Control de acceso y permisos

En esta página, se describe cómo puedes controlar los permisos y el acceso a un proyecto de Memorystore para Redis mediante la administración de identidades y accesos (IAM).

Descripción general

Google Cloud ofrece IAM, que te permite otorgar acceso detallado a recursos específicos de Google Cloud y evita el acceso no deseado a otros recursos. En esta página, se describen las funciones y los permisos de IAM de Memorystore para Redis. Para obtener una descripción detallada de las funciones y los permisos, consulta la documentación de Cloud IAM.

Memorystore para Redis proporciona un conjunto de funciones predefinidas diseñadas con el fin de ayudarte a controlar fácilmente el acceso a tus recursos de Redis. Si las funciones predefinidas no proporcionan los conjuntos de permisos que necesitas, también puedes crear tus propias funciones personalizadas. Las funciones básicas anteriores (editor, visualizador y propietario) también están a tu disposición, aunque no proporcionan el mismo control detallado que las funciones de Memorystore para Redis. En particular, las funciones básicas brindan acceso a los recursos en Google Cloud, en lugar de solo a Memorystore para Redis. Para obtener más información sobre las funciones básicas, consulta las funciones básicas.

Permisos y funciones

En esta sección, se resumen los permisos y las funciones que admite Memorystore para Redis.

Funciones predefinidas

Memorystore para Redis proporciona algunas funciones predefinidas que puedes usar a fin de proporcionar permisos más específicos a los miembros del proyecto. La función que otorgas a un miembro del proyecto controla qué acciones puede realizar. Los miembros del proyecto pueden ser personas, grupos o cuentas de servicios.

Puedes otorgar múltiples funciones al mismo miembro del proyecto y, si tienes los permisos para hacerlo, puedes cambiar las funciones otorgadas a un miembro del proyecto en cualquier momento.

Las funciones más amplias incluyen las más estrechamente definidas. Por ejemplo, la función Editor de Redis incluye todos los permisos de la función Lector de Redis, junto con todos los permisos para la función Editor de Redis. Del mismo modo, la función Administrador de Redis incluye todos los permisos de la función Editor de Redis, junto con sus permisos adicionales.

Las funciones básicas (Propietario, Editor y Visualizador) proporcionan permisos en Google Cloud. Las funciones específicas de Memorystore para Redis solo proporcionan permisos de Memorystore para Redis, excepto los siguientes permisos de Google Cloud, que son necesarios para el uso general de Google Cloud:

resourcemanager.projects.get
resourcemanager.projects.list

En la siguiente tabla, se enumeran las funciones predefinidas disponibles de Memorystore para Redis, junto con sus permisos de Memorystore para Redis:

Función Nombre Permisos de Redis Descripción

roles/owner

Owner

redis.*

Acceso y control totales para todos los recursos de Google Cloud; administración del acceso de los usuarios

roles/editor

Editor Todos los permisos de redis , excepto *.getIamPolicy y .setIamPolicy Acceso de lectura y escritura a todos los recursos de Google Cloud y Redis (control total, excepto la capacidad de modificar permisos)

roles/viewer

Lector

redis.*.get redis.*.list

Acceso de solo lectura a todos los recursos de Google Cloud, incluidos los recursos de Redis

roles/redis.admin

Administrador de Redis

redis.*

Control total de todos los recursos de Memorystore para Redis.

roles/redis.editor

Editor de Redis Todos los permisos de redis, excepto

redis.instances.create redis.instances.delete redis.instances.upgrade redis.instances.import redis.instances.export redis.instances.updateAuth redis.instances.getAuthString redis.operations.delete

Administra instancias de Memorystore para Redis No se pueden crear ni borrar instancias.

roles/redis.viewer

Lector de Redis Todos los permisos de redis, excepto

redis.instances.create redis.instances.delete redis.instances.update redis.instances.upgrade redis.instances.import redis.instances.export redis.instances.updateAuth redis.instances.getAuthString redis.operations.delete

Acceso de solo lectura a todos los recursos de Memorystore para Redis.

