Controllo dell'accesso con IAM

Questa pagina descrive come controllare l'accesso e le autorizzazioni al progetto per Memorystore for Memcached utilizzando Identity and Access Management (IAM).

Panoramica

IAM consente di controllare l'accesso a specifiche risorse Google Cloud a livello granulare e impedisce inoltre gli accessi indesiderati a queste risorse. Per una descrizione dettagliata dei ruoli e delle autorizzazioni, consulta la documentazione IAM.

Memorystore for Memcached fornisce un insieme di ruoli predefiniti progettati per aiutarti a controllare facilmente l'accesso alle risorse Memcached. Se i ruoli predefiniti non forniscono gli insiemi di autorizzazioni necessari, puoi anche creare ruoli personalizzati. Inoltre, puoi ancora accedere ai ruoli di base precedenti (Editor, Visualizzatore e Proprietario), anche se non offrono lo stesso controllo granulare dei ruoli di Memorystore for Memcached. In particolare, i ruoli di base consentono di accedere alle risorse su Google Cloud, anziché solo per Memorystore for Memcached. Per ulteriori informazioni sui ruoli di base, consulta Ruoli di base.

Autorizzazioni e ruoli

Questa sezione riepiloga le autorizzazioni e i ruoli supportati da Memorystore for Memcached.

Ruoli predefiniti

Memorystore for Memcached fornisce ruoli predefiniti che puoi utilizzare per fornire autorizzazioni più granulari alle entità. Il ruolo assegnato a un'entità controlla le azioni che può eseguire. Le entità possono essere singole persone, gruppi o account di servizio.

Puoi concedere più ruoli alla stessa entità e modificarli in qualsiasi momento.

I ruoli più ampi sono definiti in modo più ristretto. Ad esempio, il ruolo Editor Memcached include tutte le autorizzazioni del ruolo Visualizzatore Memcached, insieme all'aggiunta di autorizzazioni per il ruolo Editor Memcached. Analogamente, il ruolo Amministratore Memcached include tutte le autorizzazioni del ruolo Editor Memcached, insieme alle relative autorizzazioni aggiuntive.

I ruoli di base (Proprietario, Editor, Visualizzatore) forniscono le autorizzazioni in Google Cloud. I ruoli specifici di Memorystore for Memcached forniscono solo le autorizzazioni di Memorystore for Memcached, tranne le seguenti autorizzazioni di Google Cloud, necessarie per l'utilizzo generale di Google Cloud:

resourcemanager.projects.get
resourcemanager.projects.list

La tabella seguente elenca i ruoli predefiniti disponibili per Memorystore for Memcached, insieme alle relative autorizzazioni di Memorystore for Memcached:

Ruolo	Nome	Autorizzazioni Memcached	Descrizione
roles/owner	Proprietario	memcache.*	Accesso e controllo completi per tutte le risorse Google Cloud; gestione dell'accesso degli utenti
roles/editor	Editor	Tutte le memcache autorizzazioni, tranne *.getIamPolicy e .setIamPolicy	Accesso in lettura/scrittura a tutte le risorse Google Cloud e Memcached (controllo completo, tranne la possibilità di modificare le autorizzazioni)
roles/viewer	Visualizzatore	memcache.*.get memcache.*.list	Accesso in sola lettura a tutte le risorse Google Cloud, comprese le risorse Memcached
roles/memcache.admin	Amministratore Memcached	memcache.*	Controllo completo per tutte le risorse Memorystore for Memcached.
roles/memcache.editor	Editor Memcached	Tutte le autorizzazioni di memcache tranne memcache.instances.create memcache.instances.delete memcache.instances.applySoftwareUpdate memcache.instances.upgrade	Gestisci le istanze Memorystore for Memcached. Non può creare o eliminare istanze.
roles/memcache.viewer	Visualizzatore Memcached	Tutte le autorizzazioni di memcache tranne memcache.instances.create memcache.instances.delete memcache.instances.update memcache.operations.delete memcache.instances.applyParameters memcache.instances.updateParameters memcache.instances.applySoftwareUpdate memcache.instances.upgrade	Accesso in sola lettura a tutte le risorse Memorystore for Memcached.

Autorizzazioni e relativi ruoli

La tabella seguente elenca le autorizzazioni supportate da Memorystore for Memcached e i ruoli di Memorystore for Memcached che lo includono:

Autorizzazione	Ruolo Memcached	Ruolo di base
memcache.instances.list	Amministratore Memcached Editor Memcached Visualizzatore Memcached	Lettore
memcache.instances.get	Amministratore Memcached Editor Memcached Visualizzatore Memcached	Lettore
memcache.instances.create	Amministratore Memcached	Writer
memcache.instances.update	Amministratore Memcached Editor Memcached	Writer
memcache.instances.delete	Amministratore Memcached	Writer
memcache.instances.applyParameters	Amministratore Memcached Editor Memcached	Writer
memcache.instances.updateParameters	Amministratore Memcached Editor Memcached	Writer
memcache.instances.applySoftwareUpdate	Amministratore Memcached Editor Memcached	Writer
memcache.instances.upgrade	Amministratore Memcached	Writer
memcache.locations.list	Amministratore Memcached Editor Memcached Visualizzatore Memcached	Lettore
memcache.locations.get	Amministratore Memcached Editor Memcached Visualizzatore Memcached	Lettore
memcache.operations.list	Amministratore Memcached Editor Memcached Visualizzatore Memcached	Lettore
memcache.operations.get	Amministratore Memcached Editor Memcached Visualizzatore Memcached	Lettore
memcache.operations.delete	Amministratore Memcached Editor Memcached	Writer

Ruoli personalizzati

Se i ruoli predefiniti non soddisfano i tuoi requisiti aziendali univoci, puoi definire ruoli personalizzati con le autorizzazioni da te specificate. Quando crei ruoli personalizzati per Memorystore per Memcached, assicurati di includere sia resourcemanager.projects.get che resourcemanager.projects.list. Per saperne di più, vedi Dipendenze delle autorizzazioni.

