Autorisations IAM pour Google Cloud Console

La page suivante présente les autorisations IAM (gestion de l'authentification et des accès) requises pour effectuer des actions dans la partie Cloud Storage de la console Google Cloud. Les autorisations IAM sont regroupées pour créer des rôles, que vous attribuez à des utilisateurs et à des groupes.

Autorisations courantes requises pour utiliser la console Google Cloud

Certaines autorisations sont généralement nécessaires pour utiliser la console Google Cloud :

Toutes les actions impliquant des buckets doivent inclure les autorisations resourcemanager.projects.get et storage.buckets.list au niveau du projet.

Ces autorisations vous permettent d'accéder à la page "Buckets", où vous pouvez créer, afficher et mettre à jour des buckets.
Toutes les actions qui incluent un projet de facturation dans la requête nécessitent l'autorisation serviceusage.services.use pour le projet spécifié.

Cette autorisation vous permet de facturer le projet que vous spécifiez. y compris d'utiliser un projet de facturation, par exemple lorsque vous accédez à un bucket pour lequel l'option Paiements du demandeur est activée.

Autorisations requises pour des actions spécifiques

Action	Autorisations IAM requises (en plus de celles répertoriées ci-dessus)
Créer un bucket	`storage.buckets.create` `storage.buckets.enableObjectRetention`¹
Associer un tag à un bucket	`storage.buckets.createTagBinding`
Répertorier ou filtrer les buckets	Pas d'autorisations supplémentaires
Répertorier les tags directement associés à un bucket	`storage.buckets.listTagBindings`
Répertorier les tags hérités et les tags directement associés à un bucket	`storage.buckets.listEffectiveTags`
Affichez les informations suivantes sur le bucket : Emplacement, état de réplication et classe de stockage par défaut Paramètres de protection Étiquettes de buckets Stratégies relatives au cycle de vie des objets État de la protection contre l'accès public État d'accès uniforme au niveau du bucket État de la classe automatique Configuration du site Web	`storage.buckets.get`
Modifiez les paramètres du bucket suivant : Paramètres de protection Classe de stockage par défaut Étiquettes de buckets Stratégies relatives au cycle de vie des objets État d'accès uniforme au niveau du bucket État de la classe automatique Configuration du site Web	`storage.buckets.get` `storage.buckets.update`
Activer la fonctionnalité "Paiements du demandeur"	`storage.buckets.get` `storage.buckets.update`
Désactiver la fonctionnalité "Paiements du demandeur"	`storage.buckets.get` `storage.buckets.update` `resourcemanager.projects.createBillingAssignment`³
Modifier le paramètre de protection contre l'accès public	`storage.buckets.get` `storage.buckets.setIamPolicy` `storage.buckets.update`
Modifier les autorisations relatives à un bucket	`storage.buckets.get` `storage.buckets.getIamPolicy` `storage.buckets.setIamPolicy` `storage.buckets.update`
Supprimer un bucket vide	`storage.buckets.delete` `storage.objects.list`
Supprimer un bucket non vide	`storage.buckets.delete` `storage.objects.delete` `storage.objects.list`
Dissocier un tag d'un bucket	`storage.buckets.deleteTagBinding`
Créer un dossier	`storage.folders.create`
Obtenir les métadonnées d'un dossier	`storage.folders.get`
Répertorier les dossiers	`storage.folders.list`
Renommer des dossiers	`storage.folders.rename` (pour le bucket source) `storage.folders.create` (pour le bucket de destination)
Supprimer des dossiers	`storage.folders.delete`
Importer un objet ou un dossier d'objets	`storage.objects.create` `storage.objects.delete`² `storage.objects.setRetention`⁴
Afficher les détails d'un objet⁵	`storage.objects.get` `storage.objects.list`
Afficher l'historique des versions d'un objet	`storage.objects.get` `storage.objects.list`
Télécharger un objet⁵ ou un dossier d'objets	`storage.objects.get` `storage.objects.list`
Répertorier les objets d'un bucket, y compris les objets archivés et supprimés de façon réversible	`storage.objects.list`
Déterminer si un objet est accessible au public⁵	`storage.buckets.getIamPolicy` `storage.objects.list` `storage.objects.getIamPolicy`⁷
Renommer un objet ou restaurer une version archivée d'un objet	`storage.objects.create` `storage.objects.delete` `storage.objects.get` `storage.objects.list` `storage.objects.getIamPolicy`⁷ `storage.objects.setIamPolicy`⁷
Copier un objet	`storage.objects.create` (pour le bucket de destination) `storage.objects.delete`² (pour le bucket de destination) `storage.objects.get` (pour l'objet source) `storage.objects.list` (pour le bucket source et le bucket de destination) `storage.objects.getIamPolicy`^7,8 (pour l'objet source) `storage.objects.setIamPolicy`^7,8 (pour le bucket de destination)
Déplacer un objet	`storage.objects.create` (pour le bucket de destination) `storage.objects.delete`² (pour le bucket de destination) `storage.objects.delete` (pour le bucket source) `storage.objects.get` (pour l'objet source) `storage.objects.list` (pour le bucket source et le bucket de destination) `storage.objects.getIamPolicy`^7,8 (pour l'objet source) `storage.objects.setIamPolicy`^7,8 (pour le bucket de destination)
Afficher les autorisations d'accès pour un objet^5,6	`storage.objects.get` `storage.objects.list` `storage.objects.getIamPolicy`
Modifier les autorisations d'accès pour un objet^5,6	`storage.objects.get` `storage.objects.list` `storage.objects.getIamPolicy` `storage.objects.setIamPolicy` `storage.objects.update`
Modifier les métadonnées d'un objet⁵	`storage.objects.get` `storage.objects.list` `storage.objects.update`
Ajouter, modifier ou supprimer une configuration de conservation sur un objet⁵	`storage.objects.get` `storage.objects.list` `storage.objects.update` `storage.objects.setRetention` `storage.objects.overrideUnlockedRetention`⁹
Ajouter ou supprimer une préservation sur un objet⁵	`storage.objects.get` `storage.objects.list` `storage.objects.update`
Supprimer un objet⁵, une version archivée d'un objet ou un dossier d'objets	`storage.objects.delete` `storage.objects.list`
Restaurer un objet supprimé	`storage.objects.create` `storage.objects.delete`² `storage.objects.list` `storage.objects.restore`
Effectuer une restauration groupée des objets supprimés	`storage.objects.create` `storage.objects.delete`¹⁰ `storage.objects.restore` `storage.buckets.restore` `storage.objects.setIamPolicy`⁷^,11
Afficher le nom de l'agent de service Cloud Storage d'un projet	`resourcemanager.projects.get`
Afficher les clés HMAC de compte de service pour un projet	`resourcemanager.projects.get` `storage.hmacKeys.list`
Créer une clé HMAC pour un compte de service	`resourcemanager.projects.get` `storage.hmacKeys.list` `storage.hmacKeys.create`
Désactiver ou réactiver une clé HMAC pour un compte de service	`resourcemanager.projects.get` `storage.hmacKeys.list` `storage.hmacKeys.update`
Supprimer une clé HMAC pour un compte de service	`resourcemanager.projects.get` `storage.hmacKeys.list` `storage.hmacKeys.delete`
Créer, afficher ou supprimer une clé HMAC pour le compte utilisateur avec lequel vous êtes connecté	`resourcemanager.projects.get`

