Autorizzazioni IAM per i comandi gsutil

La tabella seguente elenca le autorizzazioni Identity and Access Management (IAM) necessario per eseguire ogni comando gsutil di Cloud Storage su una determinata risorsa. Le autorizzazioni IAM vengono raggruppate per formare i ruoli. Tu assegnare ruoli a utenti e gruppi.

In questa pagina sono inoltre disponibili informazioni su:

• Utilizzare comandi aggiuntivi che si applicano solo ai bucket con accesso uniforme a livello di bucket disabilitato

• Utilizzo di caratteri jolly e flag ricorsivi

• Utilizzo del flag -u per specificare i progetti per la fatturazione

• Utilizzo del flag -m per eseguire operazioni in parallelo

Comando	Sottocomando	Autorizzazioni IAM richieste
autoclass	get	storage.buckets.get
autoclass	set	storage.buckets.update
cat		storage.objects.get
compose		storage.objects.get storage.objects.create storage.objects.delete^1
config		Nessuno
cors	get	storage.buckets.get
cors	set	storage.buckets.update
cp		storage.objects.list^2 (per il bucket di destinazione) storage.objects.get (per gli oggetti di origine) storage.objects.create (per il bucket di destinazione) storage.objects.delete^3 (per il bucket di destinazione)
defstorageclass	get	storage.buckets.get
defstorageclass	set	storage.buckets.update
du		storage.objects.get
hash		storage.objects.get
help		Nessuno
hmacKeys	create	storage.hmacKeys.create
hmacKeys	delete	storage.hmacKeys.delete
hmacKeys	get	storage.hmacKeys.get
hmacKeys	list	storage.hmacKeys.list
hmacKeys	update	storage.hmacKeys.update
iam	get	storage.buckets.get storage.buckets.getIamPolicy
iam	set o ch	storage.buckets.get storage.buckets.getIamPolicy storage.buckets.setIamPolicy storage.buckets.update
kms	authorize	resourceManager.projects.get iam.serviceAccounts.create^4 cloudkms.cryptoKeys.setIamPolicy (per la chiave Cloud KMS da autorizzare)
kms	encryption	storage.buckets.get
kms	encryption -d	storage.buckets.get storage.buckets.update
kms	encryption -k	storage.buckets.get storage.buckets.update resourceManager.projects.get^5 cloudkms.cryptoKeys.setIamPolicy^5
kms	serviceaccount	resourceManager.projects.get
label	get	storage.buckets.get
label	set/ch	storage.buckets.update
lifecycle	get	storage.buckets.get
lifecycle	set/ch	storage.buckets.update
logging	get	storage.buckets.get
logging	set	storage.buckets.update
ls (elenco dei bucket)		storage.buckets.list storage.buckets.getIamPolicy^6
ls (oggetti della scheda)		storage.objects.list storage.objects.getIamPolicy^7
ls -b		storage.buckets.get storage.buckets.getIamPolicy^6
mb		storage.buckets.create
mv		storage.objects.list^2 (per il bucket di destinazione) storage.objects.get (per gli oggetti di origine) storage.objects.create (per il bucket di destinazione) storage.objects.delete (per il bucket di origine) storage.objects.delete^3 (per il bucket di destinazione)
notification	create	storage.buckets.update pubsub.topics.get (per il progetto contenente l'argomento Pub/Sub) pubsub.topics.create^8 (per il progetto contenente l'argomento Pub/Sub) pubsub.topics.getIamPolicy (per l'argomento Pub/Sub che riceve notifiche) pubsub.topics.setIamPolicy^8 (per l'argomento Pub/Sub che riceve notifiche)
notification	create -s	storage.buckets.update
notification	delete	storage.buckets.get storage.buckets.update
notification	list	storage.buckets.get
notification	watchbucket	storage.buckets.update
notification	stopchannel	storage.buckets.update
pap	get	storage.buckets.get
pap	set	storage.buckets.get storage.buckets.update storage.buckets.setIamPolicy^10
perfdiag		storage.buckets.get storage.objects.create storage.objects.delete storage.objects.list storage.objects.get
rb		storage.buckets.delete
requesterpays	get	storage.buckets.get
requesterpays	set on	storage.buckets.update
requesterpays	set off	storage.buckets.update resourcemanager.projects.createBillingAssignment^9
retention	clear, event-default, lock o set	storage.buckets.update
retention	event o temp	storage.objects.get storage.objects.list storage.objects.update
retention	get	storage.buckets.get
rewrite -k		storage.objects.list storage.objects.get storage.objects.create storage.objects.delete
rewrite -s		storage.objects.list storage.objects.get storage.objects.create storage.objects.delete storage.objects.update
rm		storage.objects.delete
rm -a		storage.objects.delete storage.objects.list
rm -r (eliminazione di un bucket)		storage.buckets.delete storage.objects.delete storage.objects.list
rpo	get	storage.buckets.get
rpo	set	storage.buckets.get storage.buckets.update
rsync		storage.objects.get (per gli oggetti di origine e il bucket di destinazione) storage.objects.create (per il bucket di destinazione) storage.objects.delete^11 (per il bucket di destinazione) storage.objects.list (per i bucket di origine e di destinazione)
rsync -n		storage.objects.list (per i bucket di origine e di destinazione)
setmeta		storage.objects.get storage.objects.list storage.objects.update
signurl		Nessuno. Tuttavia, l'account di servizio di cui viene utilizzata la chiave nell'ambito di questo comando deve disporre dell'autorizzazione per eseguire la richiesta codificata nell'URL firmato.
stat		storage.objects.get
test		Nessuno
ubla	set	storage.buckets.get storage.buckets.update
ubla	get	storage.buckets.get
update		Nessuno
version		Nessuno
versioning	get	storage.buckets.get
versioning	set	storage.buckets.update
web	get	storage.buckets.get
web	set	storage.buckets.update

