Permissões do IAM para o Console do Google Cloud

A página a seguir discute as permissões do Identity and Access Management (IAM) necessárias para executar ações na parte do Cloud Storage do Cloud console. As permissões do IAM são agrupadas para criar papéis, que você concede a usuários e grupos.

Permissões comuns necessárias para usar o console do Google Cloud

Algumas permissões são necessárias para usar o console do Google Cloud:

• Todas as ações que envolvem buckets precisam incluir as permissões resourcemanager.projects.get e storage.buckets.list para envolvidos no projeto.

  Com essas permissões, é possível acessar a página "Buckets", em que você cria, visualiza e atualiza buckets.

• Todas as ações que incluem um projeto de faturamento na solicitação exigem a permissão serviceusage.services.use para o projeto especificado.

  Essa permissão garante que você tenha autorização para faturar o projeto especificado. Você inclui um projeto de faturamento, por exemplo, ao acessar um bucket com pagamentos do solicitante ativado.

Permissões obrigatórias para ações específicas

Ação	Permissões de IAM obrigatórias (além das listadas acima)
criar um bucket	storage.buckets.create storage.buckets.enableObjectRetention^1
Anexar uma tag a um bucket	storage.buckets.createTagBinding
Listar ou filtrar buckets	Nenhuma permissão extra
Listar tags anexadas diretamente a um bucket	storage.buckets.listTagBindings
Listar as tags herdadas e as anexadas diretamente a um bucket	storage.buckets.listEffectiveTags
Visualize as seguintes informações do bucket: Local, status de replicação e classe de armazenamento padrão Configurações de proteção Rótulos de intervalos Políticas do ciclo de vida do objeto Status da prevenção de acesso público Status de acesso uniforme no nível do bucket Status da classe automática Configuração do site	storage.buckets.get
Altere as seguintes configurações do bucket: Configurações de proteção Classe de armazenamento padrão Rótulos de intervalos Políticas do ciclo de vida do objeto Status de acesso uniforme no nível do bucket Status da classe automática Configuração do site	storage.buckets.get storage.buckets.update
Ativar o recurso Pagamentos do solicitante	storage.buckets.get storage.buckets.update
Desativar o recurso Pagamentos do solicitante	storage.buckets.get storage.buckets.update resourcemanager.projects.createBillingAssignment^3
Alterar a configuração de prevenção de acesso público	storage.buckets.get storage.buckets.setIamPolicy storage.buckets.update
Alterar permissões do bucket	storage.buckets.get storage.buckets.getIamPolicy storage.buckets.setIamPolicy storage.buckets.update
Excluir um bucket vazio	storage.buckets.delete storage.objects.list
Excluir um bucket não vazio	storage.buckets.delete storage.objects.delete storage.objects.list
Remover uma tag de um bucket	storage.buckets.deleteTagBinding
Criar uma pasta	storage.folders.create
Receber os metadados de uma pasta	storage.folders.get
Listar pastas	storage.folders.list
Renomear pastas	storage.folders.rename (para o bucket de origem) storage.folders.create (para o bucket de destino)
Excluir pastas	storage.folders.delete
Faça upload de um objeto ou de uma pasta de objetos	storage.objects.create storage.objects.delete^2 storage.objects.setRetention^4
Ver os detalhes de um objeto^5	storage.objects.get storage.objects.list
Visualizar o histórico de versões de um objeto	storage.objects.get storage.objects.list
Fazer o download de um objeto^5 ou de uma pasta de objetos	storage.objects.get storage.objects.list
Listar objetos em um bucket, incluindo objetos não atuais e excluídos de maneira reversível	storage.objects.list
Determinar se um objeto é acessível publicamente^5	storage.buckets.getIamPolicy storage.objects.list storage.objects.getIamPolicy^7
Renomear ou restaurar uma versão arquivada de um objeto	storage.objects.create storage.objects.delete storage.objects.get storage.objects.list storage.objects.getIamPolicy^7 storage.objects.setIamPolicy^7
Copiar um objeto	storage.objects.create (para o bucket de destino) storage.objects.delete^2 (para o bucket de destino) storage.objects.get (para o objeto de origem) storage.objects.list (para o bucket de origem e para o de destino) storage.objects.getIamPolicy^7,8 (para o objeto de origem) storage.objects.setIamPolicy^7,8 (para o bucket de destino)
Mover um objeto	storage.objects.create (para o bucket de destino) storage.objects.delete^2 (para o bucket de destino) storage.objects.delete (para o bucket de origem) storage.objects.get (para o objeto de origem) storage.objects.list (para o bucket de origem e para o de destino) storage.objects.getIamPolicy^7,8 (para o objeto de origem) storage.objects.setIamPolicy^7,8 (para o bucket de destino)
Ver as permissões de acesso de um objeto^5,6	storage.objects.get storage.objects.list storage.objects.getIamPolicy
Editar as permissões de acesso de um objeto^5,6	storage.objects.get storage.objects.list storage.objects.getIamPolicy storage.objects.setIamPolicy storage.objects.update
Editar os metadados de um objeto^5	storage.objects.get storage.objects.list storage.objects.update
Adicionar, alterar ou remover uma configuração de retenção em um objeto^5	storage.objects.get storage.objects.list storage.objects.update storage.objects.setRetention storage.objects.overrideUnlockedRetention^9
Adicionar ou remover uma retenção em um objeto^5	storage.objects.get storage.objects.list storage.objects.update
Excluir um objeto^5, uma versão arquivada de um objeto ou uma pasta de objetos	storage.objects.delete storage.objects.list
Restaurar um objeto excluído	storage.objects.create storage.objects.delete^2 storage.objects.list storage.objects.restore
Restaurar objetos excluídos em massa	storage.objects.create storage.objects.delete^10 storage.objects.restore storage.buckets.restore storage.objects.setIamPolicy^7^,11
Ver o nome do agente de serviço de um projeto do Cloud Storage	resourcemanager.projects.get
Ver as chaves HMAC da conta de serviço de um projeto	resourcemanager.projects.get storage.hmacKeys.list
Criar uma chave HMAC para uma conta de serviço	resourcemanager.projects.get storage.hmacKeys.list storage.hmacKeys.create
Desativar ou reativar uma chave HMAC de uma conta de serviço	resourcemanager.projects.get storage.hmacKeys.list storage.hmacKeys.update
Excluir uma chave HMAC de uma conta de serviço	resourcemanager.projects.get storage.hmacKeys.list storage.hmacKeys.delete
Crie, visualize ou exclua uma chave HMAC para a conta de usuário na qual você fez login	resourcemanager.projects.get

