Permisos de IAM para la consola de Google Cloud

En la siguiente página, se analizan los permisos de Identity and Access Management (IAM) necesarios para realizar acciones dentro de la parte de Cloud Storage de la consola. Los permisos de IAM se agrupan para crear roles, y tú asignas roles a usuarios y grupos.

Permisos comunes necesarios para usar la consola

Algunos permisos son necesarios de forma amplia para usar la consola:

Todas las acciones que involucran buckets deben incluir los permisos resourcemanager.projects.get y storage.buckets.list a nivel del proyecto.

Estos permisos te permiten acceder a la página Buckets, en la que puedes crear, ver y actualizar buckets.
Todas las acciones que incluyen un proyecto de facturación en la solicitud requieren el permiso serviceusage.services.use para el proyecto que se especifica.

Este permiso te asegura la autorización para facturar el proyecto que especificaste. La inclusión de un proyecto de facturación se usa, por ejemplo, cuando accedes a un depósito con los pagos del solicitante habilitados.

Permisos necesarios para acciones específicas

Acción	Permisos necesarios de IAM (además de los ya enumerados)
Cree un bucket	`storage.buckets.create`
Crea una etiqueta de bucket	`storage.buckets.createTagBinding`
Hacer una lista de buckets o filtrarlos	No se necesitan permisos adicionales
Enumerar etiquetas del bucket	`storage.buckets.listTagBindings`
Observa la siguiente información del bucket: Ubicación, etiquetas y clase de almacenamiento predeterminada Políticas del ciclo de vida del objeto Estado del control de versiones de objetos Política de retención y estado de bloqueo Estado de prevención del acceso público Estado del acceso uniforme a nivel del bucket Parámetro de configuración predeterminado de retención basada en eventos Clave predeterminada de Cloud Key Management Service Configuración del sitio web	`storage.buckets.get`
Cambia la siguiente configuración de bucket: Etiquetas y clase de almacenamiento predeterminada Políticas del ciclo de vida del objeto Estado del control de versiones de objetos Política de retención, incluido el bloqueo del bucket Estado del acceso uniforme a nivel del bucket Estado predeterminado de conservación basada en eventos Clave predeterminada de Cloud Key Management Service Configuración del sitio web	`storage.buckets.get` `storage.buckets.update`
Habilitar la función de pagos del solicitante	`storage.buckets.get` `storage.buckets.update`
Inhabilitar la función de pagos del solicitante	`storage.buckets.get` `storage.buckets.update` `resourcemanager.projects.createBillingAssignment`³
Cambia la configuración de prevención del acceso público	`storage.buckets.get` `storage.buckets.setIamPolicy` `storage.buckets.update`
Cambiar los permisos del bucket	`storage.buckets.get` `storage.buckets.getIamPolicy` `storage.buckets.setIamPolicy` `storage.buckets.update`
Borrar un bucket vacío	`storage.buckets.delete` `storage.objects.list`
Borrar un bucket que no esté vacío	`storage.buckets.delete` `storage.objects.delete` `storage.objects.list`
Borra una etiqueta de bucket	`storage.buckets.deleteTagBinding`
Subir un objeto o una carpeta de objetos	`storage.objects.create` `storage.objects.delete`¹
Ver los detalles de un objeto⁵	`storage.objects.get` `storage.objects.list`
Ver el historial de versiones de un objeto	`storage.objects.get` `storage.objects.list`
Descargar un objeto⁵ o una carpeta de objetos	`storage.objects.get` `storage.objects.list`
Hacer una lista de objetos de un bucket	`storage.objects.list`
Determinar si un objeto es de acceso público⁵	`storage.buckets.getIamPolicy` `storage.objects.list` `storage.objects.getIamPolicy`⁴
Cambiar el nombre de un objeto o restablecer una versión no actual de un objeto	`storage.objects.create` `storage.objects.delete` `storage.objects.get` `storage.objects.list` `storage.objects.getIamPolicy`⁴ `storage.objects.setIamPolicy`⁴
Copiar un objeto	`storage.objects.create` (para el bucket de destino) `storage.objects.delete`¹ (para el bucket de destino) `storage.objects.get` (para el objeto fuente) `storage.objects.list` (para el bucket de origen y el de destino) `storage.objects.getIamPolicy`^2,4 (para el bucket de origen) `storage.objects.setIamPolicy`^2,4 (para el bucket de destino)
Mover un objeto	`storage.objects.create` (para el bucket de destino) `storage.objects.delete`¹ (para el bucket de destino) `storage.objects.delete` (para el bucket de origen) `storage.objects.get` (para el bucket de origen) `storage.objects.list` (para el bucket de origen y el de destino) `storage.objects.getIamPolicy`^2,4 (para el bucket de origen) `storage.objects.setIamPolicy`^2,4 (para el bucket de destino)
Ver los permisos de acceso de un objeto^5,6	`storage.objects.get` `storage.objects.list` `storage.objects.getIamPolicy`
Editar los permisos de acceso de un objeto^5,6	`storage.objects.get` `storage.objects.list` `storage.objects.getIamPolicy` `storage.objects.setIamPolicy` `storage.objects.update`
Edita los metadatos de un objeto.⁵	`storage.objects.get` `storage.objects.list` `storage.objects.update`
Agregar o quitar una conservación en un objeto⁵	`storage.objects.get` `storage.objects.list` `storage.objects.update`
Borrar un objeto⁵, una versión no actual de un objeto o una carpeta de objetos	`storage.objects.delete` `storage.objects.list`
Ver las claves HMAC de un proyecto	`resourcemanager.projects.get` `storage.hmacKeys.list`
Crear una clave HMAC para una cuenta de servicio	`resourcemanager.projects.get` `storage.hmacKeys.list` `storage.hmacKeys.create`
Inhabilitar o volver a habilitar una clave HMAC para una cuenta de servicio	`resourcemanager.projects.get` `storage.hmacKeys.list` `storage.hmacKeys.update`
Borrar una clave HMAC para una cuenta de servicio	`resourcemanager.projects.get` `storage.hmacKeys.list` `storage.hmacKeys.delete`

¹Este permiso solo es necesario si ya existe un objeto con el mismo nombre en el bucket de destino.

² Este permiso solo es necesario cuando se mantienen los permisos que se aplican en la actualidad al objeto de origen.

³ Este permiso solo es necesario si no incluyes un proyecto de facturación en tu solicitud. Consulta los requisitos de uso y acceso de los Pagos del solicitante para obtener más información.

⁴ Este permiso no se aplica a los depósitos que tengan el acceso uniforme a nivel de depósito habilitado.

⁵ Esta acción no requiere storage.objects.list si se realiza en la página de detalles del objeto relevante y no accedes a ella desde la lista general de objetos para el bucket.

⁶ Esta acción no se aplica a los depósitos que tengan el acceso uniforme a nivel de depósito habilitado.

¿Qué sigue?

A fin de obtener una lista de roles y los permisos que contienen, consulta Roles de IAM para Cloud Storage.
Asigna roles de IAM a nivel de proyecto y de bucket.