Controlo de acesso com a IAM

Esta página descreve como pode controlar o acesso e as autorizações do projeto para o Memorystore for Memcached através da gestão de identidade e de acesso (IAM).

Vista geral

A IAM permite-lhe controlar o acesso a recursos Google Cloud específicos a um nível detalhado e também impede o acesso indesejado a esses recursos. Para uma descrição detalhada das funções e autorizações, consulte a documentação do IAM.

O Memorystore for Memcached oferece um conjunto de funções predefinidas concebidas para ajudar a controlar facilmente o acesso aos seus recursos do Memcached. Se as funções predefinidas não lhe oferecerem os conjuntos de autorizações de que precisa, também pode criar funções personalizadas. Além disso, as funções básicas mais antigas (Editor, Leitor e Proprietário) continuam disponíveis, embora não ofereçam o mesmo controlo detalhado que as funções do Memorystore para Memcached. Especificamente, as funções básicas fornecem acesso a recursos emGoogle Cloud, em vez de apenas para o Memorystore for Memcached. Para mais informações sobre as funções básicas, consulte o artigo Funções básicas.

Autorizações e funções

Esta secção resume as autorizações e as funções suportadas pelo Memorystore for Memcached.

Funções predefinidas

O Memorystore for Memcached oferece funções predefinidas que pode usar para fornecer autorizações mais detalhadas aos responsáveis. A função que atribui a um principal controla as ações que o principal pode realizar. Os membros podem ser indivíduos, grupos ou contas de serviço.

Pode conceder várias funções ao mesmo principal e alterar as funções em qualquer altura.

As funções mais amplas estão definidas de forma mais restrita. Por exemplo, a função de editor do Memcached inclui todas as autorizações da função de leitor do Memcached, juntamente com a adição de autorizações para a função de editor do Memcached. Da mesma forma, a função de administrador do Memcached inclui todas as autorizações da função de editor do Memcached, juntamente com as respetivas autorizações adicionais.

As funções básicas (proprietário, editor e leitor) concedem autorizações em Google Cloud. As funções específicas do Memorystore for Memcached fornecem apenas autorizações do Memorystore for Memcached, exceto as Google Cloud autorizações seguintes, que são necessárias para a utilização Google Cloud geral:

resourcemanager.projects.get
resourcemanager.projects.list

A tabela seguinte apresenta as funções predefinidas disponíveis para o Memorystore for Memcached, juntamente com as respetivas autorizações do Memorystore for Memcached:

Função	Nome	Autorizações do Memcached	Descrição
roles/owner	Proprietário	memcache.*	Acesso e controlo totais de todos os Google Cloud recursos; gerir o acesso dos utilizadores
roles/editor	Editor	Todas as memcache autorizações, exceto *.getIamPolicy & .setIamPolicy	Acesso de leitura/escrita a todos os recursos do Google Cloud e Memcached (controlo total, exceto a capacidade de modificar autorizações)
roles/viewer	Leitor	memcache.*.get memcache.*.list	Acesso só de leitura a todos os Google Cloud recursos, incluindo recursos do Memcached
roles/memcache.admin	Administrador do Memcached	memcache.*	Controlo total de todos os recursos do Memorystore for Memcached.
roles/memcache.editor	Editor do Memcached	Todas as autorizações da app memcache, exceto memcache.instances.create memcache.instances.delete memcache.instances.applySoftwareUpdate memcache.instances.upgrade	Faça a gestão das instâncias do Memorystore for Memcached. Não é possível criar nem eliminar instâncias.
roles/memcache.viewer	Visualizador do Memcached	Todas as autorizações da app memcache, exceto memcache.instances.create memcache.instances.delete memcache.instances.update memcache.operations.delete memcache.instances.applyParameters memcache.instances.updateParameters memcache.instances.applySoftwareUpdate memcache.instances.upgrade	Acesso só de leitura a todos os recursos do Memorystore for Memcached.

Autorizações e respetivas funções

A tabela seguinte indica as autorizações suportadas pelo Memorystore for Memcached e as funções do Memorystore for Memcached que as incluem:

Autorização	Função do Memcached	Função básica
memcache.instances.list	Administrador do Memcached Editor do Memcached Leitor do Memcached	Leitor
memcache.instances.get	Administrador do Memcached Editor do Memcached Leitor do Memcached	Leitor
memcache.instances.create	Administrador do Memcached	Escritor
memcache.instances.update	Administrador do Memcached Editor do Memcached	Escritor
memcache.instances.delete	Administrador do Memcached	Escritor
memcache.instances.applyParameters	Administrador do Memcached Editor do Memcached	Escritor
memcache.instances.updateParameters	Administrador do Memcached Editor do Memcached	Escritor
memcache.instances.applySoftwareUpdate	Administrador do Memcached Editor do Memcached	Escritor
memcache.instances.upgrade	Administrador do Memcached	Escritor
memcache.locations.list	Administrador do Memcached Editor do Memcached Leitor do Memcached	Leitor
memcache.locations.get	Administrador do Memcached Editor do Memcached Leitor do Memcached	Leitor
memcache.operations.list	Administrador do Memcached Editor do Memcached Leitor do Memcached	Leitor
memcache.operations.get	Administrador do Memcached Editor do Memcached Leitor do Memcached	Leitor
memcache.operations.delete	Administrador do Memcached Editor do Memcached	Escritor

Funções personalizadas

Se as funções predefinidas não satisfizerem os requisitos exclusivos da sua empresa, pode definir as suas próprias funções personalizadas com as autorizações que especificar. Quando criar funções personalizadas para o Memorystore for Memcached, certifique-se de que inclui resourcemanager.projects.get e resourcemanager.projects.list. Para mais informações, consulte o artigo Dependências de autorizações.

