IAM を使用してアクセスを制御する

Cloud Tasks は、Identity and Access Management（IAM）を使用してアクセス制御を行います。

アクセス制御は、プロジェクト レベルとキューレベルで構成できます。たとえば、タスクを作成してキューに追加できるようにするが、キューの削除は禁止するなど、機能を制限してアクセス権限を付与することができます。また、プロジェクト内のすべての Cloud Tasks リソースに対するアクセス権限をデベロッパーのグループに付与できます。

IAM とその機能の詳細については、IAM のドキュメントをご覧ください。特に、プロジェクト、フォルダ、組織へのアクセス権の管理セクションをご覧ください。

どの Cloud Tasks メソッドでも、呼び出し側に一定の権限が必要になります。 サポートされている権限と役割のリストについては、以下をご覧ください。 queue.yaml/xml の更新時、 Google Cloud コンソールの使用時にも、Cloud Tasks IAM の権限がチェックされます。

注: Google Cloud コンソールからタスクにアクセスして管理するには、アカウントに appengine.applications.get 権限も必要です。App Engine の事前定義されたロールのすべてには、この権限が付与されます。

ロール

次の表に、Cloud Tasks IAM の役割と、各役割に含まれているすべての権限に対応するリストを示します。各権限は、それぞれ特定のリソースタイプを対象としています。

ロール	権限
Cloud Tasks 管理者^ベータ版 （roles/cloudtasks.admin） キューとタスクに対する完全アクセス権。	cloudtasks.* cloudtasks.cmekConfig.get cloudtasks.cmekConfig.update cloudtasks.locations.get cloudtasks.locations.list cloudtasks.queues.create cloudtasks.queues.delete cloudtasks.queues.get cloudtasks.queues.getIamPolicy cloudtasks.queues.list cloudtasks.queues.pause cloudtasks.queues.purge cloudtasks.queues.resume cloudtasks.queues.setIamPolicy cloudtasks.queues.update cloudtasks.tasks.create cloudtasks.tasks.delete cloudtasks.tasks.fullView cloudtasks.tasks.get cloudtasks.tasks.list cloudtasks.tasks.run monitoring.timeSeries.list resourcemanager.projects.get resourcemanager.projects.list
Cloud Tasks へのデータ追加^ベータ版 （roles/cloudtasks.enqueuer） タスクを作成するための権限。	cloudtasks.tasks.create cloudtasks.tasks.fullView resourcemanager.projects.get resourcemanager.projects.list
Cloud Tasks のキュー管理者^ベータ版 （roles/cloudtasks.queueAdmin） キューに対する管理者アクセス権です。	cloudtasks.locations.* cloudtasks.locations.get cloudtasks.locations.list cloudtasks.queues.* cloudtasks.queues.create cloudtasks.queues.delete cloudtasks.queues.get cloudtasks.queues.getIamPolicy cloudtasks.queues.list cloudtasks.queues.pause cloudtasks.queues.purge cloudtasks.queues.resume cloudtasks.queues.setIamPolicy cloudtasks.queues.update resourcemanager.projects.get resourcemanager.projects.list
Cloud Tasks サービス エージェント （roles/cloudtasks.serviceAgent）。 Cloud Tasks サービス アカウントにリソースを管理するためのアクセス権を付与します。 警告: サービス エージェント以外のプリンシパルには、サービス エージェントのロールを割り当てないでください。	iam.serviceAccounts.getAccessToken iam.serviceAccounts.getOpenIdToken logging.logEntries.create
Cloud Tasks のタスク削除^ベータ版 （roles/cloudtasks.taskDeleter） タスクを削除するための権限。	cloudtasks.tasks.delete resourcemanager.projects.get resourcemanager.projects.list
Cloud Tasks タスク実行者^ベータ版 （roles/cloudtasks.taskRunner） タスクを実行するための権限。	cloudtasks.tasks.fullView cloudtasks.tasks.run resourcemanager.projects.get resourcemanager.projects.list
Cloud Tasks 閲覧者^ベータ版 （roles/cloudtasks.viewer） タスク、キュー、位置の取得と一覧表示のアクセス権。	cloudtasks.cmekConfig.get cloudtasks.locations.* cloudtasks.locations.get cloudtasks.locations.list cloudtasks.queues.get cloudtasks.queues.list cloudtasks.tasks.fullView cloudtasks.tasks.get cloudtasks.tasks.list monitoring.timeSeries.list resourcemanager.projects.get resourcemanager.projects.list