": "NEXT_PAGE_TOKEN" }
Para enviar a solicitação, expanda uma destas opções:
A resposta contém a lista de permissões.
{ "permissions": [ { "name": "iam.serviceAccountKeys.create", "stage": "GA" }, { "name": "iam.serviceAccountKeys.delete", "stage": "GA" }, { "name": "iam.serviceAccountKeys.get", "stage": "GA" } ], "nextPageToken": "CgoHBajEfjUDQyABEPaIv5vIiMDTVhgDIhtpYW0uc2VydmljZUFjY291bnRLZXlzLmxpc3Q" }
acessar os metadados do papel
Antes de criar um papel personalizado, consulte os metadados dos papéis predefinidos e personalizados. Esses metadados incluem o código e as permissões do papel. Visualize os metadados usando o console do Google Cloud ou a API IAM.
Para visualizar os metadados do papel, use um dos métodos abaixo:
Console
No console do Google Cloud, abra a página Papéis.
Selecione a organização ou o projeto na lista suspensa na parte superior da página.
Marque a caixa de seleção de um ou mais papéis para visualizar as permissões. O painel do lado direito exibirá as permissões deles, se houver.
Os ícones na coluna Tipo indicam se é um papel personalizado
ou predefinidoPara procurar todos os papéis com uma permissão específica, na parte superior da lista "Papéis", digite o nome da permissão na caixa Filtro.
gcloud
-
In the Google Cloud console, activate Cloud Shell.
At the bottom of the Google Cloud console, a Cloud Shell session starts and displays a command-line prompt. Cloud Shell is a shell environment with the Google Cloud CLI already installed and with values already set for your current project. It can take a few seconds for the session to initialize.
-
Use o comando
gcloud iam roles describe
para visualizar os metadados de papéis predefinidos e personalizados.Para visualizar os metadados de um papel predefinido, execute o seguinte comando:
gcloud iam roles describe ROLE_ID
ROLE_ID
é o ID do papel. Os papéis predefinidos incluem o prefixorole
nos IDs. Por exemplo,roles/iam.roleViewer
.O exemplo a seguir demonstra a saída do comando
describe
quando executado no papel predefinidoroles/iam.roleViewer
:gcloud iam roles describe roles/iam.roleViewer
description: Read access to all custom roles in the project. etag: AA== includedPermissions: - iam.roles.get - iam.roles.list - resourcemanager.projects.get - resourcemanager.projects.getIamPolicy name: roles/iam.roleViewer stage: GA title: Role Viewer
Para visualizar os metadados de um papel personalizado, execute um dos seguintes comandos:
-
Para visualizar os metadados de um papel personalizado criado no nível da organização, execute o seguinte comando:
gcloud iam roles describe --organization=ORGANIZATION_ID ROLE_ID
-
Para visualizar os metadados de um papel personalizado criado no nível do projeto, execute o seguinte comando:
gcloud iam roles describe --project=PROJECT_ID ROLE_ID
Cada valor do marcador é descrito a seguir:
-
ORGANIZATION_ID
é o ID numérico da organização, como123456789012
. -
PROJECT_ID
é o nome do projeto, comomy-project
. -
ROLE_ID
é o ID do papel, excluindo qualquer prefixo comoprojects/
,organizations/
ouroles/
. Por exemplo,myCompanyAdmin
.
Para saber mais, consulte a documentação de referência para
gcloud iam roles describe
. -
C++
Para saber como instalar e usar a biblioteca de cliente do IAM, consulte Bibliotecas de cliente do IAM. Para mais informações, consulte a documentação de referência da API C++ do IAM.
Para autenticar no IAM, configure o Application Default Credentials. Para mais informações, consulte Antes de começar.
C#
Para saber como instalar e usar a biblioteca de cliente do IAM, consulte Bibliotecas de cliente do IAM. Para mais informações, consulte a documentação de referência da API C# do IAM.
Para autenticar no IAM, configure o Application Default Credentials. Para mais informações, consulte Antes de começar.
Go
Para saber como instalar e usar a biblioteca de cliente do IAM, consulte Bibliotecas de cliente do IAM. Para mais informações, consulte a documentação de referência da API Go do IAM.
Para autenticar no IAM, configure o Application Default Credentials. Para mais informações, consulte Antes de começar.
Java
Para saber como instalar e usar a biblioteca de cliente do IAM, consulte Bibliotecas de cliente do IAM. Para mais informações, consulte a documentação de referência da API Java do IAM.
Para autenticar no IAM, configure o Application Default Credentials. Para mais informações, consulte Antes de começar.
Python
Para saber como instalar e usar a biblioteca de cliente do IAM, consulte Bibliotecas de cliente do IAM. Para mais informações, consulte a documentação de referência da API Python do IAM.
Para autenticar no IAM, configure o Application Default Credentials. Para mais informações, consulte Antes de começar.
REST
O método
roles.get
recebe a definição de um papel.Antes de usar os dados da solicitação abaixo, faça as substituições a seguir:
ROLE_NAME
: o nome completo do papel, incluindo qualquer prefixoorganizations/
,projects/
ouroles/
. Por exemplo:organizations/123456789012/roles/myCompanyAdmin
Método HTTP e URL:
GET https://iam.googleapis.com/v1/ROLE_NAME
Para enviar a solicitação, expanda uma destas opções:
A resposta contém a definição do papel.
{ "name": "projects/my-project/roles/customRole", "title": "My Custom Role", "description": "My custom role description.", "includedPermissions": [ "storage.buckets.get", "storage.buckets.list" ], "etag": "BwWiPg2fmDE=" }
Criar um papel personalizado
É possível criar um papel personalizado no nível do projeto ou da organização.
Um papel personalizado no nível da organização pode incluir qualquer uma das permissões do IAM com suporte a papéis personalizados. Um papel personalizado no nível do projeto pode conter qualquer permissão compatível, exceto as permissões que só podem ser usadas no nível da organização ou da pasta, como
resourcemanager.organizations.get
. Se você tentar adicionar essas permissões a um papel personalizado no nível do projeto, uma mensagem de erro será exibida:Console
A seguinte mensagem de aviso é exibida: "Não aplicável a papéis personalizados para envolvidos no projeto". A permissão será automaticamente desmarcada na lista de permissões incluídas para você prosseguir com a criação do papel.
gcloud
A seguinte mensagem de erro é retornada:
INVALID_ARGUMENT: Permission PERMISSION is not valid
. O papel personalizado não será criado até que você remova a permissão da definição do papel e tente a operação novamente.API REST
A mensagem de erro a seguir é retornada:
Permission PERMISSION is not valid
, com um código de erro HTTP 400 e um status deINVALID_ARGUMENT
. O papel personalizado não será criado até que você remova a permissão da definição do papel e tente a operação novamente.Cada papel personalizado pode conter até 3.000 permissões. Além disso, o tamanho total máximo do título, da descrição e dos nomes de permissão de um papel personalizado é de 64 KB. Caso precise criar um maior, é possível dividir as permissões em vários papéis personalizados. Escolha títulos que mostrem a relação entre os papéis personalizados, como
Custom Admin (1 of 2)
eCustom Admin (2 of 2)
.Cada papel personalizado pode ter um estágio de lançamento. A maior parte dos estágios de lançamento é informativa e ajuda a monitorar se cada papel está pronto para uso geral. Além disso, a etapa de lançamento
DISABLED
permite desativar um papel personalizado. Para mais informações sobre as etapas de lançamento, consulte Como testar e implantar.Console
Alguns papéis predefinidos têm permissões com uso suspenso ou não permitidas em papéis personalizados. Se você tentar criar um papel personalizado com base em um desses papéis predefinidos, esse papel omitirá as permissões obsoletas e restritas.
