Control de acceso con IAM

En esta página, se describe cómo puedes controlar el acceso al proyecto y los permisos de Memorystore para Memcached mediante la administración de identidades y accesos (IAM).

Descripción general

Cloud IAM te permite controlar el acceso a recursos específicos de Google Cloud en un nivel detallado y también evita el acceso no deseado a esos recursos. Para obtener una descripción detallada de las funciones y los permisos, consulta la documentación de Cloud IAM.

Memorystore para Memcached proporciona un conjunto de funciones predefinidas diseñadas con el fin de ayudarte a controlar con facilidad el acceso a tus recursos de Memcached. Si las funciones predefinidas no proporcionan los conjuntos de permisos que necesitas, también puedes funciones personalizadas. Además, las funciones básicas más antiguas (editor, visualizador y propietario) aún están disponibles, aunque no proporcionan el mismo control detallado que las funciones de Memorystore para Memcached. Específicamente, las funciones básicas proporcionan acceso a los recursos en Google Cloud, en lugar de solo para Memorystore para Memcached. Para obtener más información sobre las funciones básicas, consulta Funciones básicas.

Permisos y funciones

En esta sección, se resumen los permisos y las funciones que admite Memorystore para Memcached.

Funciones predefinidas

Memorystore para Memcached proporciona funciones predefinidas que puedes usar para proporcionar permisos más detallados a las principales. La función que otorgas a una principal controla las acciones que puede realizar. Los principales pueden ser personas, grupos o cuentas de servicios.

Puedes otorgar varias funciones a la misma principal y cambiarlas en cualquier momento.

Las funciones más amplias se definen con más precisión. Por ejemplo, la función de editor de Memcached incluye todos los permisos de la función de visualizador de Memcached, además de los permisos para la función editor de Memcached. Del mismo modo, la función Administrador de Redis incluye todos los permisos de la función editor de Redis, junto con sus permisos adicionales.

Las funciones básicas (Propietario, Editor y Visualizador) proporcionan permisos en Google Cloud. Las funciones específicas de Memorystore para Memcached solo proporcionan permisos de Memorystore para Memcached, excepto los siguientes permisos de Google Cloud, que son necesarios para el uso general de Google Cloud:

resourcemanager.projects.get
resourcemanager.projects.list

En la siguiente tabla, se describen las funciones predefinidas disponibles para Memorystore para Memcached, junto con sus permisos de Memorystore para Memcached:

Rol	Nombre	Permisos de Memcached	Descripción
roles/owner	Propietario	memcache.*	Acceso y control totales para todos los recursos de Google Cloud; administración del acceso de los usuarios
roles/editor	Editor	Todos los permisos de memcache , excepto *.getIamPolicy y .setIamPolicy	Acceso de lectura/escritura a todos los recursos de Google Cloud y Memcached (control total, excepto la capacidad de modificar permisos)
roles/viewer	Visualizador	memcache.*.get memcache.*.list	Acceso de solo lectura a todos los recursos de Google Cloud, incluidos los recursos de Memcache
roles/memcache.admin	Administrador de Memcached	memcache.*	Control total de todos los recursos de Memorystore para Memcached.
roles/memcache.editor	Editor de Memcached	Todos los permisos de memcache, excepto memcache.instances.create memcache.instances.delete memcache.instances.applySoftwareUpdate memcache.instances.upgrade	Administra Memorystore para instancias de Memcached No se pueden crear ni borrar instancias.
roles/memcache.viewer	Lector de Memcached	Todos los permisos de memcache, excepto memcache.instances.create memcache.instances.delete memcache.instances.update memcache.operations.delete memcache.instances.applyParameters memcache.instances.updateParameters memcache.instances.applySoftwareUpdate memcache.instances.upgrade	Acceso de solo lectura a todos los recursos de Memorystore para Memcached.

Permisos y sus funciones

En la tabla siguiente, se enumeran los permisos que admite Memorystore para Memcached y las funciones de Memorystore para Memcached que lo incluyen:

Permiso	Función de Memcached	Función básica
memcache.instances.list	Administrador de Memcached Editor de Memcached Visualizador de Memcached	Lector
memcache.instances.get	Administrador de Memcached Editor de Memcached Visualizador de Memcached	Lector
memcache.instances.create	Administrador de Memcached	Writer
memcache.instances.update	Administrador de Memcached Editor de Memcached	Writer
memcache.instances.delete	Administrador de Memcached	Writer
memcache.instances.applyParameters	Administrador de Memcached Editor de Memcached	Writer
memcache.instances.updateParameters	Administrador de Memcached Editor de Memcached	Writer
memcache.instances.applySoftwareUpdate	Administrador de Memcached Editor de Memcached	Escritor
memcache.instances.upgrade	Administrador de Memcached	Escritor
memcache.locations.list	Administrador de Memcached Editor de Memcached Visualizador de Memcached	Lector
memcache.locations.get	Administrador de Memcached Editor de Memcached Visualizador de Memcached	Lector
memcache.operations.list	Administrador de Memcached Editor de Memcached Visualizador de Memcached	Lector
memcache.operations.get	Administrador de Memcached Editor de Memcached Visualizador de Memcached	Lector
memcache.operations.delete	Administrador de Memcached Editor de Memcached	Writer

Funciones personalizadas

Si las funciones predefinidas no responden a tus requisitos comerciales particulares, puedes definir tus propias funciones personalizadas con los permisos que especifiques. Cuando crees funciones personalizadas de Memorystore para Memcached, asegúrate de incluir resourcemanager.projects.get y resourcemanager.projects.list. Para obtener más información, consulta Dependencias de permisos.