Autorizzazioni richieste per le attività comuni nella console Google Cloud

Per consentire a un utente di utilizzare Memorystore for Memcached utilizzando la console Google Cloud, il suo ruolo deve includere le autorizzazioni resourcemanager.projects.get e resourcemanager.projects.list.

La tabella seguente fornisce le altre autorizzazioni necessarie per alcune attività comuni nella console Google Cloud:

Attività	Autorizzazioni aggiuntive richieste
Visualizza la pagina di elenco delle istanze	memcache.instances.get memcache.instances.list
Creazione e modifica di un'istanza	memcache.instances.create memcache.instances.get memcache.instances.list memcache.instances.update memcache.instances.applyParameters memcache.instances.updateParameters memcache.instances.applySoftwareUpdate compute.networks.list
Eliminazione di un'istanza	memcache.instances.delete memcache.instances.get memcache.instances.list
Connessione a un'istanza da Cloud Shell	memcache.instances.get memcache.instances.list memcache.instances.update
Upgrade della versione Memcached di un'istanza	memcache.instances.upgrade
Visualizzazione di informazioni sulle istanze	memcache.instances.get monitoring.timeSeries.list

Autorizzazioni richieste per i comandi gcloud

Per consentire a un utente di utilizzare Memorystore for Memcached utilizzando i comandi gcloud, il ruolo dell'utente deve includere le autorizzazioni resourcemanager.projects.get e resourcemanager.projects.list.

La tabella seguente elenca le autorizzazioni che deve avere l'utente che richiama un comando gcloud per ogni sottocomando gcloud memcache:

Comando	Autorizzazioni obbligatorie
gcloud memcache instances create	memcache.instances.get memcache.instances.create
gcloud memcache instances delete	memcache.instances.delete
gcloud memcache instances update	memcache.instances.get memcache.instances.update memcache.instances.updateParameters
gcloud memcache instances upgrade	memcache.instances.upgrade
gcloud memcache instances list	memcache.instances.list
gcloud memcache instances describe	memcache.instances.get
gcloud memcache instances apply-parameters	memcache.instances.applyParameters
gcloud beta memcache instances apply-software-update	memcache.instances.applySoftwareUpdate
gcloud memcache operations list	memcache.operations.list
gcloud memcache operations describe	memcache.operations.get
gcloud memcache regions list	memcache.locations.list
gcloud memcache regions describe	memcache.locations.get
gcloud memcache zones list	memcache.locations.list

Autorizzazioni richieste per i metodi API

La tabella seguente elenca le autorizzazioni di cui l'utente deve disporre per chiamare ciascun metodo nell'API Memorystore for Memcached o per eseguire attività utilizzando gli strumenti di Google Cloud che utilizzano l'API, ad esempio la console Google Cloud o lo strumento a riga di comando gcloud:

Nota: per chiamare un metodo, devi disporre anche degli ambiti richiesti come descritto nella pagina di riferimento del metodo, oltre alle autorizzazioni riportate di seguito. Per ulteriori informazioni, consulta Autorizzazione delle richieste con OAuth 2.0. Tutte le autorizzazioni vengono applicate a livello di progetto. Non puoi applicare autorizzazioni diverse in base all'istanza o ad altri oggetti di livello inferiore.

Metodo	Autorizzazioni obbligatorie
locations.get	memcache.locations.get
locations.list	memcache.locations.list
instances.create	memcache.instances.create
instances.delete	memcache.instances.delete
instances.get	memcache.instances.get
instances.upgrade	memcache.instances.upgrade
instances.list	memcache.instances.list
instances.patch	memcache.instances.update
instances.updateParameters	memcache.instances.updateParameters
instances.applyParameters	memcache.instances.applyParameters
instances.applySoftwareUpdate	memcache.instances.applySoftwareUpdate
operations.get	memcache.operations.get
operations.list	memcache.operations.list

Autorizzazioni dei criteri di manutenzione

La tabella seguente mostra le autorizzazioni necessarie per la gestione dei criteri di manutenzione per Memorystore for Memcached.

Autorizzazioni necessarie	Crea un'istanza Memorystore con un criterio di manutenzione abilitato	Crea o modifica i criteri di manutenzione su un'istanza Memorystore esistente	Visualizzazione delle impostazioni dei criteri di manutenzione	Riprogrammazione della manutenzione in corso...
memcache.instances.create	✓	X	X	X
memcache.instances.update	X	✓	X	X
memcache.instances.get	X	X	✓	X
memcache.instances.rescheduleMaintenance	X	X	X	✓

Passaggi successivi

• Monitora le istanze Memcached.
• Visualizza gli audit log per l'istanza Memcached.