Para criar um papel personalizado do zero:
No console do Google Cloud, abra a página Papéis.
Usando a lista suspensa na parte superior da página, selecione a organização ou o projeto em que você quer criar um papel.
Clique em Criar papel.
Insira um Nome, Título, Descrição e Estágio de lançamento do papel para o papel. Após a criação do papel, não é possível alterar o nome dele.
Clique em Adicionar permissões.
Selecione as permissões que você quer incluir no papel e clique em Adicionar permissões. Use as listas suspensas Todos os serviços e Todos os tipos para filtrar e selecionar permissões por serviço e tipo.
Para criar um papel personalizado com base em um papel predefinido atual, siga estas etapas:
- No console do Google Cloud, abra a página Papéis.
- Selecione a organização ou o projeto em que você quer criar um papel.
- Selecione os papéis em que você quer basear o novo papel personalizado.
- Clique em Criar papel a partir da seleção.
- Insira um Nome, Título, Descrição e Estágio de lançamento do papel para o papel. Após a criação do papel, não é possível alterar o nome dele.
- Desmarque as permissões que quer excluir do papel.
- Clique em Adicionar permissões para incluir permissões.
- Clique em Criar.
gcloud
-
In the Google Cloud console, activate Cloud Shell.
At the bottom of the Google Cloud console, a Cloud Shell session starts and displays a command-line prompt. Cloud Shell is a shell environment with the Google Cloud CLI already installed and with values already set for your current project. It can take a few seconds for the session to initialize.
-
Use o comando
gcloud iam roles create
para criar novos papéis personalizados. Ele pode ser usado de duas maneiras:-
Com o fornecimento de um arquivo YAML que tenha a definição do papel.
-
Com o uso de sinalizações para especificar a definição do papel.
Ao criar um papel personalizado, especifique se ele será aplicado ao nível da organização ou do projeto usando as flags
--organization=ORGANIZATION_ID
ou--project=PROJECT_ID
. Nos exemplos abaixo, são criados papéis personalizados no nível do projeto.Um papel personalizado pode conter apenas permissões compatíveis com papéis personalizados. Se o papel personalizado tiver outras permissões, o comando falhará.
Para criar um papel personalizado usando um arquivo YAML:
Crie um arquivo YAML que tenha a definição do papel personalizado. É preciso que o arquivo seja estruturado da seguinte maneira:
title: ROLE_TITLE description: ROLE_DESCRIPTION stage: LAUNCH_STAGE includedPermissions: - PERMISSION_1 - PERMISSION_2
Cada valor do marcador é descrito a seguir:
-
ROLE_TITLE
é um título intuitivo para o papel, como"My Company Admin"
. -
ROLE_DESCRIPTION
é uma breve descrição do papel, como"My custom role description"
. -
LAUNCH_STAGE
indica o estágio de um papel no ciclo de vida do lançamento, comoALPHA
,BETA
ouGA
. -
PERMISSION_1
ePERMISSION_2
são permissões a serem incluídas no papel personalizado, comoiam.roles.get
. Não é possível usar caracteres curinga (*
) em nomes de permissão.
Salve o arquivo YAML e execute um dos seguintes comandos:
-
Para criar um papel personalizado no nível da organização, execute o seguinte comando:
gcloud iam roles create ROLE_ID--organization=ORGANIZATION_ID \ --file=YAML_FILE_PATH
-
Para criar um papel personalizado no nível do projeto, execute o seguinte comando:
gcloud iam roles create ROLE_ID --project=PROJECT_ID \ --file=YAML_FILE_PATH
Cada valor do marcador é descrito a seguir:
-
ROLE_ID
é o nome do papel, comomyCompanyAdmin
. -
ORGANIZATION_ID
é o ID numérico da organização, como123456789012
. -
PROJECT_ID
é o nome do projeto, comomy-project
. -
YAML_FILE_PATH
é o caminho do local do arquivo YAML que contém a definição do papel personalizado.
Exemplos
No arquivo YAML de exemplo a seguir, demonstramos como criar uma definição de papel:
title: "My Company Admin" description: "My custom role description." stage: "ALPHA" includedPermissions: - iam.roles.get - iam.roles.list
O exemplo a seguir demonstra como criar um papel no nível da organização usando o arquivo YAML:
gcloud iam roles create myCompanyAdmin --organization=123456789012 \ --file=my-role-definition.yaml
Se o papel for criado, a saída do comando será semelhante a esta:
Created role [myCompanyAdmin]. description: My custom role description. etag: BwVkBX0sQD0= includedPermissions: - iam.roles.get - iam.roles.list name: organizations/123456789012/roles/myCompanyAdmin stage: ALPHA title: My Company Admin
O exemplo a seguir demonstra como criar um papel no nível do projeto usando o arquivo YAML:
gcloud iam roles create myCompanyAdmin --project=my-project \ --file=my-role-definition.yaml
Se o papel for criado, a saída do comando será semelhante a esta:
Created role [myCompanyAdmin]. description: My custom role description. etag: BwVkBX0sQD0= includedPermissions: - iam.roles.get - iam.roles.list name: projects/my-project/roles/myCompanyAdmin stage: ALPHA title: My Company Admin
Para criar um papel personalizado usando sinalizações:
Execute um dos seguintes comandos:
-
Para criar um papel personalizado no nível da organização, execute o seguinte comando:
gcloud iam roles create ROLE_ID--organization=ORGANIZATION_ID \ --title=ROLE_TITLE --description=ROLE_DESCRIPTION \ --permissions="PERMISSIONS_LIST" --stage=LAUNCH_STAGE
-
Para criar um papel personalizado no nível do projeto, execute o seguinte comando:
gcloud iam roles create ROLE_ID --project=PROJECT_ID \ --title=ROLE_TITLE --description=ROLE_DESCRIPTION \ --permissions="PERMISSIONS_LIST" --stage=LAUNCH_STAGE
Cada valor do marcador é descrito a seguir:
-
ROLE_ID
é o nome do papel, comomyCompanyAdmin
. -
ORGANIZATION_ID
é o ID numérico da organização, como123456789012
. -
PROJECT_ID
é o nome do projeto, comomy-project
. -
ROLE_TITLE
é um título intuitivo para o papel, como"My Company Admin"
. -
ROLE_DESCRIPTION
é uma breve descrição do papel, como"My custom role description."
