Autorizzazioni IAM per i comandi gsutil

La tabella seguente elenca le autorizzazioni di Identity and Access Management (IAM) necessarie per eseguire ciascun comando gsutil di Cloud Storage su una determinata risorsa. Le autorizzazioni IAM vengono raggruppate per creare i ruoli. Puoi concedere ruoli a utenti e gruppi.

In questa pagina sono inoltre disponibili informazioni su:

• Utilizzo di comandi aggiuntivi che si applicano solo ai bucket con accesso uniforme a livello di bucket disabilitato

• Utilizzare caratteri jolly e flag ricorsivi

• Utilizzo del flag -u per specificare i progetti per la fatturazione

• Utilizzo del flag -m per eseguire operazioni in parallelo

Comando	Sottocomando	Risorsa in cui puoi concedere il ruolo	Autorizzazioni IAM richieste
autoclass	get	Bucket	storage.buckets.get
autoclass	set	Bucket	storage.buckets.update
cat		Oggetti	storage.objects.get
compose		Oggetti	storage.objects.get storage.objects.create storage.objects.delete^1
config			Nessuna
cors	get	Bucket	storage.buckets.get
cors	set	Bucket	storage.buckets.update
cp		Oggetti	storage.objects.list^2 (per il bucket di destinazione) storage.objects.get (per gli oggetti di origine) storage.objects.create (per il bucket di destinazione) storage.objects.delete^3 (per il bucket di destinazione)
defstorageclass	get	Bucket	storage.buckets.get
defstorageclass	set	Bucket	storage.buckets.update
du		Oggetti	storage.objects.get
hash		Oggetti	storage.objects.get
help			Nessuna
hmacKeys	create	Chiavi HMAC	storage.hmacKeys.create
hmacKeys	delete	Chiavi HMAC	storage.hmacKeys.delete
hmacKeys	get	Chiavi HMAC	storage.hmacKeys.get
hmacKeys	list	Chiavi HMAC	storage.hmacKeys.list
hmacKeys	update	Chiavi HMAC	storage.hmacKeys.update
iam	get	Bucket	storage.buckets.get storage.buckets.getIamPolicy
iam	set o ch	Bucket	storage.buckets.get storage.buckets.getIamPolicy storage.buckets.setIamPolicy storage.buckets.update
kms	authorize	Progetti	resourceManager.projects.get iam.serviceAccounts.create^4 cloudkms.cryptoKeys.setIamPolicy (per la chiave Cloud KMS da autorizzare)
kms	encryption	Bucket	storage.buckets.get
kms	encryption -d	Bucket	storage.buckets.get storage.buckets.update
kms	encryption -k	Bucket, progetti^5	storage.buckets.get storage.buckets.update resourceManager.projects.get^5 cloudkms.cryptoKeys.setIamPolicy^5
kms	serviceaccount	Progetti	resourceManager.projects.get
label	get	Bucket	storage.buckets.get
label	set/ch	Bucket	storage.buckets.update
lifecycle	get	Bucket	storage.buckets.get
lifecycle	set/ch	Bucket	storage.buckets.update
logging	get	Bucket	storage.buckets.get
logging	set	Bucket	storage.buckets.update
ls		Progetti	storage.buckets.list storage.buckets.getIamPolicy^6
ls		Bucket, oggetti	storage.objects.list storage.objects.getIamPolicy^7
ls -b		Bucket	storage.buckets.get storage.buckets.getIamPolicy^6
mb		Bucket	storage.buckets.create
mv		Oggetti	storage.objects.list^2 (per il bucket di destinazione) storage.objects.get (per gli oggetti di origine) storage.objects.create (per il bucket di destinazione) storage.objects.delete (per il bucket di origine) storage.objects.delete^3 (per il bucket di destinazione)
notification	create	Bucket	storage.buckets.update pubsub.topics.get (per il progetto contenente l'argomento Pub/Sub) pubsub.topics.create^8 (per il progetto contenente l'argomento Pub/Sub) pubsub.topics.getIamPolicy (per l'argomento Pub/Sub che riceve le notifiche) pubsub.topics.setIamPolicy^8 (per l'argomento Pub/Sub che riceve notifiche)
notification	create -s	Bucket	storage.buckets.update
notification	delete	Bucket	storage.buckets.get storage.buckets.update
notification	list	Bucket	storage.buckets.get
notification	watchbucket	Bucket	storage.buckets.update
notification	stopchannel	Bucket	storage.buckets.update
pap	get	Bucket	storage.buckets.get
pap	set	Bucket	storage.buckets.get storage.buckets.update storage.buckets.setIamPolicy^10
perfdiag		Bucket	storage.buckets.get storage.objects.create storage.objects.delete storage.objects.list storage.objects.get
rb		Bucket	storage.buckets.delete
requesterpays	get	Bucket	storage.buckets.get
requesterpays	set on	Bucket	storage.buckets.update
requesterpays	set off	Bucket	storage.buckets.update resourcemanager.projects.createBillingAssignment^9
retention	clear, event-default, lock o set	Bucket	storage.buckets.update
retention	event o temp	Oggetti	storage.objects.get storage.objects.list storage.objects.update
retention	get	Bucket	storage.buckets.get
rewrite -k		Oggetti	storage.objects.list storage.objects.get storage.objects.create storage.objects.delete
rewrite -s		Oggetti	storage.objects.list storage.objects.get storage.objects.create storage.objects.delete storage.objects.update
rm		Bucket	storage.buckets.delete storage.objects.delete storage.objects.list
rm		Oggetti	storage.objects.delete storage.objects.list
rpo	get	Bucket	storage.buckets.get
rpo	set	Bucket	storage.buckets.get storage.buckets.update
rsync		Oggetti	storage.objects.get (per gli oggetti di origine e il bucket di destinazione) storage.objects.create (per il bucket di destinazione) storage.objects.delete^11 (per il bucket di destinazione) storage.objects.list (per i bucket di origine e di destinazione)
rsync -n		Oggetti	storage.objects.list (per i bucket di origine e di destinazione)
setmeta		Oggetti	storage.objects.get storage.objects.list storage.objects.update
signurl			Nessuna; tuttavia, l'account di servizio la cui chiave viene utilizzata come parte di questo comando deve disporre dell'autorizzazione per eseguire la richiesta che viene codificata nell'URL firmato.
stat		Oggetti	storage.objects.get
test			Nessuna
ubla	set	Bucket	storage.buckets.get storage.buckets.update
ubla	get	Bucket	storage.buckets.get
update			Nessuna
version			Nessuna
versioning	get	Bucket	storage.buckets.get
versioning	set	Bucket	storage.buckets.update
web	get	Bucket	storage.buckets.get
web	set	Bucket	storage.buckets.update