Autorizações necessárias para tarefas comuns na Google Cloud consola

Para permitir que um utilizador trabalhe com o Memorystore for Memcached através da Google Cloud consola, a função do utilizador tem de incluir a autorização resourcemanager.projects.get e resourcemanager.projects.list.

A tabela seguinte apresenta as outras autorizações necessárias para algumas tarefas comuns na consola Google Cloud :

Tarefa	Autorizações adicionais necessárias
Apresentar a página de fichas de instâncias	memcache.instances.get memcache.instances.list
Criar e editar uma instância	memcache.instances.create memcache.instances.get memcache.instances.list memcache.instances.update memcache.instances.applyParameters memcache.instances.updateParameters memcache.instances.applySoftwareUpdate compute.networks.list
Eliminar uma instância	memcache.instances.delete memcache.instances.get memcache.instances.list
Ligar a uma instância a partir do Cloud Shell	memcache.instances.get memcache.instances.list memcache.instances.update
Atualizar a versão do Memcached de uma instância	memcache.instances.upgrade
Ver informações da instância	memcache.instances.get monitoring.timeSeries.list

Autorizações necessárias para comandos gcloud

Para permitir que um utilizador trabalhe com o Memorystore para Memcached através de comandos gcloud, a função do utilizador tem de incluir a autorização resourcemanager.projects.get e resourcemanager.projects.list.

A tabela seguinte indica as autorizações que o utilizador que invoca um comando gcloud tem de ter para cada subcomando gcloud memcache:

Comando	Autorizações necessárias
gcloud memcache instances create	memcache.instances.get memcache.instances.create
gcloud memcache instances delete	memcache.instances.delete
gcloud memcache instances update	memcache.instances.get memcache.instances.update memcache.instances.updateParameters
gcloud memcache instances upgrade	memcache.instances.upgrade
gcloud memcache instances list	memcache.instances.list
gcloud memcache instances describe	memcache.instances.get
gcloud memcache instances apply-parameters	memcache.instances.applyParameters
gcloud beta memcache instances apply-software-update	memcache.instances.applySoftwareUpdate
gcloud memcache operations list	memcache.operations.list
gcloud memcache operations describe	memcache.operations.get
gcloud memcache regions list	memcache.locations.list
gcloud memcache regions describe	memcache.locations.get
gcloud memcache zones list	memcache.locations.list

Autorizações necessárias para métodos da API

A tabela seguinte apresenta as autorizações que o utilizador tem de ter para chamar cada método na API Memorystore for Memcached ou para realizar tarefas através deGoogle Cloud ferramentas que usam a API (como a Google Cloud consola ou a gcloudferramenta de linha de comandos):

Nota: para chamar um método, além das autorizações na tabela seguinte, também tem de ter os âmbitos necessários. Estes âmbitos estão descritos na página de referência do método. Para mais informações, consulte o artigo Autorize pedidos.

Todas as autorizações são aplicadas ao projeto. Não pode aplicar diferentes autorizações com base na instância ou noutros objetos de nível inferior.

Método	Autorizações necessárias
locations.get	memcache.locations.get
locations.list	memcache.locations.list
instances.create	memcache.instances.create
instances.delete	memcache.instances.delete
instances.get	memcache.instances.get
instances.upgrade	memcache.instances.upgrade
instances.list	memcache.instances.list
instances.patch	memcache.instances.update
instances.updateParameters	memcache.instances.updateParameters
instances.applyParameters	memcache.instances.applyParameters
instances.applySoftwareUpdate	memcache.instances.applySoftwareUpdate
operations.get	memcache.operations.get
operations.list	memcache.operations.list

Autorizações da política de manutenção

A tabela abaixo mostra as autorizações necessárias para gerir a política de manutenção para o Memorystore for Memcached.

Autorizações necessárias	Crie uma instância do Memorystore com uma política de manutenção ativada	Crie ou modifique políticas de manutenção numa instância do Memorystore existente	Ver as definições da política de manutenção	Reagendamento da manutenção
memcache.instances.create	✓	X	X	X
memcache.instances.update	X	✓	X	X
memcache.instances.get	X	X	✓	X
memcache.instances.rescheduleMaintenance	X	X	X	✓

O que se segue?

• Monitorize as suas instâncias do Memcached.
• Veja os registos de auditoria da sua instância do Memcached.