. -
PERMISSIONS_LIST
contém uma lista de permissões separadas por vírgula que você quer incluir no papel personalizado. Por exemplo:iam.roles.get,iam.roles.list
. Não é possível usar caracteres curinga (*
) em nomes de permissão. -
LAUNCH_STAGE
indica o estágio de um papel no ciclo de vida do lançamento, comoALPHA
,BETA
ouGA
.
Exemplos
O exemplo a seguir demonstra como criar um papel no nível da organização usando flags:
gcloud iam roles create myCompanyAdmin --organization=123456789012 \ --title="My Company Admin" --description="My custom role description." \ --permissions="iam.roles.get,iam.roles.list" --stage=ALPHA
Se o papel for criado, a saída do comando será semelhante a esta:
Created role [myCompanyAdmin]. description: My custom role description. etag: BwVkBX0sQD0= includedPermissions: - iam.roles.get - iam.roles.list name: organizations/123456789012/roles/myCompanyAdmin stage: ALPHA title: My Company Admin
O exemplo a seguir demonstra como criar um papel no nível do projeto usando flags:
gcloud iam roles create myCompanyAdmin --project=my-project \ --title="My Company Admin" --description="My custom role description." \ --permissions="iam.roles.get,iam.roles.list" --stage=ALPHA
Se o papel for criado, a saída do comando será semelhante a esta:
Created role [myCompanyAdmin]. description: My custom role description. etag: BwVkBX0sQD0= includedPermissions: - iam.roles.get - iam.roles.list name: projects/my-project/roles/myCompanyAdmin stage: ALPHA title: My Company Admin
-
C++
Para saber como instalar e usar a biblioteca de cliente do IAM, consulte Bibliotecas de cliente do IAM. Para mais informações, consulte a documentação de referência da API C++ do IAM.
Para autenticar no IAM, configure o Application Default Credentials. Para mais informações, consulte Antes de começar.
C#
Para saber como instalar e usar a biblioteca de cliente do IAM, consulte Bibliotecas de cliente do IAM. Para mais informações, consulte a documentação de referência da API C# do IAM.
Para autenticar no IAM, configure o Application Default Credentials. Para mais informações, consulte Antes de começar.
Go
Para saber como instalar e usar a biblioteca de cliente do IAM, consulte Bibliotecas de cliente do IAM. Para mais informações, consulte a documentação de referência da API Go do IAM.
Para autenticar no IAM, configure o Application Default Credentials. Para mais informações, consulte Antes de começar.
Java
Para saber como instalar e usar a biblioteca de cliente do IAM, consulte Bibliotecas de cliente do IAM. Para mais informações, consulte a documentação de referência da API Java do IAM.
Para autenticar no IAM, configure o Application Default Credentials. Para mais informações, consulte Antes de começar.
Python
Para saber como instalar e usar a biblioteca de cliente do IAM, consulte Bibliotecas de cliente do IAM. Para mais informações, consulte a documentação de referência da API Python do IAM.
Para autenticar no IAM, configure o Application Default Credentials. Para mais informações, consulte Antes de começar.
REST
O método
roles.create
cria um papel personalizado em um projeto ou organização.Antes de usar os dados da solicitação abaixo, faça as substituições a seguir:
RESOURCE_TYPE
: o tipo de recurso com os papéis personalizados que você quer gerenciar. Use o valorprojects
ouorganizations
.RESOURCE_ID
: o ID do projeto ou da organização com os papéis personalizados que você quer gerenciar. Os IDs do projeto são strings alfanuméricas, comomy-project
. Os códigos da organização são numéricos, como123456789012
.ROLE_ID
: o nome do papel, comomyCompanyAdmin
.ROLE_TITLE
: o título legível do papel. Por exemplo,My Company Admin
.ROLE_DESCRIPTION
: uma descrição para o papel. Por exemplo,"The company admin role allows company admins to access important resources"
.-
PERMISSION_1
ePERMISSION_2
: as permissões que você quer incluir no papel. Por exemplo,storage.objects.update
. Não é possível usar caracteres curinga (*
) em nomes de permissão.Um papel personalizado pode conter apenas permissões compatíveis com papéis personalizados. Se o papel personalizado tiver outras permissões, a solicitação falhará.
LAUNCH_STAGE
: o estágio de lançamento atual do papel. Esse campo pode conter um dos seguintes valores:EAP
,ALPHA
,BETA
,GA
,DEPRECATED
ouDISABLED
.
Método HTTP e URL:
POST https://iam.googleapis.com/v1/RESOURCE_TYPE/RESOURCE_ID/roles
Corpo JSON da solicitação:
{ "roleId": "ROLE_ID", "role": { "title": "ROLE_TITLE", "description": "ROLE_DESCRIPTION", "includedPermissions": [ "PERMISSION_1", "PERMISSION_2" ], "stage": "LAUNCH_STAGE" } }
Para enviar a solicitação, expanda uma destas opções:
A resposta contém o papel que você criou.
{ "name": "projects/myProject/roles/myCompanyAdmin", "title": "My Company Admin", "description": "My custom role description.", "includedPermissions": [ "iam.roles.get", "iam.roles.list" ], "etag": "BwWox/JbaZw=" }
Editar uma função personalizada
Um padrão comum para atualizar os metadados de um recurso, como um papel personalizado, é o padrão read-modify-write. Com esse padrão, você lê o estado atual do papel, atualiza os dados localmente e envia os dados modificados para gravação.
O padrão read-modify-write pode causar um conflito se dois ou mais processos independentes tentarem executar a sequência simultaneamente. Por exemplo, quando dois proprietários de um projeto fazem alterações conflitantes em um papel ao mesmo tempo, pode haver uma falha. O IAM resolve esse problema usando uma propriedade
etag
em papéis personalizados. Essa propriedade é usada para verificar se o papel personalizado foi alterado desde a última solicitação. Quando você faz uma solicitação ao IAM com um valor ETag, o IAM compara o valor ETag na solicitação com o valor ETag existente associado ao papel personalizado. A alteração só é gravada quando esses valores são correspondentes.Ao atualizar um papel, primeiro consiga o papel usando
roles.get()
, atualize o papel e, em seguida, grave o papel atualizado usandoroles.patch()
. Ao configurar o papel, use o valor etag somente quando o papel correspondente emroles.get()
também contiver um valor etag.Console
No console do Google Cloud, abra a página Papéis.
