Controllo dell'accesso con IAM

Panoramica

L'API Transcoder utilizza Identity and Access Management (IAM) per controllo dell'accesso.

Puoi configurare il controllo dell'accesso per l'API Transcoder a livello di progetto. Ad esempio, puoi concedere agli sviluppatori l'accesso per elencare e recuperare tutti i job all'interno di un progetto.

Per una descrizione dettagliata di IAM e delle sue funzionalità, consulta la documentazione di IAM. in particolare la sezione sulla gestione dei criteri IAM.

Ogni metodo dell'API Transcoder prevede che chi effettua la chiamata debba disporre delle autorizzazioni necessarie. Per ulteriori informazioni, consulta le sezioni relative ad Autorizzazioni e Ruoli.

Autorizzazioni

Questa sezione riepiloga le autorizzazioni dell'API Transcoder supportate da IAM.

Autorizzazioni obbligatorie

Le tabelle riportate di seguito elencano le autorizzazioni IAM associate all'API Transcoder.

Nota: i nomi dei metodi sono abbreviati nella tabella in modo che il nome completo di ciascun metodo inizi con projects.locations.

Metodo job	Autorizzazioni obbligatorie
jobs.create	transcoder.jobs.create nel progetto Google Cloud principale.
jobs.delete	transcoder.jobs.delete nel progetto Google Cloud principale.
jobs.get	transcoder.jobs.get nel progetto Google Cloud principale.
jobs.list	transcoder.jobs.list nel progetto Google Cloud principale.

Metodo del modello di job	Autorizzazioni obbligatorie
jobTemplates.create	transcoder.jobTemplates.create nel progetto Google Cloud principale.
jobTemplates.delete	transcoder.jobTemplates.delete nel progetto Google Cloud principale.
jobTemplates.get	transcoder.jobTemplates.get nel progetto Google Cloud principale.
jobTemplates.list	transcoder.jobTemplates.list nel progetto Google Cloud principale.

Ruoli

La tabella riportata di seguito elenca i ruoli IAM per l'API Transcoder, comprese le autorizzazioni associate a ciascun ruolo:

Ruolo IAM	Autorizzazioni
Transcoder Viewer (roles/transcoder.viewer) Visualizzatore di tutte le risorse del transcoder.	resourcemanager.projects.get resourcemanager.projects.list transcoder.jobTemplates.get transcoder.jobTemplates.list transcoder.jobs.get transcoder.jobs.list
Transcoder Admin (roles/transcoder.admin) Accesso completo a tutte le risorse del transcoder.	resourcemanager.projects.get resourcemanager.projects.list transcoder.* transcoder.jobTemplates.create transcoder.jobTemplates.delete transcoder.jobTemplates.get transcoder.jobTemplates.list transcoder.jobs.create transcoder.jobs.delete transcoder.jobs.get transcoder.jobs.list

I ruoli roles/owner e roles/editor concedono le autorizzazioni associate al ruolo roles/transcoder.admin. Il ruolo roles/viewer concede le autorizzazioni associate al ruolo roles/transcoder.viewer.

I ruoli roles/owner, roles/editor e roles/viewer includono anche le autorizzazioni per altri servizi Google Cloud. Per ulteriori informazioni sui ruoli, consulta Informazioni sui ruoli.

Accesso a Cloud Storage e Pub/Sub

Per impostazione predefinita, l'API Transcoder ha accesso a tutti i bucket Cloud Storage e agli argomenti Pub/Sub del tuo progetto. Quando crei il tuo primo job, l'API Transcoder crea un account di servizio utilizzando la seguente convenzione di denominazione:

[e-mail]

PROJECT_NUMBER è il numero del progetto con l'API Transcoder abilitata. A questo account di servizio viene concesso il ruolo Agente di servizio transcoder e ha le autorizzazioni per eseguire le seguenti operazioni:

• Scaricare e caricare file nei bucket Cloud Storage del progetto
• Pubblicare aggiornamenti dello stato negli argomenti Pub/Sub del progetto

Nota: il deployment dell'account di servizio dell'API può richiedere fino a 7 minuti. Se provi a creare un job e ricevi un errore relativo alle autorizzazioni, riprova dopo 7 minuti.

Limitazione dell'accesso

Per limitare questo accesso, rimuovi il ruolo Agente di servizio Transcoder dall'account di servizio e sostituiscilo con un accesso più granulare. Segui questi passaggi:

1. Vai alla pagina IAM (scheda Autorizzazioni) nella console Google Cloud.
2. Individua l'account di servizio con il ruolo Agente di servizio di transcodifica e seleziona il pulsante di modifica.
3. Elimina il ruolo Agente di servizio transcoder dall'account di servizio.
4. Concedi l'accesso all'account di servizio per ogni singolo secchio Cloud Storage:
   1. Vai alla pagina Browser Cloud Storage.
   2. Fai clic su un bucket.
   3. Seleziona la scheda Autorizzazioni.
   4. Fai clic su Aggiungi.
   5. Nella casella Nuove entità, digita il nome dell'account di servizio.
   6. In Ruolo, seleziona Amministratore oggetti di archiviazione.
   7. Fai clic su Salva. L'API Transcoder ora ha accesso al bucket.
5. (Facoltativo) Concedi l'accesso all'account di servizio per qualsiasi argomento Pub/Sub configurato:
   1. Vai alla pagina Argomenti Pub/Sub.
   2. Fai clic su un argomento.
   3. Seleziona la scheda Autorizzazioni.
   4. Fai clic su Aggiungi entità.
   5. Nella casella Nuove entità, digita il nome dell'account di servizio.
   6. In Ruolo, seleziona Publisher Pub/Sub.
   7. Fai clic su Salva. L'API Transcoder ora ha accesso all'argomento.