¹ Questa autorizzazione è richiesta solo se l'oggetto composto ha lo stesso nome di un oggetto già esistente nel bucket.

² Questa autorizzazione è richiesta solo se la destinazione nel comando contiene un percorso dell'oggetto.

³Questa autorizzazione è richiesta solo se utilizzi i caricamenti compositi paralleli o se non utilizzi il flag -n, ma inserisci un oggetto che ha lo stesso nome di un oggetto già esistente nel bucket.

⁴Questa autorizzazione è necessaria solo se al progetto non è associato un account di servizio Cloud Storage.

⁵ Se utilizzi gsutil kms encryption -k e l'account di servizio del progetto non dispone dell'autorizzazione per accedere alla chiave Cloud KMS richiesta, gsutil esegue gsutil kms authorize per concedere al tuo account di servizio l'autorizzazione richiesta.

⁶Questa autorizzazione è necessaria solo se vuoi che i criteri IAM siano inclusi nei dettagli.

⁷Questa autorizzazione è necessaria solo se vuoi includere i criteri IAM nei dettagli e non si applica ai bucket in cui è abilitato l'accesso uniforme a livello di bucket.

⁸Queste autorizzazioni non sono necessarie se l'argomento esiste già e l'account di servizio pertinente ha accesso all'argomento.

⁹Questa autorizzazione è necessaria solo se non includi un progetto di fatturazione nella richiesta. Per ulteriori informazioni, consulta i requisiti di utilizzo e accesso relativi ai pagamenti a carico del richiedente.

¹⁰Questa autorizzazione non è necessaria se il comando non modifica l'impostazione del bucket.

¹¹Questa autorizzazione è necessaria solo se utilizzi il flag -d o se inserisci un oggetto che ha lo stesso nome ma dati diversi rispetto a un oggetto che esiste già nel bucket.

Nota: le autorizzazioni elencate nella tabella riportata sopra ti consentono di utilizzare i comandi. Alcuni comandi impostano configurazioni del bucket che non funzionano senza autorizzazioni aggiuntive. Ad esempio, gsutil notification create richiede solo storage.buckets.update, ma devi disporre di autorizzazioni aggiuntive affinché la funzionalità funzioni correttamente.

Metodi correlati all'ACL

La tabella seguente elenca le autorizzazioni IAM necessarie per eseguire i comandi gsutil che si applicano specificamente alla gestione degli ACL. Questi comandi si applicano solo ai bucket in cui l'impostazione Accesso uniforme a livello di bucket è disabilitata.