Na lista suspensa na parte superior da página, selecione o projeto ou a organização que contém o papel que você quer editar.
Clique em um papel personalizado.
Clique em Editar papel.
Para atualizar os metadados do papel, edite o Título, a Descrição ou o Estágio de lançamento do papel.
Para atualizar as permissões do papel, faça o seguinte:
- Clique em Adicionar permissões para adicionar novas permissões ao papel.
- Desmarque as permissões para removê-las do papel.
Clique em Atualizar para salvar o papel editado.
gcloud
-
In the Google Cloud console, activate Cloud Shell.
At the bottom of the Google Cloud console, a Cloud Shell session starts and displays a command-line prompt. Cloud Shell is a shell environment with the Google Cloud CLI already installed and with values already set for your current project. It can take a few seconds for the session to initialize.
-
Use o comando
gcloud iam roles update
para atualizar papéis personalizados. Ele pode ser usado de duas maneiras:-
Por meio de um arquivo YAML contendo a definição atualizada do papel.
-
Com sinalizações para especificar a definição atualizada do papel
Ao atualizar um papel personalizado, especifique se ele será aplicado ao nível da organização ou do projeto usando as flags
--organization=ORGANIZATION_ID
ou--project=PROJECT_ID
. Nos exemplos abaixo, são criados papéis personalizados no nível do projeto.Para atualizar um papel personalizado usando um arquivo YAML:
Veja a definição atual do papel executando um dos seguintes comandos:
-
Para ver a definição de um papel personalizado no nível da organização, execute o seguinte comando:
gcloud iam roles describe ROLE_ID --organization=ORGANIZATION_ID
-
Para ver a definição de um papel personalizado para envolvidos no projeto, execute o seguinte comando:
gcloud iam roles describe ROLE_ID --project=PROJECT_ID
Cada valor do marcador é descrito a seguir:
-
ROLE_ID
é o nome do papel a ser atualizado, comomyCompanyAdmin
. -
ORGANIZATION_ID
é o ID numérico da organização, como123456789012
. -
PROJECT_ID
é o nome do projeto, comomy-project
.
O comando
describe
retorna a definição do papel e inclui um valoretag
que identifica exclusivamente a versão atual do papel. O valoretag
precisa ser incluído na definição atualizada do papel para impedir a substituição de alterações de papel simultâneas.O comando
describe
retorna a seguinte saída:description: ROLE_DESCRIPTION etag: ETAG includedPermissions: - PERMISSION_1 - PERMISSION_2 name: ROLE_NAME stage: LAUNCH_STAGE title: ROLE_TITLE
Cada valor do marcador é descrito a seguir:
-
ROLE_DESCRIPTION
é uma breve descrição do papel, como"My custom role description"
. -
ETAG
é o identificador exclusivo da versão atual do papel, comoBwVkBkbfr70=
. -
PERMISSION_1
ePERMISSION_2
são permissões a serem incluídas no papel personalizado, comoiam.roles.get
. Não é possível usar caracteres curinga (*
) em nomes de permissão. -
ROLE_NAME
é o nome completo do papel, incluindo qualquer prefixoorganizations/
,projects/
ouroles/
. Por exemplo:organizations/123456789012/roles/myCompanyAdmin.
-
LAUNCH_STAGE
indica o estágio de um papel no ciclo de vida do lançamento, comoALPHA
,BETA
ouGA
. -
ROLE_TITLE
é um título intuitivo para o papel, como"My Company Admin"
.
Para atualizar o papel, inclua a definição gerada em um arquivo YAML ou atualize o arquivo YAML original com o valor
etag
gerado.Considere o seguinte exemplo de arquivo YAML, que contém a saída do comando
describe
de um papel para envolvidos no projeto e adiciona duas permissões do Cloud Storage:description: My custom role description. etag: BwVkBkbfr70= includedPermissions: - iam.roles.get - iam.roles.list - storage.buckets.get - storage.buckets.list name: projects/my-project/roles/myCompanyAdmin stage: ALPHA title: My Company Admin
Salve o arquivo YAML e execute um dos seguintes comandos:
-
Para atualizar um papel no nível da organização, execute o seguinte comando:
gcloud iam roles update ROLE_ID--organization=ORGANIZATION_ID \ --file=YAML_FILE_PATH
-
Para atualizar um papel no nível do projeto, execute o seguinte comando:
gcloud iam roles update ROLE_ID --project=PROJECT_ID \ --file=YAML_FILE_PATH
Cada valor do marcador é descrito a seguir:
-
ROLE_ID
é o nome do papel a ser atualizado, comomyCompanyAdmin
. -
ORGANIZATION_ID
é o ID numérico da organização, como123456789012
. -
PROJECT_ID
é o nome do projeto, comomy-project-id
. -
YAML_FILE_PATH
é o caminho do local do arquivo YAML que contém a definição atualizada do papel personalizado.
Exemplos
O exemplo a seguir demonstra como atualizar um papel no nível da organização usando um arquivo YAML:
gcloud iam roles update ROLE_ID --organization=ORGANIZATION_ID \ --file=YAML_FILE_PATH
-
Para atualizar um papel no nível do projeto, execute o seguinte comando:
gcloud iam roles update ROLE_ID --project=PROJECT_ID \ --file=YAML_FILE_PATH
Cada valor do marcador é descrito a seguir:
-
ROLE_ID
é o nome do papel a ser atualizado, comomyCompanyAdmin
. -
ORGANIZATION_ID
é o ID numérico da organização, como123456789012
. -
PROJECT_ID
é o nome do projeto, comomy-project
. -
YAML_FILE_PATH
é o caminho do local do arquivo YAML que contém a definição atualizada do papel personalizado.
