Permissões do IAM para o Console do Google Cloud

A página a seguir discute as permissões do Identity and Access Management (IAM) necessárias para executar ações na parte do Cloud Storage do Cloud console. As permissões do IAM são agrupadas para criar papéis, que você concede a usuários e grupos.

Permissões comuns necessárias para usar o console do Google Cloud

Algumas permissões são necessárias para usar o console do Google Cloud:

Todas as ações que envolvem buckets precisam incluir as permissões resourcemanager.projects.get e storage.buckets.list para envolvidos no projeto.

Com essas permissões, é possível acessar a página "Buckets", em que você cria, visualiza e atualiza buckets.
Todas as ações que incluem um projeto de faturamento na solicitação exigem a permissão serviceusage.services.use para o projeto especificado.

Essa permissão garante que você tenha autorização para faturar o projeto especificado. Você inclui um projeto de faturamento, por exemplo, ao acessar um bucket com pagamentos do solicitante ativado.

Permissões obrigatórias para ações específicas

Ação	Permissões de IAM obrigatórias (além das listadas acima)
criar um bucket	`storage.buckets.create` `storage.buckets.enableObjectRetention`¹
Anexar uma tag a um bucket	`storage.buckets.createTagBinding`
Listar ou filtrar buckets	Nenhuma permissão extra
Listar tags anexadas diretamente a um bucket	`storage.buckets.listTagBindings`
Listar as tags herdadas e as anexadas diretamente a um bucket	`storage.buckets.listEffectiveTags`
Visualize as seguintes informações do bucket: Local, status de replicação e classe de armazenamento padrão Configurações de proteção Rótulos de intervalos Políticas do ciclo de vida do objeto Status da prevenção de acesso público Status de acesso uniforme no nível do bucket Status da classe automática Configuração do site	`storage.buckets.get`
Altere as seguintes configurações do bucket: Configurações de proteção Classe de armazenamento padrão Rótulos de intervalos Políticas do ciclo de vida do objeto Status de acesso uniforme no nível do bucket Status da classe automática Configuração do site	`storage.buckets.get` `storage.buckets.update`
Ativar o recurso Pagamentos do solicitante	`storage.buckets.get` `storage.buckets.update`
Desativar o recurso Pagamentos do solicitante	`storage.buckets.get` `storage.buckets.update` `resourcemanager.projects.createBillingAssignment`³
Alterar a configuração de prevenção de acesso público	`storage.buckets.get` `storage.buckets.setIamPolicy` `storage.buckets.update`
Alterar permissões do bucket	`storage.buckets.get` `storage.buckets.getIamPolicy` `storage.buckets.setIamPolicy` `storage.buckets.update`
Excluir um bucket vazio	`storage.buckets.delete` `storage.objects.list`
Excluir um bucket não vazio	`storage.buckets.delete` `storage.objects.delete` `storage.objects.list`
Remover uma tag de um bucket	`storage.buckets.deleteTagBinding`
Faça upload de um objeto ou de uma pasta de objetos	`storage.objects.create` `storage.objects.delete`² `storage.objects.setRetention`⁴
Ver os detalhes de um objeto⁵	`storage.objects.get` `storage.objects.list`
Visualizar o histórico de versões de um objeto	`storage.objects.get` `storage.objects.list`
Fazer o download de um objeto⁵ ou de uma pasta de objetos	`storage.objects.get` `storage.objects.list`
Listar objetos em um bucket	`storage.objects.list`
Determinar se um objeto é acessível publicamente⁵	`storage.buckets.getIamPolicy` `storage.objects.list` `storage.objects.getIamPolicy`⁷
Renomear ou restaurar uma versão arquivada de um objeto	`storage.objects.create` `storage.objects.delete` `storage.objects.get` `storage.objects.list` `storage.objects.getIamPolicy`⁷ `storage.objects.setIamPolicy`⁷
Copiar um objeto	`storage.objects.create` (para o bucket de destino) `storage.objects.delete`² (para o bucket de destino) `storage.objects.get` (para o objeto de origem) `storage.objects.list` (para o bucket de origem e para o de destino) `storage.objects.getIamPolicy`^7,8 (para o objeto de origem) `storage.objects.setIamPolicy`^7,8 (para o bucket de destino)
Mover um objeto	`storage.objects.create` (para o bucket de destino) `storage.objects.delete`² (para o bucket de destino) `storage.objects.delete` (para o bucket de origem) `storage.objects.get` (para o objeto de origem) `storage.objects.list` (para o bucket de origem e para o de destino) `storage.objects.getIamPolicy`^7,8 (para o objeto de origem) `storage.objects.setIamPolicy`^7,8 (para o bucket de destino)
Ver as permissões de acesso de um objeto^5,6	`storage.objects.get` `storage.objects.list` `storage.objects.getIamPolicy`
Editar as permissões de acesso de um objeto^5,6	`storage.objects.get` `storage.objects.list` `storage.objects.getIamPolicy` `storage.objects.setIamPolicy` `storage.objects.update`
Editar os metadados de um objeto⁵	`storage.objects.get` `storage.objects.list` `storage.objects.update`
Adicionar, alterar ou remover uma configuração de retenção em um objeto⁵	`storage.objects.get` `storage.objects.list` `storage.objects.update` `storage.objects.setRetention` `storage.objects.overrideUnlockedRetention`⁹
Adicionar ou remover uma retenção em um objeto⁵	`storage.objects.get` `storage.objects.list` `storage.objects.update`
Excluir um objeto⁵, uma versão arquivada de um objeto ou uma pasta de objetos	`storage.objects.delete` `storage.objects.list`
Ver o nome do agente de serviço de um projeto do Cloud Storage	`resourcemanager.projects.get`
Ver as chaves HMAC da conta de serviço de um projeto	`resourcemanager.projects.get` `storage.hmacKeys.list`
Criar uma chave HMAC para uma conta de serviço	`resourcemanager.projects.get` `storage.hmacKeys.list` `storage.hmacKeys.create`
Desativar ou reativar uma chave HMAC de uma conta de serviço	`resourcemanager.projects.get` `storage.hmacKeys.list` `storage.hmacKeys.update`
Excluir uma chave HMAC de uma conta de serviço	`resourcemanager.projects.get` `storage.hmacKeys.list` `storage.hmacKeys.delete`
Crie, visualize ou exclua uma chave HMAC para a conta de usuário na qual você fez login	`resourcemanager.projects.get`