¹ Cette autorisation n'est requise que si vous activez un bucket pour assurer la compatibilité avec les configurations de conservation des objets.

² Cette autorisation n'est requise que si un objet portant le même nom existe déjà dans le bucket de destination.

³ Cette autorisation n'est nécessaire que si vous n'incluez pas de projet de facturation dans votre requête. Pour plus d'informations, consultez la section Exigences relatives à l'utilisation et aux accès sur la page "Paiements du demandeur".

⁴ Cette autorisation n'est requise que si vous ajoutez une configuration de conservation lors de l'importation de l'objet.

⁵ Cette action ne nécessite pas storage.objects.list si elle est effectuée sur la page des détails de l'objet concerné et que vous n'accédez pas à la page des détails de la liste globale des objets pour le bucket.

⁶ Cette action ne s'applique pas aux buckets pour lesquels l'accès uniforme au niveau du bucket est activé.

⁷ Cette autorisation ne s'applique pas aux buckets pour lesquels l'accès uniforme au niveau du bucket est activé.

⁸ Cette autorisation n'est nécessaire que si vous conservez les autorisations actuellement appliquées à l'objet source.

⁹ Cette autorisation est requise pour modifier une configuration de conservation existante de sorte qu'elle soit verrouillée, réduite ou supprimée.

¹⁰ Cette autorisation n'est requise que si un objet portant le même nom existe déjà dans le bucket de destination et que vous sélectionnez l'option Écraser les objets actifs.

¹¹ Cette autorisation n'est requise que lorsque vous sélectionnez l'option Copier les contrôles d'accès sources (LCA).

Étapes suivantes

Consultez la page Rôles IAM pour Cloud Storage pour découvrir la liste des rôles et les autorisations qu'ils comprennent.
Attribuez des rôles IAM au niveau du projet et du bucket.