Exemplos
O exemplo a seguir demonstra como atualizar um papel no nível da organização usando um arquivo YAML:
gcloud iam roles update myCompanyAdmin --organization=123456789012 \ --file=my-role-definition.yaml
Se o papel for atualizado, a saída do comando será semelhante a esta:
description: My custom role description. etag: BwVkBwDN0lg= includedPermissions: - iam.roles.get - iam.roles.list - storage.buckets.get - storage.buckets.list name: organizations/123456789012/roles/myCompanyAdmin stage: ALPHA title: My Company Admin
O exemplo a seguir demonstra como atualizar um papel para envolvidos no projeto usando um arquivo YAML:
gcloud iam roles update myCompanyAdmin --project=my-project \ --file=my-role-definition.yaml
Se o papel for atualizado, a saída do comando será semelhante a esta:
description: My custom role description. etag: BwVkBwDN0lg= includedPermissions: - iam.roles.get - iam.roles.list - storage.buckets.get - storage.buckets.list name: projects/my-project/roles/myCompanyAdmin stage: ALPHA title: My Company Admin
Para atualizar um papel personalizado usando sinalizações:
Cada uma das partes da definição de papel pode ser atualizada usando uma sinalização correspondente. Consulte o tópico
gcloud iam roles update
para ver uma lista de todas as flags possíveis.Use as sinalizações a seguir para adicionar ou remover permissões:
-
--add-permissions=PERMISSIONS
: adiciona ao papel uma ou mais permissões separadas por vírgula. Não é possível usar caracteres curinga (*
) em nomes de permissão. -
--remove-permissions=PERMISSIONS
: remove do papel uma ou mais permissões separadas por vírgula. Não é possível usar caracteres curinga (*
) em nomes de permissão.
Outra possibilidade é especificar simplesmente as novas permissões usando a flag
--permissions=PERMISSIONS
e fornecendo uma lista de permissões separadas por vírgulas para substituir a lista que já existe.Para atualizar outras partes da definição do papel, execute um dos seguintes comandos:
-
Para atualizar um papel no nível da organização, execute o seguinte comando:
gcloud iam roles update ROLE_ID--organization=ORGANIZATION_ID \ --title=ROLE_TITLE --description=ROLE_DESCRIPTION \ --stage=LAUNCH_STAGE
-
Para atualizar um papel no nível do projeto, execute o seguinte comando:
gcloud iam roles update ROLE_ID --project=PROJECT_ID \ --title=ROLE_TITLE --description=ROLE_DESCRIPTION \ --stage=LAUNCH_STAGE
Cada valor do marcador é descrito a seguir:
-
ROLE_ID
é o nome do papel, comomyCompanyAdmin
. -
ORGANIZATION_ID
é o ID numérico da organização, como123456789012
. -
PROJECT_ID
é o nome do projeto, comomy-project
. -
ROLE_TITLE
é um título intuitivo para o papel, como"My Company Admin"
. -
ROLE_DESCRIPTION
é uma breve descrição do papel, como"My custom role description."
. -
LAUNCH_STAGE
indica o estágio de um papel no ciclo de vida do lançamento, comoALPHA
,BETA
ouGA
.
Exemplos
O exemplo a seguir demonstra como adicionar permissões a um papel no nível da organização usando flags:
gcloud iam roles update myCompanyAdmin --organization=123456789012 \ --add-permissions="storage.buckets.get,storage.buckets.list"
Se o papel for atualizado, a saída do comando será semelhante a esta:
description: My custom role description. etag: BwVkBwDN0lg= includedPermissions: - iam.roles.get - iam.roles.list - storage.buckets.get - storage.buckets.list name: organization/123456789012/roles/myCompanyAdmin stage: ALPHA title: My Company Admin
O exemplo a seguir demonstra como adicionar permissões a um papel para envolvidos no projeto usando flags:
gcloud iam roles update myCompanyAdmin --project=my-project \ --add-permissions="storage.buckets.get,storage.buckets.list"
Se o papel for atualizado, a saída do comando será semelhante a esta:
description: My custom role description. etag: BwVkBwDN0lg= includedPermissions: - iam.roles.get - iam.roles.list - storage.buckets.get - storage.buckets.list name: projects/my-project/roles/myCompanyAdmin stage: ALPHA title: My Company Admin
-
C++
Para saber como instalar e usar a biblioteca de cliente do IAM, consulte Bibliotecas de cliente do IAM. Para mais informações, consulte a documentação de referência da API C++ do IAM.
Para autenticar no IAM, configure o Application Default Credentials. Para mais informações, consulte Antes de começar.
C#
Para saber como instalar e usar a biblioteca de cliente do IAM, consulte Bibliotecas de cliente do IAM. Para mais informações, consulte a documentação de referência da API C# do IAM.
Para autenticar no IAM, configure o Application Default Credentials. Para mais informações, consulte Antes de começar.
Go
Para saber como instalar e usar a biblioteca de cliente do IAM, consulte Bibliotecas de cliente do IAM. Para mais informações, consulte a documentação de referência da API Go do IAM.
Para autenticar no IAM, configure o Application Default Credentials. Para mais informações, consulte Antes de começar.
Java
Para saber como instalar e usar a biblioteca de cliente do IAM, consulte Bibliotecas de cliente do IAM. Para mais informações, consulte a documentação de referência da API Java do IAM.
Para autenticar no IAM, configure o Application Default Credentials. Para mais informações, consulte Antes de começar.
Python
Para saber como instalar e usar a biblioteca de cliente do IAM, consulte Bibliotecas de cliente do IAM. Para mais informações, consulte a documentação de referência da API Python do IAM.
Para autenticar no IAM, configure o Application Default Credentials. Para mais informações, consulte Antes de começar.
REST
O método
roles.patch
atualiza um papel personalizado em um projeto ou organização.Antes de usar os dados da solicitação abaixo, faça as substituições a seguir:
Obrigatório:
RESOURCE_TYPE
: o tipo de recurso com os papéis personalizados que você quer gerenciar. Use o valorprojects
ouorganizations
.RESOURCE_ID
: o ID do projeto ou da organização com os papéis personalizados que você quer gerenciar. Os IDs do projeto são strings alfanuméricas, comomy-project
. Os códigos da organização são numéricos, como123456789012
.ROLE_NAME
: o nome completo do papel, incluindo qualquer prefixoorganizations/
,projects/
ouroles/
. Por exemplo:organizations/123456789012/roles/myCompanyAdmin
Recomendação:
ETAG
: identificador de uma versão do papel. Inclua este campo para evitar a substituição de outras alterações de papéis.
Opcional (defina um ou mais dos seguintes valores):
ROLE_TITLE
: o título legível do papel. Por exemplo,My Company Admin
.ROLE_DESCRIPTION
: uma descrição para o papel. Por exemplo,"The company admin role allows company admins to access important resources"
.PERMISSION_1
ePERMISSION_2
: as permissões que você quer incluir no papel. Por exemplo,storage.objects.update
. Não é possível usar caracteres curinga (*
) em nomes de permissão.LAUNCH_STAGE
: o estágio de lançamento atual do papel. Esse campo pode conter um dos seguintes valores:EAP
,ALPHA
,BETA
,GA
,DEPRECATED
ouDISABLED
.