¹Questa autorizzazione è necessaria solo se l'oggetto composto ha lo stesso nome di un oggetto esistente nel bucket.

² Questa autorizzazione è richiesta solo quando la destinazione nel campo contiene un percorso dell'oggetto.

³Questa autorizzazione è obbligatoria solo se utilizzi i caricamenti compositi paralleli o se non utilizzi il flag -n, ma inserisci un oggetto con lo stesso nome di un oggetto esistente nel bucket.

⁴Questa autorizzazione è necessaria solo se non disponi di una Account di servizio Cloud Storage associato al progetto.

⁵Se utilizzi gsutil kms encryption -k e il servizio del progetto non dispone dell'autorizzazione necessaria per accedere alla chiave Cloud KMS richiesta, gsutil esegue gsutil kms authorize per concedere al tuo account di servizio il l'autorizzazione richiesta.

⁶Questa autorizzazione è necessaria solo se vuoi IAM inclusi nei dettagli.

⁷Questa autorizzazione è necessaria solo se vuoi IAM inclusi nei dettagli e non si applica ai bucket con accesso uniforme a livello di bucket abilitato.

⁸Queste autorizzazioni non sono necessarie se l'argomento esiste già e l'account di servizio pertinente ha accesso.

⁹Questa autorizzazione è richiesta solo se non includi un modulo di fatturazione progetto nella tua richiesta. Consulta i requisiti di utilizzo e accesso per i pagamenti a carico del richiedente. per ulteriori informazioni.

¹⁰Questa autorizzazione non è richiesta se il comando non modifica l'impostazione del bucket.

¹¹Questa autorizzazione è obbligatoria solo se utilizzi il flag -d o se inserisci un oggetto con lo stesso nome, ma con dati diversi, di un oggetto già esistente nel bucket.

Nota: le autorizzazioni elencate nella tabella precedente ti consentono di utilizzare tramite comandi SQL. Alcuni comandi impostano configurazioni dei bucket che non funzioneranno senza autorizzazioni aggiuntive. Ad esempio, gsutil notification create richiede solo storage.buckets.update, ma devi avere autorizzazioni aggiuntive per il corretto funzionamento della funzionalità.

Metodi correlati all'ACL

La tabella seguente elenca le autorizzazioni IAM necessarie per eseguire i comandi gsutil che si applicano specificamente alla gestione degli ACL. Questi I comandi si applicano solo ai bucket per i quali l'opzione Accesso uniforme a livello di bucket è disabilitata.