¹Essa permissão é obrigatória apenas quando você ativa um bucket para oferecer suporte a configurações de retenção de objetos.

²Essa permissão é obrigatória somente se já houver um objeto com o mesmo nome no bucket de destino.

³Essa permissão é obrigatória somente quando um projeto de faturamento não é incluído na solicitação. Consulte Requisitos de uso e acesso dos pagamentos do solicitante para mais informações.

⁴Essa permissão só é obrigatória ao adicionar uma configuração de retenção como parte do upload do objeto.

⁵Essa ação não requer storage.objects.list quando realizada na página de detalhes do objeto relevante, e você não acessa a página de detalhes da lista geral de objetos para o bucket.

⁶ Esta ação não se aplica a buckets com acesso uniforme no nível do intervalo ativado.

⁷ Essa permissão não se aplica a buckets com o acesso uniforme no nível do bucket ativado.

⁸Essa permissão é obrigatória somente quando são mantidas as permissões atualmente aplicadas ao objeto de origem.

⁹Essa permissão é necessária ao alterar uma configuração de retenção existente de modo que a configuração seja bloqueada, reduzida ou removida.

A seguir

Veja uma lista de papéis e as permissões que eles contêm em Papéis do IAM para o Cloud Storage.
Atribua papéis do IAM no nível do projeto e do bucket.