Método HTTP e URL:
PATCH https://iam.googleapis.com/v1/RESOURCE_TYPE/RESOURCE_ID/roles
Corpo JSON da solicitação:
{ "roleId": "ROLE_NAME", "title": "ROLE_TITLE", "description": "ROLE_DESCRIPTION", "includedPermissions": [ "PERMISSION_1", "PERMISSION_2" ], "stage": "LAUNCH-STAGE", "etag": "ETAG" }
Para enviar a solicitação, expanda uma destas opções:
A resposta contém uma definição de papel abreviada que inclui o nome do papel, os campos que você atualizou e uma ETag que identifica a versão atual do papel.
{ "name": "projects/test-project-1000092/roles/myCompanyAdmin", "title": "My Updated Company Admin", "includedPermissions": [ "storage.buckets.get", "storage.buckets.list" ], "stage": "BETA", "etag": "BwWoyDpAxBc=" }
desativar um papel personalizado
Desative um papel personalizado alterando o estágio de lançamento para
DISABLED
. Quando um papel é desativado, as vinculações de política relacionadas a ele ficam inativas e as permissões de atribuição não podem ser aplicadas a um usuário.Console
No console do Google Cloud, abra a página Papéis.
Clique na lista suspensa "Selecionar um projeto" na parte superior da página.
Selecione a organização ou o projeto.
Selecione um papel personalizado e clique em Desativar.
gcloud
-
In the Google Cloud console, activate Cloud Shell.
At the bottom of the Google Cloud console, a Cloud Shell session starts and displays a command-line prompt. Cloud Shell is a shell environment with the Google Cloud CLI already installed and with values already set for your current project. It can take a few seconds for the session to initialize.
-
Use o comando
gcloud iam roles update
para desativar um papel personalizado definindo seu estágio de lançamento comoDISABLED
.Conforme descrito na guia gcloud da seção Como editar um papel personalizado, é possível atualizar um papel personalizado que já existe destas duas maneiras:
-
Por meio de um arquivo YAML contendo a definição atualizada do papel.
-
Com sinalizações para especificar a definição atualizada do papel
A maneira mais fácil de desativar um papel personalizado que já existe é usar a flag
--stage
e defini-la comoDISABLED
. Execute um dos seguintes comandos:-
Para desativar um papel no nível da organização, execute o seguinte comando:
gcloud iam roles update ROLE_ID--organization=ORGANIZATION_ID \ --stage=DISABLED
-
Para desativar um papel no nível do projeto, execute o seguinte comando:
gcloud iam roles update ROLE_ID --project=PROJECT_ID \ --stage=DISABLED
Cada valor do marcador é descrito a seguir:
-
ROLE_ID
é o nome do papel, comomyCompanyAdmin
. -
ORGANIZATION_ID
é o ID numérico da organização, como123456789012
. -
PROJECT_ID
é o nome do projeto, comomy-project
.
Exemplos
O exemplo a seguir demonstra como desativar um papel no nível da organização:
gcloud iam roles update myCompanyAdmin --organization=123456789012 \ --stage=DISABLED
Se o papel for atualizado, a saída do comando será semelhante a esta:
description: My custom role description. etag: BwVkB5NLIQw= includedPermissions: - iam.roles.get - iam.roles.list name: organization/123456789012/roles/myCompanyAdmin stage: DISABLED title: My Company Admin
O exemplo a seguir demonstra como desativar um papel no nível do projeto:
gcloud iam roles update myCompanyAdmin --project=my-project \ --stage=DISABLED
Se o papel for atualizado, a saída do comando será semelhante a esta:
description: My custom role description. etag: BwVkB5NLIQw= includedPermissions: - iam.roles.get - iam.roles.list name: projects/my-project/roles/myCompanyAdmin stage: DISABLED title: My Company Admin
-
C++
Atualize o campo
stage
do papel paraDISABLED
.C#
Atualize o campo
stage
do papel paraDISABLED
.Go
Atualize o campo
stage
do papel paraDISABLED
.Java
Atualize o campo
stage
do papel paraDISABLED
.Python
Atualize o campo
stage
do papel paraDISABLED
.REST
O método
roles.patch
permite alterar o estágio de lançamento de um papel personalizado paraDISABLED
, o que desativa o papel.Antes de usar os dados da solicitação abaixo, faça as substituições a seguir:
RESOURCE_TYPE
: o tipo de recurso com os papéis personalizados que você quer gerenciar. Use o valorprojects
ouorganizations
.RESOURCE_ID
: o ID do projeto ou da organização com os papéis personalizados que você quer gerenciar. Os IDs do projeto são strings alfanuméricas, comomy-project
. Os códigos da organização são numéricos, como123456789012
.ROLE_NAME
: o nome completo do papel, incluindo qualquer prefixoorganizations/
,projects/
ouroles/
. Por exemplo:organizations/123456789012/roles/myCompanyAdmin
ETAG
: identificador de uma versão do papel. Inclua este campo para evitar a substituição de outras alterações de papéis.
Método HTTP e URL:
PATCH https://iam.googleapis.com/v1/RESOURCE_TYPE/RESOURCE_ID/roles
Corpo JSON da solicitação:
{ "roleId": "ROLE_NAME", "stage": DISABLED, "etag": "ETAG" }
Para enviar a solicitação, expanda uma destas opções:
Você receberá uma resposta JSON semelhante a esta:
{ "name": "projects/test-project-1000092/roles/myCompanyAdmin", "stage": "DISABLED", "etag": "BwWoyDpAxBc=" }
Listar papéis
É possível listar todos os papéis personalizados criados no seu projeto ou organização.
Console
No console do Google Cloud, abra a página Papéis.
Todos os papéis personalizados da organização ou do projeto que você selecionou são listados na página.
gcloud
-
In the Google Cloud console, activate Cloud Shell.
At the bottom of the Google Cloud console, a Cloud Shell session starts and displays a command-line prompt. Cloud Shell is a shell environment with the Google Cloud CLI already installed and with values already set for your current project. It can take a few seconds for the session to initialize.
-
Use o comando
gcloud iam roles list
para listar papéis personalizados e predefinidos de um projeto ou uma organização.-
Para listar papéis personalizados no nível da organização, execute o seguinte comando:
gcloud iam roles list --organization=ORGANIZATION_ID
-
Para listar papéis personalizados no nível do projeto, execute o seguinte comando:
gcloud iam roles list --project=PROJECT_ID
Cada valor do marcador é descrito a seguir:
-
ORGANIZATION_ID
é o ID numérico da organização, como123456789012
. -
PROJECT_ID
é o nome do projeto, comomy-project
.
Para listar os papéis excluídos, também é possível especificar a sinalização
--show-deleted
.Execute o seguinte comando para listar papéis predefinidos:
gcloud iam roles list
-
C++
Para saber como instalar e usar a biblioteca de cliente do IAM, consulte Bibliotecas de cliente do IAM. Para mais informações, consulte a documentação de referência da API C++ do IAM.
Para autenticar no IAM, configure o Application Default Credentials. Para mais informações, consulte Antes de começar.