Comando	Sottocomando	Azione eseguita sulla risorsa	Autorizzazioni IAM richieste
acl	get	Bucket	storage.buckets.get storage.buckets.getIamPolicy
acl	set o ch	Bucket	storage.buckets.get storage.buckets.getIamPolicy storage.buckets.setIamPolicy storage.buckets.update
acl	get	Oggetti	storage.objects.get storage.objects.getIamPolicy
acl	set o ch	Oggetti	storage.objects.get storage.objects.getIamPolicy storage.objects.setIamPolicy storage.objects.update
cp -a o cp -p		Oggetti	storage.objects.list^a (per il bucket di destinazione) storage.objects.get (per gli oggetti di origine) storage.objects.create (per il bucket di destinazione) storage.objects.delete^b (per il bucket di destinazione) storage.objects.getIamPolicy (per gli oggetti di origine) storage.objects.setIamPolicy (per il bucket di destinazione)
defacl	get	Bucket	storage.buckets.get storage.buckets.getIamPolicy
defacl	set o ch	Bucket	storage.buckets.get storage.buckets.getIamPolicy storage.buckets.setIamPolicy storage.buckets.update
iam	get	Oggetti	storage.objects.get storage.objects.getIamPolicy
iam	set o ch	Oggetti	storage.objects.get storage.objects.getIamPolicy storage.objects.setIamPolicy storage.objects.update
mv -a o mv -p		Oggetti	storage.objects.list^a (per il bucket di destinazione) storage.objects.get (per gli oggetti di origine) storage.objects.create (per il bucket di destinazione) storage.objects.delete (per il bucket di origine) storage.objects.delete^b (per il bucket di destinazione) storage.objects.getIamPolicy (per gli oggetti di origine) storage.objects.setIamPolicy (per il bucket di destinazione)
rsync -a oppure rsync -p		Oggetti	storage.objects.get (per gli oggetti di origine e il bucket di destinazione) storage.objects.create (per il bucket di destinazione) storage.objects.delete^c (per il bucket di destinazione) storage.objects.list (per i bucket di origine e di destinazione) storage.objects.getIamPolicy (per gli oggetti di origine) storage.objects.setIamPolicy (per il bucket di destinazione)

^a Questa autorizzazione è richiesta solo se la destinazione nel comando contiene un percorso dell'oggetto.

^bQuesta autorizzazione è richiesta solo se utilizzi i caricamenti compositi paralleli o se non utilizzi il flag -n, ma inserisci un oggetto che ha lo stesso nome di un oggetto già esistente nel bucket.

^cQuesta autorizzazione è necessaria solo se utilizzi il flag -d o se inserisci un oggetto che ha lo stesso nome ma dati diversi rispetto a un oggetto che esiste già nel bucket.

La bandiera di primo livello -u

Se utilizzi il flag globale -u per specificare un progetto che deve essere fatturato per la tua richiesta, devi disporre dell'autorizzazione serviceusage.services.use per il progetto specificato. Il flag -u viene utilizzato, ad esempio, quando si accede a un bucket in cui è abilitato Requester Pays (Pagamenti a carico del richiedente).

Caratteri jolly e flag ricorsivi

Se utilizzi i caratteri jolly URI per selezionare più oggetti in un comando, devi disporre dell'autorizzazione storage.objects.list per il bucket che contiene gli oggetti. Allo stesso modo, se utilizzi caratteri jolly URI per selezionare più bucket in un comando, devi disporre dell'autorizzazione storage.buckets.list per i progetti contenenti i bucket.

Se utilizzi i flag ricorsivi (-r e -R), devi disporre dell'autorizzazione storage.objects.list per il bucket pertinente, oltre alle autorizzazioni richieste per il comando specifico che stai utilizzando.

La bandiera di primo livello -m

Normalmente, se utilizzi un comando gsutil che agisce su più oggetti o bucket, non riesce al primo errore. Tuttavia, quando utilizzi il flag globale -m, gsutil registra gli eventuali errori riscontrati e continua con l'operazione.

Ad esempio, supponi di provare a eseguire un comando acl set su una serie di oggetti, ma di disporre dell'autorizzazione per farlo solo su alcuni oggetti. Se non utilizzi il flag -m, gsutil applica gli ACL correttamente finché non raggiunge un oggetto a cui non hai l'autorizzazione per applicare un ACL. A quel punto, gsutil non va a buon fine. Se utilizzi il flag -m, gsutil registra gli errori che si verificano quando tenta di applicare un ACL a un oggetto per il quale non hai l'autorizzazione, ma continua con l'operazione.

Passaggi successivi

• Assegna i ruoli IAM a livello di progetto e bucket.
• Esamina i ruoli IAM che contengono autorizzazioni di Cloud Storage.