Comando	Sottocomando	Risorsa su cui è stato eseguito un'azione	Autorizzazioni IAM richieste
acl	get	Bucket	storage.buckets.get storage.buckets.getIamPolicy
acl	set o ch	Bucket	storage.buckets.get storage.buckets.getIamPolicy storage.buckets.setIamPolicy storage.buckets.update
acl	get	Oggetti	storage.objects.get storage.objects.getIamPolicy
acl	set o ch	Oggetti	storage.objects.get storage.objects.getIamPolicy storage.objects.setIamPolicy storage.objects.update
cp -a o cp -p		Oggetti	storage.objects.list^a (per il bucket di destinazione) storage.objects.get (per gli oggetti di origine) storage.objects.create (per il bucket di destinazione) storage.objects.delete^b (per il bucket di destinazione) storage.objects.getIamPolicy (per gli oggetti di origine) storage.objects.setIamPolicy (per il bucket di destinazione)
defacl	get	Bucket	storage.buckets.get storage.buckets.getIamPolicy
defacl	set o ch	Bucket	storage.buckets.get storage.buckets.getIamPolicy storage.buckets.setIamPolicy storage.buckets.update
iam	get	Oggetti	storage.objects.get storage.objects.getIamPolicy
iam	set o ch	Oggetti	storage.objects.get storage.objects.getIamPolicy storage.objects.setIamPolicy storage.objects.update
mv -a o mv -p		Oggetti	storage.objects.list^a (per il bucket di destinazione) storage.objects.get (per gli oggetti di origine) storage.objects.create (per il bucket di destinazione) storage.objects.delete (per il bucket di origine) storage.objects.delete^b (per il bucket di destinazione) storage.objects.getIamPolicy (per gli oggetti di origine) storage.objects.setIamPolicy (per il bucket di destinazione)
rsync -a oppure rsync -p		Oggetti	storage.objects.get (per gli oggetti di origine e il bucket di destinazione) storage.objects.create (per il bucket di destinazione) storage.objects.delete^c (per il bucket di destinazione) storage.objects.list (per i bucket di origine e di destinazione) storage.objects.getIamPolicy (per gli oggetti di origine) storage.objects.setIamPolicy (per il bucket di destinazione)

^a Questa autorizzazione è obbligatoria solo quando la destinazione nel comando contiene un percorso dell'oggetto.

^bQuesta autorizzazione è obbligatoria solo se utilizzi i caricamenti compositi paralleli o se non utilizzi il flag -n, ma inserisci un oggetto con lo stesso nome di un oggetto già esistente nel bucket.

^cQuesta autorizzazione è richiesta solo se utilizzi il flag -d o se inserisci un oggetto che ha lo stesso nome, ma dati diversi, esiste già nel bucket.

Il flag di primo livello -u

Se utilizzi il flag globale -u per specificare un progetto per il quale deve essere addebitato il costo della richiesta, devi disporre dell'autorizzazione serviceusage.services.use per il progetto specificato. Il flag -u viene utilizzato, ad esempio, per accedere in un bucket con l'opzione Pagamenti a carico del richiedente abilitata.

Caratteri jolly e flag ricorsivi

Se utilizzi i caratteri jolly URI per selezionare più oggetti in un comando, deve disporre dell'autorizzazione storage.objects.list per il bucket contenente di oggetti strutturati. Analogamente, se utilizzi caratteri jolly URI per selezionare più bucket in un comando, devi disporre dell'autorizzazione storage.buckets.list per i progetti contenenti i bucket.

Se utilizzi i flag di ricorsione (-r e -R), devi disporre dell'autorizzazione storage.objects.list per il bucket pertinente, oltre alle autorizzazioni richieste per il comando specifico che stai utilizzando.

La bandiera di primo livello -m

Solitamente, se utilizzi un comando gsutil che agisce su più oggetti o nei bucket, l'errore del comando al primo errore. Tuttavia, quando utilizzi il -m flag globale, gsutil registra gli errori rilevati e prosegue con l'operazione.

Ad esempio, supponiamo che tu tenti di eseguire un comando acl set su una serie di oggetti, ma che tu abbia l'autorizzazione a farlo solo su alcuni di questi. Se non utilizzi il flag -m, gsutil applica le ACL correttamente finché non raggiunge un oggetto a cui non disponi dell'autorizzazione per applicare un'ACL. A quel punto, gsutil ha esito negativo. Se utilizzi il flag -m, gsutil registra gli errori che si verificano quando tenta di applicare un ACL a un oggetto per il quale non disponi dall'autorizzazione, ma per il resto continua l'operazione.

Passaggi successivi

• Assegna i ruoli IAM a livello di progetto e bucket.
• Esamina i ruoli IAM che contengono autorizzazioni Cloud Storage.