Permisos y sus funciones

En la tabla siguiente, se enumeran los permisos que admite Memorystore para Redis y las funciones de Memorystore para Redis que lo incluyen:

Permiso Función de Redis Función básica

redis.instances.list

Administrador de Redis
Editor de Redis
Visualizador de Redis
Lector

redis.instances.get

Administrador de Redis
Editor de Redis
Visualizador de Redis
Lector

redis.instances.create

Administrador de Redis Writer

redis.instances.update

Administrador de Redis
Editor de Redis
Writer

redis.instances.updateAuth

Administrador de Redis Escritor

redis.instances.getAuthString

Administrador de Redis Escritor

redis.instances.delete

Administrador de Redis Escritor

redis.instances.upgrade

Administrador de Redis Escritor

redis.instances.import

Administrador de Redis Escritor

redis.instances.export

Administrador de Redis Writer

redis.locations.list

Administrador de Redis
Editor de Redis
Visualizador de Redis
Lector

redis.locations.get

Administrador de Redis
Editor de Redis
Visualizador de Redis
Lector

redis.operations.list

Administrador de Redis
Editor de Redis
Visualizador de Redis
Lector

redis.operations.get

Administrador de Redis
Editor de Redis
Visualizador de Redis
Lector

redis.operations.delete

Administrador de Redis Writer

Funciones personalizadas

Si las funciones predefinidas no responden a tus requisitos comerciales únicos, puedes definir tus propias funciones personalizadas con los permisos que especifiques. Para responder a estas necesidades, IAM ofrece funciones personalizadas. Cuando crees funciones personalizadas de Memorystore para Redis, asegúrate de incluir resourcemanager.projects.get y resourcemanager.projects.list. De lo contrario, Google Cloud Console no funcionará de forma correcta con Memorystore para Redis. Para obtener más información, consulta las dependencias de permisos.

Permisos necesarios para realizar tareas comunes en Cloud Console

A fin de permitir que un usuario trabaje con Memorystore para Redis mediante Cloud Console, la función del usuario debe incluir el permiso resourcemanager.projects.get y resourcemanager.projects.list.

En la tabla siguiente, se proporcionan los otros permisos necesarios para algunas tareas comunes en Cloud Console:

Tarea Permisos adicionales obligatorios
Mostrar la página de listas de instancias

redis.instances.get
redis.instances.list

Crear y editar una instancia

redis.instances.create
redis.instances.get
redis.instances.list
compute.networks.list

Borrar una instancia

redis.instances.delete
redis.instances.get
redis.instances.list

Conectar una instancia desde Cloud Shell

redis.instances.get
redis.instances.list
redis.instances.update

Ver información de instancias

redis.instances.get
monitoring.timeSeries.list

Importa y exporta archivos de copia de seguridad de RDB

redis.instances.import
redis.instances.export

Actualiza la versión de Redis de una instancia

redis.instances.upgrade

Permisos obligatorios para los comandos de gcloud

Para permitir que un usuario trabaje con Memorystore para Redis mediante los comandos de gcloud, la función del usuario debe incluir los permisos resourcemanager.projects.get y resourcemanager.projects.list.

En la siguiente tabla, se enumeran los permisos que debe tener el usuario que invoca un comando de gcloud para cada subcomando gcloud redis:

Comando Permisos necesarios
gcloud redis instances auth

redis.instances.updateAuth
redis.instances.getAuthString

gcloud redis instances create

redis.instances.get
redis.instances.create

gcloud redis instances delete

redis.instances.delete

gcloud redis instances update

redis.instances.get
redis.instances.update

gcloud redis instances list

redis.instances.list

gcloud redis instances describe

redis.instances.get

gcloud redis instances import

redis.instances.import

gcloud redis instances export

redis.instances.export

gcloud redis instances upgrade

redis.instances.upgrade

gcloud redis operations list

redis.operations.list

gcloud redis operations describe

redis.operations.get

gcloud redis regions list

redis.locations.list

gcloud redis regions describe

redis.locations.get

gcloud redis zones list

redis.locations.list

Permisos obligatorios para los métodos de API

En la siguiente tabla, se describen los permisos que debe tener el emisor a fin de llamar a cada método en la API de Memorystore para Redis o realizar las tareas con las herramientas de Google Cloud que usan la API (como Cloud Console o la herramienta de la línea de comandos gcloud):

Método Permisos necesarios

locations.get

redis.locations.get

locations.list

redis.locations.list

instances.create

redis.instances.create

instances.delete

redis.instances.delete

instances.get

redis.instances.get

instances.list

redis.instances.list

instances.patch

redis.instances.update

instances.import

redis.instances.import

instances.export

redis.instances.export

instances.upgrade

redis.instances.upgrade

operations.get

redis.operations.get

operations.list

redis.operations.list

Permisos AUTH de Redis

En la siguiente tabla, se muestran los permisos mínimos que un usuario necesita con el fin de completar algunas tareas básicas de AUTH de Memorystore para Redis.

Se necesitan permisos Crea una instancia de Memorystore con AUTH para Redis habilitado. Habilita o inhabilita AUTH en una instancia existente de Redis Visualiza la string AUTH Visualiza si AUTH está habilitado o inhabilitado para una instancia de Redis
redis.instances.create X X X
redis.instances.update X X X
redis.instances.get X X X
redis.instances.updateAuth X X
redis.instances.getAuthString X X X

¿Qué sigue?