Permisos de IAM para métodos de JSON

En la siguiente tabla, se enumeran los permisos de administración de identidades y accesos (IAM) necesarios para ejecutar cada método de JSON de Cloud Storage en un recurso dado. Los permisos de IAM se agrupan para crear funciones. Las funciones se les otorgan a usuarios y grupos.

Para conocer los métodos adicionales que solo se aplican a los depósitos con el acceso uniforme a nivel de depósito inhabilitado, consulta la tabla de métodos de LCA.

Recurso	Método	Permisos de IAM obligatorios¹
`Buckets`	`delete`	`storage.buckets.delete`
`Buckets`	`get`	`storage.buckets.get` `storage.buckets.getIamPolicy`²
`Buckets`	`getIamPolicy`	`storage.buckets.getIamPolicy`
`Buckets`	`insert`	`storage.buckets.create` `storage.buckets.enableObjectRetention`³
`Buckets`	`list`	`storage.buckets.list` `storage.buckets.getIamPolicy`²
`Buckets`	`listChannels`	`storage.buckets.get`
`Buckets`	`lockRetentionPolicy`	`storage.buckets.update`
`Buckets`	`patch`	`storage.buckets.update` `storage.buckets.getIamPolicy`⁴ `storage.buckets.setIamPolicy`⁵
`Buckets`	`setIamPolicy`	`storage.buckets.setIamPolicy`
`Buckets`	`testIamPermissions`	Ninguno
`Buckets`	`update`	`storage.buckets.update` `storage.buckets.getIamPolicy`⁴ `storage.buckets.setIamPolicy`⁵
`Channels`	`stop`	Ninguno
`Folders`	`get`	`storage.folders.get`
`Folders`	`insert`	`storage.folders.create`
`Folders`	`list`	`storage.folders.list`
`Folders`	`rename`	`storage.folders.rename` (para la carpeta de origen) `storage.folders.create` (para la carpeta de destino)
`Folders`	`delete`	`storage.folders.delete`
`ManagedFolders`	`delete`	`storage.managedfolders.delete` `storage.managedfolders.setIamPolicy`¹⁰
`ManagedFolders`	`get`	`storage.managedfolders.get`
`ManagedFolders`	`getIamPolicy`	`storage.managedfolders.getIamPolicy`
`ManagedFolders`	`insert`	`storage.managedfolders.create`
`ManagedFolders`	`list`	`storage.managedfolders.list`
`ManagedFolders`	`update`	`storage.managedfolders.update`
`ManagedFolders`	`setIamPolicy`	`storage.managedfolders.setIamPolicy`
`Notifications`	`delete`	`storage.buckets.update`
`Notifications`	`get`	`storage.buckets.get`
`Notifications`	`insert`	`storage.buckets.update`
`Notifications`	`list`	`storage.buckets.get`
`Objects`	`bulkRestore`	`storage.buckets.restore` `storage.objects.create` `storage.objects.delete`¹¹ `storage.objects.restore` `storage.objects.setIamPolicy`⁶^,12
`Objects`	`compose`	`storage.objects.get` `storage.objects.create` `storage.objects.delete`⁷ `storage.objects.getIamPolicy`²^,6 `storage.objects.setRetention`⁸
`Objects`	`copy`	`storage.objects.get` (para el bucket de origen) `storage.objects.create` (para el bucket de destino) `storage.objects.delete` (para el bucket de destino)⁷ `storage.objects.setRetention` (para el bucket de destino)⁸
`Objects`	`delete`	`storage.objects.delete`
`Objects`	`get`	`storage.objects.get` `storage.objects.getIamPolicy`²^, 6
`Objects`	`insert`	`storage.objects.create` `storage.objects.delete`⁷ `storage.objects.setRetention`⁸
`Objects`	`list`	`storage.objects.list` `storage.objects.getIamPolicy`²^, 6
`Objects`	`patch`	`storage.objects.update` `storage.objects.setRetention`⁸ `storage.objects.overrideUnlockedRetention`⁹ `storage.objects.getIamPolicy`⁴^,6 `storage.objects.setIamPolicy`⁵^,6
`Objects`	`restore`	`storage.objects.create` `storage.objects.delete`⁷ `storage.objects.restore` `storage.objects.getIamPolicy`²^,6 `storage.objects.setIamPolicy`⁶^,12
`Objects`	`rewrite`	`storage.objects.get` (para el bucket de origen) `storage.objects.create` (para el bucket de destino) `storage.objects.delete` (para el bucket de destino)⁷ `storage.objects.setRetention` (para el bucket de destino)⁸
`Objects`	`update`	`storage.objects.update` `storage.objects.setRetention`⁸ `storage.objects.overrideUnlockedRetention`⁹ `storage.objects.getIamPolicy`⁴^,6 `storage.objects.setIamPolicy`⁵^,6
`Objects`	`watchAll`	`storage.buckets.update`
`Projects.hmacKeys`	`create`	`storage.hmacKeys.create`
`Projects.hmacKeys`	`delete`	`storage.hmacKeys.delete`
`Projects.hmacKeys`	`get`	`storage.hmacKeys.get`
`Projects.hmacKeys`	`list`	`storage.hmacKeys.list`
`Projects.hmacKeys`	`update`	`storage.hmacKeys.update`
`Projects.serviceAccount`	`get`	`resourceManager.projects.get`
`ReportConfigs`	`delete`	`storageinsights.reportConfigs.delete`
`ReportConfigs`	`get`	`storageinsights.reportConfigs.get`
`ReportConfigs`	`list`	`storageinsights.reportConfigs.list`
`ReportConfigs`	`insert`	`storageinsights.reportConfigs.create`
`ReportConfigs`	`update`	`storageinsights.reportConfigs.update`
`ReportDetails`	`get`	`storageinsights.reportDetails.get`
`ReportDetails`	`list`	`storageinsights.reportDetails.list`

¹ Si usas el parámetro userProject o el encabezado x-goog-user-project en tu solicitud, debes tener el permiso serviceusage.services.use para el ID del proyecto que especificas, además de los permisos normales de IAM necesarios a fin de hacer una solicitud.