Permisos necesarios para realizar tareas comunes en la consola de Google Cloud

Para permitir que un usuario trabaje con Memorystore para Memcached mediante la consola de Google Cloud, la función del usuario debe incluir los permisos resourcemanager.projects.get y resourcemanager.projects.list.

En la siguiente tabla, se proporcionan los otros permisos necesarios para algunas tareas comunes en Google Cloud Console:

Tarea	Permisos adicionales obligatorios
Mostrar la página de listas de instancias	memcache.instances.get memcache.instances.list
Crear y editar una instancia	memcache.instances.create memcache.instances.get memcache.instances.list memcache.instances.update memcache.instances.applyParameters memcache.instances.updateParameters memcache.instances.applySoftwareUpdate compute.networks.list
Borrar una instancia	memcache.instances.delete memcache.instances.get memcache.instances.list
Conectar una instancia desde Cloud Shell	memcache.instances.get memcache.instances.list memcache.instances.update
Actualizar la versión de Memcached de una instancia	memcache.instances.upgrade
Ver información de instancias	memcache.instances.get monitoring.timeSeries.list

Permisos obligatorios para los comandos de gcloud

Para permitir que un usuario trabaje con Memorystore para Memcached mediante los comandos de gcloud, la función del usuario debe incluir los permisos resourcemanager.projects.get y resourcemanager.projects.list.

En la siguiente tabla, se enumeran los permisos que debe tener el usuario que invoca un comando de gcloud para cada subcomando gcloud memcache:

Comando	Permisos necesarios
gcloud memcache instances create	memcache.instances.get memcache.instances.create
gcloud memcache instances delete	memcache.instances.delete
gcloud memcache instances update	memcache.instances.get memcache.instances.update memcache.instances.updateParameters
gcloud memcache instances upgrade	memcache.instances.upgrade
gcloud memcache instances list	memcache.instances.list
gcloud memcache instances describe	memcache.instances.get
gcloud memcache instances apply-parameters	memcache.instances.applyParameters
gcloud beta memcache instances apply-software-update	memcache.instances.applySoftwareUpdate
gcloud memcache operations list	memcache.operations.list
gcloud memcache operations describe	memcache.operations.get
gcloud memcache regions list	memcache.locations.list
gcloud memcache regions describe	memcache.locations.get
gcloud memcache zones list	memcache.locations.list

Permisos obligatorios para los métodos de API

En la siguiente tabla, se enumeran los permisos que debe tener el usuario para llamar a cada método de la API de Memorystore para Memcached o realizar tareas con las herramientas de Google Cloud que usan la API (como Google Cloud Console o la herramienta de línea de comandos de gcloud):

Nota: Para llamar a un método, también debes tener los alcances necesarios que se describen en la página de referencia del método, además de los siguientes permisos. Para obtener más información, consulta la sección sobre cómo autorizar solicitudes con OAuth 2.0. Se aplican todos los permisos a nivel de proyecto. No puedes aplicar permisos diferentes basados en instancias o en otros objetos de nivel inferior.

Método	Permisos necesarios
locations.get	memcache.locations.get
locations.list	memcache.locations.list
instances.create	memcache.instances.create
instances.delete	memcache.instances.delete
instances.get	memcache.instances.get
instances.upgrade	memcache.instances.upgrade
instances.list	memcache.instances.list
instances.patch	memcache.instances.update
instances.updateParameters	memcache.instances.updateParameters
instances.applyParameters	memcache.instances.applyParameters
instances.applySoftwareUpdate	memcache.instances.applySoftwareUpdate
operations.get	memcache.operations.get
operations.list	memcache.operations.list

Permisos de la política de mantenimiento

En la siguiente tabla, se muestran los permisos necesarios para administrar la política de Mantenimiento de Memorystore para Memcached.

Se necesitan permisos	Crea una instancia de Memorystore con una política de mantenimiento habilitada	Crea o modifica las políticas de mantenimiento en una instancia de Memorystore existente.	Visualiza la configuración de la política de mantenimiento	Reprograma el mantenimiento
memcache.instances.create	✓	X	X	X
memcache.instances.update	X	✓	X	X
memcache.instances.get	X	X	✓	X
memcache.instances.rescheduleMaintenance	X	X	X	✓

¿Qué sigue?

• Supervisa tus instancias de Memcached.
• Consulta Registros de auditoría para tu instancia de Memcached.