Permisos de IAM para Cloud Storage

En las siguientes tablas, aparecen los permisos de Identity and Access Management (IAM) asociados a Cloud Storage. Los permisos de IAM se agrupan en funciones y asignas funciones a usuarios y grupos.

Permisos de buckets

Nombre del permiso del bucket	Descripción
storage.buckets.create	Crea buckets nuevos en un proyecto.
storage.buckets.createTagBinding	Crea una vinculación de etiquetas nueva a un bucket.
storage.buckets.delete	Borra depósitos.
storage.buckets.deleteTagBinding	Borra la vinculación de etiqueta en un bucket.
storage.buckets.enableObjectRetention	Habilita la configuración de retención de objetos en un bucket.
storage.buckets.exemptFromIpFilter	Exenta al usuario o a la cuenta de servicio de las reglas de filtrado de IP para las operaciones a nivel del bucket.
storage.buckets.get	Lee los metadatos del bucket, incluida la enumeración o lectura de las configuraciones de notificaciones de Pub/Sub en un bucket. Este permiso por sí solo no te permite leer las políticas de IAM ni las reglas de filtrado de IP.
storage.buckets.getIamPolicy	Lee las políticas de IAM del bucket.
storage.buckets.getIpFilter	Enumera o lee las reglas de filtrado de IP en un bucket.
storage.buckets.getObjectInsights	Lee los metadatos de los objetos en los informes de inventario.
storage.buckets.list	Enumera los buckets de un proyecto, incluidos los metadatos de lectura del bucket. Este permiso por sí solo no te permite enumerar las políticas de IAM ni las reglas de filtrado de IP.
storage.buckets.listEffectiveTags	Enumera todas las etiquetas asociadas a un bucket, incluidas las etiquetas heredadas de una jerarquía de recursos superior, como el proyecto del bucket.
storage.buckets.listTagBindings	Enumera las etiquetas directamente conectadas a un bucket.
storage.buckets.restore	Restablece de forma masiva los objetos que se borraron de forma no definitiva.
storage.buckets.setIamPolicy	Actualiza las políticas de IAM del bucket.
storage.buckets.setIpFilter	Establece reglas de filtrado de IP en un bucket.
storage.buckets.update	Actualiza los metadatos del bucket, lo que incluye agregar o quitar una configuración de notificaciones de Pub/Sub en un bucket y leer los metadatos del bucket durante la actualización. Este permiso por sí solo no te permite actualizar las políticas de IAM, las reglas de filtrado de IP ni leer las políticas de IAM en un bucket durante la actualización.

Permisos de carpeta

Nombre del permiso de la carpeta	Descripción
storage.folders.create	Crea una carpeta.
storage.folders.delete	Borra una carpeta.
storage.folders.get	Lee los metadatos de una carpeta.
storage.folders.list	Enumera carpetas.
storage.folders.rename	Cambia el nombre a una carpeta.

Nota: Para cambiar el nombre de las carpetas, storage.folders.rename es obligatorio en el bucket de origen y storage.folders.create es obligatorio en el bucket de destino.

Permisos de carpeta administrada

Nombre del permiso de la carpeta administrada	Descripción
storage.managedFolders.create	Crear una carpeta administrada
storage.managedFolders.delete	Borrar una carpeta administrada
storage.managedFolders.get	Lee una carpeta administrada.
storage.managedFolders.getIamPolicy	Lee las políticas de IAM de las carpetas administradas.
storage.managedFolders.list	Enumera las carpetas administradas de un bucket o una carpeta.
storage.managedFolders.setIamPolicy	Actualiza las políticas de IAM de las carpetas administradas.

Permisos de objetos

Nota: Los permisos storage.objects.getIamPolicy y storage.objects.setIamPolicy no se aplican a los buckets con acceso uniforme a nivel de bucket habilitado.

Nombre del permiso del objeto	Descripción
storage.objects.create	Agrega objetos nuevos a un bucket.
storage.objects.delete	Borra objetos.
storage.objects.get	Lee datos y metadatos del objeto, excepto las LCA.
storage.objects.getIamPolicy	Lee las LCA del objeto, que se muestran como políticas de IAM.
storage.objects.list	Crea una lista de objetos en el bucket. Además, lee los metadatos del objeto, excepto las LCA, cuando hace la lista.
storage.objects.overrideUnlockedRetention	Usa el encabezado x-goog-bypass-governance-retention o el parámetro de búsqueda overrideUnlockedRetention cuando trabajes con configuraciones de retención de objetos.
storage.objects.restore	Restablecer los objetos que se borraron de forma no definitiva.
storage.objects.setIamPolicy	Actualiza las LCA del objeto.
storage.objects.setRetention	Agrega o actualiza retenciones para los objetos.
storage.objects.update	Actualiza los metadatos de objeto, excepto las LCA. Además, lee los metadatos del objeto, excepto las LCA, cuando se están actualizando.

Nota:Para reemplazar objetos existentes, se requieren los permisos storage.objects.create y storage.objects.delete.

Permisos de operaciones de larga duración

Nombre del permiso de operación de larga duración	Descripción
storage.bucketOperations.cancel	Cancela una operación de larga duración.
storage.bucketOperations.get	Obtén una operación de larga duración.
storage.bucketOperations.list	Muestra las operaciones de larga duración.

Permisos de clave HMAC

Nota:Los permisos de clave HMAC se aplican solo a nivel del proyecto.

Nombre de permiso de clave HMAC	Descripción
storage.hmacKeys.create	Crea nuevas claves HMAC para cuentas de servicio en un proyecto.
storage.hmacKeys.delete	Borra claves HMAC existentes.
storage.hmacKeys.get	Lee los metadatos de claves HMAC.
storage.hmacKeys.list	Enumera los metadatos de las claves HMAC en un proyecto.
storage.hmacKeys.update	Actualiza el estado de las claves HMAC.

Permisos de carga multiparte

Nombre del permiso de carga multiparte	Descripción
storage.multipartUploads.create	Sube objetos en varias partes.
storage.multipartUploads.abort	Anula las sesiones de carga multiparte.
storage.multipartUploads.listParts	Enumera las partes de objeto subidas en una sesión de carga multiparte.
storage.multipartUploads.list	Enumera las sesiones de carga multiparte en un bucket.

Nota: Para crear y subir partes, debes tener los permisos storage.objects.create y storage.multipartUploads.create.

Permisos de informes de inventario de Storage Insights

Nombre del permiso de informe de inventario	Descripción
storageinsights.reportConfigs.create	Crea configuraciones de informes de inventario.
storageinsights.reportConfigs.delete	Borra las opciones de configuración de informes de inventario.
storageinsights.reportConfigs.get	Recupera configuraciones de informes de inventario.
storageinsights.reportConfigs.list	Enumera las configuraciones de informes de inventario.
storageinsights.reportConfigs.update	Modifica las configuraciones de informes de inventario.
storageinsights.reportDetails.get	Recupera informes de inventario.
storageinsights.reportDetails.list	Crea una lista de informes de inventario.

¿Qué sigue?

• Obtén información sobre qué permisos de IAM se encuentran en cada función de IAM en Cloud Storage.

• Asigna funciones de IAM a nivel de proyecto y de bucket.

• Consulta las referencias de IAM para Cloud Storage, como los permisos de IAM que permiten a los usuarios realizar acciones con varias herramientas y APIs.

• Para obtener una lista de otros permisos de Google Cloud, consulta Nivel de compatibilidad de los permisos en funciones personalizadas.