² Este permiso solo es necesario si deseas incluir LCA o políticas de IAM como parte de una proyección full. Si no tienes este permiso y solicitas una proyección full, solo recibirás una proyección parcial.

³ Este permiso solo es necesario cuando la solicitud incluye el parámetro de búsqueda enableObjectRetention.

⁴ Este permiso solo es necesario si deseas incluir al LCA como parte de la respuesta.

⁵ Este permiso solo es necesario si deseas incluir LCAs o cambios en la configuración de la prevención del acceso público como parte de la solicitud.

⁶ Este permiso no se aplica a los buckets que tengan el acceso uniforme a nivel de depósito habilitado.

⁷ Este permiso solo es necesario si la solicitud hace que se reemplace un objeto con el mismo nombre.

⁸ Este permiso es obligatorio cuando el cuerpo de la solicitud incluye la propiedad retention o cuando se hace una solicitud UPDATE para un objeto que tiene una configuración de retención existente.

⁹ Este permiso solo es necesario cuando la solicitud incluye el parámetro de búsqueda overrideUnlockedRetention=true.

¹⁰ Este permiso solo es necesario cuando la solicitud incluye el parámetro de búsqueda allowNonEmpty=true.

¹¹ Este permiso solo es necesario cuando la solicitud incluye el parámetro de búsqueda allowOverwrite=true y la solicitud hace que se reemplace un objeto con el mismo nombre.

¹² Este permiso solo es necesario cuando la solicitud incluye el parámetro de búsqueda copySourceAcl=true.

Métodos relacionados con las LCA

En la siguiente tabla, se enumeran los permisos de IAM necesarios para ejecutar métodos de JSON que se aplican específicamente a la administración de las LCA. Estos métodos solo se aplican a los depósitos que tienen inhabilitado el acceso uniforme a nivel del depósito.

Recurso	Método	Permisos de IAM obligatorios¹
`BucketAccessControls`	`delete`	`storage.buckets.get` `storage.buckets.getIamPolicy` `storage.buckets.setIamPolicy` `storage.buckets.update`
`BucketAccessControls`	`get`	`storage.buckets.get` `storage.buckets.getIamPolicy`
`BucketAccessControls`	`insert`	`storage.buckets.get` `storage.buckets.getIamPolicy` `storage.buckets.setIamPolicy` `storage.buckets.update`
`BucketAccessControls`	`list`	`storage.buckets.get` `storage.buckets.getIamPolicy`
`BucketAccessControls`	`patch`	`storage.buckets.get` `storage.buckets.getIamPolicy` `storage.buckets.setIamPolicy` `storage.buckets.update`
`BucketAccessControls`	`update`	`storage.buckets.get` `storage.buckets.getIamPolicy` `storage.buckets.setIamPolicy` `storage.buckets.update`
`DefaultObjectAccessControls`	`delete`	`storage.buckets.get` `storage.buckets.getIamPolicy` `storage.buckets.setIamPolicy` `storage.buckets.update`
`DefaultObjectAccessControls`	`get`	`storage.buckets.get` `storage.buckets.getIamPolicy`
`DefaultObjectAccessControls`	`insert`	`storage.buckets.get` `storage.buckets.getIamPolicy` `storage.buckets.setIamPolicy` `storage.buckets.update`
`DefaultObjectAccessControls`	`list`	`storage.buckets.get` `storage.buckets.getIamPolicy`
`DefaultObjectAccessControls`	`patch`	`storage.buckets.get` `storage.buckets.getIamPolicy` `storage.buckets.setIamPolicy` `storage.buckets.update`
`DefaultObjectAccessControls`	`update`	`storage.buckets.get` `storage.buckets.getIamPolicy` `storage.buckets.setIamPolicy` `storage.buckets.update`
`ObjectAccessControls`	`delete`	`storage.objects.get` `storage.objects.getIamPolicy` `storage.objects.setIamPolicy` `storage.objects.update`
`ObjectAccessControls`	`get`	`storage.objects.get` `storage.objects.getIamPolicy`
`ObjectAccessControls`	`insert`	`storage.objects.get` `storage.objects.getIamPolicy` `storage.objects.setIamPolicy` `storage.objects.update`
`ObjectAccessControls`	`list`	`storage.objects.get` `storage.objects.getIamPolicy`
`ObjectAccessControls`	`patch`	`storage.objects.get` `storage.objects.getIamPolicy` `storage.objects.setIamPolicy` `storage.objects.update`
`ObjectAccessControls`	`update`	`storage.objects.get` `storage.objects.getIamPolicy` `storage.objects.setIamPolicy` `storage.objects.update`

¿Qué sigue?

A fin de obtener una lista de las funciones y los permisos que contienen, consulta Funciones de IAM para Cloud Storage.
Asigna funciones de IAM a nivel de proyecto y de bucket.