C#
Para saber como instalar e usar a biblioteca de cliente do IAM, consulte Bibliotecas de cliente do IAM. Para mais informações, consulte a documentação de referência da API C# do IAM.
Para autenticar no IAM, configure o Application Default Credentials. Para mais informações, consulte Antes de começar.
Go
Para saber como instalar e usar a biblioteca de cliente do IAM, consulte Bibliotecas de cliente do IAM. Para mais informações, consulte a documentação de referência da API Go do IAM.
Para autenticar no IAM, configure o Application Default Credentials. Para mais informações, consulte Antes de começar.
Java
Para saber como instalar e usar a biblioteca de cliente do IAM, consulte Bibliotecas de cliente do IAM. Para mais informações, consulte a documentação de referência da API Java do IAM.
Para autenticar no IAM, configure o Application Default Credentials. Para mais informações, consulte Antes de começar.
Python
Para saber como instalar e usar a biblioteca de cliente do IAM, consulte Bibliotecas de cliente do IAM. Para mais informações, consulte a documentação de referência da API Python do IAM.
Para autenticar no IAM, configure o Application Default Credentials. Para mais informações, consulte Antes de começar.
REST
O método
roles.list
lista todos os papéis personalizados em um projeto ou organização.Antes de usar os dados da solicitação abaixo, faça as substituições a seguir:
RESOURCE_TYPE
: o tipo de recurso com os papéis personalizados que você quer gerenciar. Use o valorprojects
ouorganizations
.RESOURCE_ID
: o ID do projeto ou da organização com os papéis personalizados que você quer gerenciar. Os IDs do projeto são strings alfanuméricas, comomy-project
. Os códigos da organização são numéricos, como123456789012
.ROLE_VIEW
: opcional. As informações a serem incluídas para os papéis retornados. Para incluir as permissões dos papéis, defina este campo comoFULL
. Para excluir as permissões dos papéis, defina este campo comoBASIC
. O valor padrão éBASIC
.PAGE_SIZE
: opcional. O número de papéis a serem incluídos na resposta. O valor padrão é 300 e o valor máximo é 1.000. Se o número de papéis for maior que o tamanho da página, a resposta conterá um token de paginação que pode ser usado para recuperar a próxima página de resultados.NEXT_PAGE_TOKEN
: opcional. O token de paginação retornado em uma resposta anterior desse método. Se especificado, a lista de papéis começará onde a solicitação anterior foi finalizada.
Método HTTP e URL:
GET https://iam.googleapis.com/v1/RESOURCE_TYPE/RESOURCE_ID/roles?view=ROLE_VIEW&pageSize=PAGE_SIZE&pageToken=NEXT_PAGE_TOKEN
Para enviar a solicitação, expanda uma destas opções:
Você receberá uma resposta JSON semelhante a esta:
{ "roles": [ { "name": "projects/my-project/roles/customRole1", "title": "First Custom Role", "description": "Created on: 2020-06-01", "etag": "BwWiPg2fmDE=" }, { "name": "projects/my-project/roles/customRole2", "title": "Second Custom Role", "description": "Created on: 2020-06-07", "etag": "BwWiuX53Wi0=" } ] }
excluir um papel personalizado
É possível excluir qualquer papel personalizado no seu projeto ou organização.
Console
No console do Google Cloud, abra a página Papéis.
Selecione o papel que você quer excluir e clique em delete Excluir na parte superior da página.
gcloud
-
In the Google Cloud console, activate Cloud Shell.
At the bottom of the Google Cloud console, a Cloud Shell session starts and displays a command-line prompt. Cloud Shell is a shell environment with the Google Cloud CLI already installed and with values already set for your current project. It can take a few seconds for the session to initialize.
-
Use o comando
gcloud iam roles delete
para excluir um papel personalizado:-
Para excluir um papel personalizado no nível da organização, execute o seguinte comando:
gcloud iam roles delete ROLE_ID --organization=ORGANIZATION_ID
-
Para excluir um papel personalizado no nível do projeto, execute o seguinte comando:
gcloud iam roles delete ROLE_ID --project=PROJECT_ID
Cada valor do marcador é descrito a seguir:
-
ROLE_ID
é o nome do papel, comomyCompanyAdmin
. -
ORGANIZATION_ID
é o ID numérico da organização, como123456789012
. -
PROJECT_ID
é o nome do projeto, comomy-project
.
O papel não será incluído em
gcloud iam roles list
, a menos que a flag--show-deleted
seja incluída. Os papéis excluídos são indicados pelo blocodeleted: true
em uma respostalist
, como:--- deleted: true description: My custom role description. etag: BwVkB5NLIQw= name: projects/my-project/roles/myCompanyAdmin title: My Company Admin ---
-
C++
Para saber como instalar e usar a biblioteca de cliente do IAM, consulte Bibliotecas de cliente do IAM. Para mais informações, consulte a documentação de referência da API C++ do IAM.
Para autenticar no IAM, configure o Application Default Credentials. Para mais informações, consulte Antes de começar.
C#
Para saber como instalar e usar a biblioteca de cliente do IAM, consulte Bibliotecas de cliente do IAM. Para mais informações, consulte a documentação de referência da API C# do IAM.
Para autenticar no IAM, configure o Application Default Credentials. Para mais informações, consulte Antes de começar.
Go
Para saber como instalar e usar a biblioteca de cliente do IAM, consulte Bibliotecas de cliente do IAM. Para mais informações, consulte a documentação de referência da API Go do IAM.
Para autenticar no IAM, configure o Application Default Credentials. Para mais informações, consulte Antes de começar.
Java
Para saber como instalar e usar a biblioteca de cliente do IAM, consulte Bibliotecas de cliente do IAM. Para mais informações, consulte a documentação de referência da API Java do IAM.
Para autenticar no IAM, configure o Application Default Credentials. Para mais informações, consulte Antes de começar.
Python
Para saber como instalar e usar a biblioteca de cliente do IAM, consulte Bibliotecas de cliente do IAM. Para mais informações, consulte a documentação de referência da API Python do IAM.
Para autenticar no IAM, configure o Application Default Credentials. Para mais informações, consulte Antes de começar.
REST
O método
roles.delete
exclui um papel personalizado em um projeto ou organização.Antes de usar os dados da solicitação abaixo, faça as substituições a seguir:
ROLE_NAME
: o nome completo do papel, incluindo qualquer prefixoorganizations/
,projects/
ouroles/
. Por exemplo:organizations/123456789012/roles/myCompanyAdmin
Método HTTP e URL:
DELETE https://iam.googleapis.com/v1/ROLE_NAME
Para enviar a solicitação, expanda uma destas opções:
A resposta contém a definição do papel que foi excluído.
