使用 IAM 控制访问权限

概览

Live Stream API 使用 Identity and Access Management (IAM) 进行访问权限控制。

您可以在项目级为 Live Stream API 配置访问权限控制。例如，您可以向开发者授予列出和获取项目中的所有事件的权限。

如需详细了解 IAM 及其功能，请参阅 IAM 文档。尤其应参阅管理 IAM 政策部分。

每种 Live Stream API 方法都要求调用者拥有必要的权限。如需了解详情，请参阅权限和角色。

权限

本部分汇总了 IAM 支持的 Live Stream API 权限。

所需权限

下表列出了与 Live Stream API 相关的 IAM 权限。

注意 ：表中的方法名称缩短了；每个方法的全名都以 projects.locations 开头。

素材资源方法名称	所需权限
assets.create	针对父级位置的 livestream.assets.create 权限，即特定的 Google Cloud 项目和数据位置的组合。
assets.delete	针对资产资源的 livestream.assets.delete 权限。
assets.get	针对资产资源的 livestream.assets.get 权限。
assets.list	针对父级位置的 livestream.assets.list 权限，即特定的 Google Cloud 项目和数据位置的组合。

渠道方法名称	所需权限
channels.create	针对父级位置的 livestream.channels.create 权限，该位置是特定的 Google Cloud 项目和数据位置的组合。
channels.delete	针对频道资源的 livestream.channels.delete 权限。
channels.get	针对频道资源的 livestream.channels.get 权限。
channels.list	针对父级位置的 livestream.channels.list 权限，该位置是特定的 Google Cloud 项目和数据位置的组合。
channels.patch	针对频道资源的 livestream.channels.update 权限。
channels.start	针对频道资源的 livestream.channels.start 权限。
channels.stop	针对频道资源的 livestream.channels.stop 权限。

事件方法名称	所需权限
events.create	针对资源的父渠道的 livestream.events.create。
events.delete	针对事件资源的 livestream.events.delete 权限。
events.get	针对事件资源的 livestream.events.get 权限。
events.list	针对资源的父渠道上的 livestream.events.list。

输入法名称	所需权限
inputs.create	针对父级位置的 livestream.inputs.create 权限，即特定的 Google Cloud 项目和数据位置的组合。
inputs.delete	针对输入资源的 livestream.inputs.delete 权限。
inputs.get	针对输入资源的 livestream.inputs.get 权限。
inputs.list	针对父级位置的 livestream.inputs.list 权限，即特定的 Google Cloud 项目和数据位置的组合。
inputs.patch	针对输入资源的 livestream.inputs.update 权限。

池方法名称	所需权限
pools.get	针对池资源的 livestream.pools.get 权限。
pools.patch	针对池资源的 livestream.pools.patch 权限。

角色

下表列出了 Live Stream API IAM 角色，包括与每个角色关联的权限：

IAM 角色	权限
Live Stream Viewer (roles/livestream.viewer) 拥有对直播资源的读取权限。	livestream.assets.get livestream.assets.list livestream.channels.get livestream.channels.list livestream.events.get livestream.events.list livestream.inputs.get livestream.inputs.list livestream.locations.* livestream.locations.get livestream.locations.list livestream.operations.get livestream.operations.list livestream.pools.get resourcemanager.projects.get resourcemanager.projects.list
Live Stream Editor (roles/livestream.editor) 拥有对直播资源的完整访问权限。	livestream.* livestream.assets.create livestream.assets.delete livestream.assets.get livestream.assets.list livestream.channels.create livestream.channels.delete livestream.channels.get livestream.channels.list livestream.channels.start livestream.channels.stop livestream.channels.update livestream.events.create livestream.events.delete livestream.events.get livestream.events.list livestream.inputs.create livestream.inputs.delete livestream.inputs.get livestream.inputs.list livestream.inputs.update livestream.locations.get livestream.locations.list livestream.operations.cancel livestream.operations.delete livestream.operations.get livestream.operations.list livestream.pools.get livestream.pools.update resourcemanager.projects.get resourcemanager.projects.list

如需详细了解角色，请参阅了解角色。

访问 Cloud Storage

默认情况下，Live Stream API 可以访问项目的所有 Cloud Storage 存储分区。当您创建第一个直播活动时，Live Stream API 会按照以下命名惯例创建一个服务帐号：

[e-mail]

PROJECT_NUMBER 是启用了 Live Stream API 的项目编号。此服务帐号会被授予 Live Stream Service Agent 角色，并拥有执行以下操作的权限：

• 读取项目的 Cloud Storage 存储分区中的文件
• 将文件上传到项目的 Cloud Storage 存储分区
• 删除项目的 Cloud Storage 存储分区中的文件
• 列出项目的 Cloud Storage 存储分区中的文件及其元数据

注意 ：服务帐号权限最多可能需要 7 分钟才能在整个系统中完全传播，请参阅访问权限更改传播。

限制访问

如需限制对您的 Cloud Storage 存储分区的此类访问权限，请从服务帐号中移除 Live Stream Service Agent 角色，并将其替换为更精细的访问权限。请按照以下步骤操作：

1. 前往 Google Cloud 控制台中的 IAM 页面（权限标签页）。
2. 找到具有 Live Stream Service Agent 角色的服务帐号，然后选择“修改”按钮。
3. 从服务帐号中删除 Live Stream Service Agent 角色。
4. 向服务账号授予对每个 Cloud Storage 存储桶的访问权限：
   1. 转到 Cloud Storage 浏览器页面。
   2. 点击一个存储桶。
   3. 选择权限标签页。
   4. 点击添加。
   5. 在新的主账号字段中，输入服务帐号的名称。
   6. 在角色下，选择 Storage Object Admin。
   7. 点击保存。Live Stream API 现在可以访问该存储桶了。