¹Essa permissão é obrigatória apenas quando você ativa um bucket para oferecer suporte a configurações de retenção de objetos.

²Essa permissão é obrigatória somente se já houver um objeto com o mesmo nome no bucket de destino.

³Essa permissão é obrigatória somente quando um projeto de faturamento não é incluído na solicitação. Consulte Requisitos de uso e acesso dos pagamentos do solicitante para mais informações.

⁴Essa permissão só é obrigatória ao adicionar uma configuração de retenção como parte do upload do objeto.

⁵Essa ação não requer storage.objects.list quando realizada na página de detalhes do objeto relevante, e você não acessa a página de detalhes da lista geral de objetos para o bucket.

⁶ Esta ação não se aplica a buckets com acesso uniforme no nível do intervalo ativado.

⁷ Essa permissão não se aplica a buckets com o acesso uniforme no nível do bucket ativado.

⁸Essa permissão é obrigatória somente quando são mantidas as permissões atualmente aplicadas ao objeto de origem.

⁹Essa permissão é necessária ao alterar uma configuração de retenção existente de modo que a configuração seja bloqueada, reduzida ou removida.

¹⁰Essa permissão só será obrigatória se um objeto com o mesmo nome já existir no bucket de destino e a opção Substituir objetos ativos for selecionada.

¹¹ Essa permissão só é obrigatória quando você seleciona a opção Copiar controles de acesso à origem (ACLs).

A seguir

• Veja uma lista de papéis e as permissões que eles contêm em Papéis do IAM para o Cloud Storage.

• Atribua papéis do IAM no nível do projeto e do bucket.