{ "name": "projects/my-project/roles/myCompanyAdmin", "title": "My Company Admin", "description": "My custom role description.", "includedPermissions": [ "iam.roles.get", "iam.roles.list" ], "etag": "BwWiPg2fmDE=", "deleted": true }
Quando um papel é excluído, todas as vinculações de papel que se referem a ele permanecem nas políticas do IAM, mas não terão efeito. É possível recuperar um papel em até sete dias. Durante esse período de sete dias, o Console do Google Cloud mostra que o papel foi excluído. Também é possível listar papéis excluídos de maneira programática, mas eles são omitidos por padrão.
Após 7 a 14 dias, o papel é programado para exclusão permanente. Até aqui, o papel não conta mais para o limite de 300 papéis personalizados por organização ou 300 papéis personalizados por projeto.
O processo de exclusão permanente dura 30 dias. Durante esse período, o papel e todas as vinculações associadas são permanentemente removidos e não é possível criar um papel novo com o mesmo ID.
Depois que o papel for excluído permanentemente, será possível criar um novo usando o mesmo ID até 44 dias após a solicitação de exclusão inicial.
Cancelar a exclusão de uma função personalizada
Cancelar a exclusão de um papel faz com que ele retorne ao estado anterior.
Só é possível cancelar a exclusão de papéis em até sete dias após a exclusão. Após esse período, o papel pode ser permanentemente excluído a qualquer momento, e todas as vinculações de papel que se referem a ele são removidas.
Console
No console do Google Cloud, abra a página Papéis.
Localize o papel que você quer cancelar a exclusão e clique no ícone de mais no final da linha. Em seguida, clique em Cancelar exclusão.
gcloud
-
In the Google Cloud console, activate Cloud Shell.
At the bottom of the Google Cloud console, a Cloud Shell session starts and displays a command-line prompt. Cloud Shell is a shell environment with the Google Cloud CLI already installed and with values already set for your current project. It can take a few seconds for the session to initialize.
-
Use o comando
gcloud iam roles undelete
para cancelar a exclusão de um papel personalizado.-
Para cancelar a exclusão de um papel personalizado no nível da organização, execute o seguinte comando:
gcloud iam roles undelete ROLE_ID --organization=ORGANIZATION_ID
-
Para cancelar a exclusão de um papel personalizado no nível do projeto, execute o seguinte comando:
gcloud iam roles undelete ROLE_ID --project=PROJECT_ID
Cada valor do marcador é descrito a seguir:
-
ROLE_ID
é o nome do papel, comomyCompanyAdmin
. -
ORGANIZATION_ID
é o ID numérico da organização, como123456789012
. -
PROJECT_ID
é o nome do projeto, comomy-project
.
Exemplos
O exemplo a seguir demonstra como cancelar a exclusão de um papel personalizado no nível da organização:
gcloud iam roles undelete myCompanyAdmin --organization=123456789012
Se a exclusão do papel for cancelada, a saída do comando será semelhante a esta:
description: My custom role description. etag: BwVkCAx9W6w= includedPermissions: - iam.roles.get - iam.roles.list name: organization/123456789012/roles/myCompanyAdmin stage: ALPHA title: My Company Admin
O exemplo a seguir demonstra como cancelar a exclusão de um papel personalizado no nível do projeto:
gcloud iam roles undelete myCompanyAdmin --project=my-project
Se a exclusão do papel for cancelada, a saída do comando será semelhante a esta:
description: My custom role description. etag: BwVkCAx9W6w= includedPermissions: - iam.roles.get - iam.roles.list name: projects/my-project/roles/myCompanyAdmin stage: ALPHA title: My Company Admin
-
C++
Para saber como instalar e usar a biblioteca de cliente do IAM, consulte Bibliotecas de cliente do IAM. Para mais informações, consulte a documentação de referência da API C++ do IAM.
Para autenticar no IAM, configure o Application Default Credentials. Para mais informações, consulte Antes de começar.
C#
Para saber como instalar e usar a biblioteca de cliente do IAM, consulte Bibliotecas de cliente do IAM. Para mais informações, consulte a documentação de referência da API C# do IAM.
Para autenticar no IAM, configure o Application Default Credentials. Para mais informações, consulte Antes de começar.
Go
Para saber como instalar e usar a biblioteca de cliente do IAM, consulte Bibliotecas de cliente do IAM. Para mais informações, consulte a documentação de referência da API Go do IAM.
Para autenticar no IAM, configure o Application Default Credentials. Para mais informações, consulte Antes de começar.
Java
Para saber como instalar e usar a biblioteca de cliente do IAM, consulte Bibliotecas de cliente do IAM. Para mais informações, consulte a documentação de referência da API Java do IAM.
Para autenticar no IAM, configure o Application Default Credentials. Para mais informações, consulte Antes de começar.
Python
Para saber como instalar e usar a biblioteca de cliente do IAM, consulte Bibliotecas de cliente do IAM. Para mais informações, consulte a documentação de referência da API Python do IAM.
Para autenticar no IAM, configure o Application Default Credentials. Para mais informações, consulte Antes de começar.
REST
O método
roles.undelete
cancela a exclusão de um papel personalizado em um projeto ou organização.Antes de usar os dados da solicitação abaixo, faça as substituições a seguir:
ROLE_NAME
: o nome completo do papel, incluindo qualquer prefixoorganizations/
,projects/
ouroles/
. Por exemplo:organizations/123456789012/roles/myCompanyAdmin
ETAG
: identificador de uma versão do papel. Inclua este campo para evitar a substituição de outras alterações de papéis.
Método HTTP e URL:
POST https://iam.googleapis.com/v1/ROLE_NAME:undelete
Corpo JSON da solicitação:
{ "etag": "ETAG" }
Para enviar a solicitação, expanda uma destas opções:
A resposta contém a definição do papel que teve a exclusão cancelada.
{ "name": "projects/my-project/roles/myCompanyAdmin", "title": "My Company Admin", "description": "My custom role description.", "includedPermissions": [ "iam.roles.get", "iam.roles.list" ], "etag": "BwWiPg2fmDE=" }
A seguir
- Saiba como atribuir papéis a principais.
- Veja como é possível usar as recomendações de papel para diminuir o escopo das permissões para os participantes.
- Saiba mais sobre atribuições condicionais de papéis para conceder papéis somente se condições específicas forem atendidas.
Exceto em caso de indicação contrária, o conteúdo desta página é licenciado de acordo com a Licença de atribuição 4.0 do Creative Commons, e as amostras de código são licenciadas de acordo com a Licença Apache 2.0. Para mais detalhes, consulte as políticas do site do Google Developers. Java é uma marca registrada da Oracle e/ou afiliadas.
Última atualização 2024-09-24 UTC.