Auf dieser Seite werden die IAM-Rollen und ‑Berechtigungen beschrieben, die für den Google Cloud Backup- und DR-Dienst erforderlich sind. Wenn Sie Ihrem Projekt neue Hauptkonten hinzufügen, können Sie diesen Hauptkonten mithilfe einer Richtlinie für die Identitäts- und Zugriffsverwaltung (IAM) eine oder mehrere IAM-Rollen zuweisen. Jede IAM-Rolle enthält Berechtigungen, die den Hauptkonten Zugriff gewähren, um bestimmte Aktionen für bestimmte Ressourcen auszuführen. Eine Referenzliste der IAM Berechtigungen, die für den Backup- und DR-Dienst gelten, finden Sie unter IAM-Berechtigungen für den Backup- und DR-Dienst.
Zugriff mit IAM steuern
Wenn ein Hauptkonto (ein Nutzer, eine Gruppe oder ein Dienstkonto) eine Google Cloud API aufruft, muss dieses Hauptkonto die entsprechenden IAM-Berechtigungen für die Verwendung der Ressource haben. Um einem Hauptkonto die erforderlichen Berechtigungen zu gewähren, weisen Sie dem Hauptkonto eine IAM-Rolle zu. Weitere Informationen zu Hauptkonten in IAM.
Arten von IAM-Rollen
Der Backup- und DR-Dienst bietet vordefinierte Rollen, die gebündelte Berechtigungen enthalten, die verschiedenen Hauptkonten zugewiesen werden können. Nutzer können auch benutzerdefinierte Rollen definieren, die eine Kombination aus einzelnen Berechtigungen enthalten können, um Zugriff auf die Ausführung eines bestimmten Backup- und DR-Workflows oder einer bestimmten Aktion zu gewähren.
IAM-Berechtigungen
Mit Berechtigungen werden Nutzer autorisiert, bestimmte Aktionen für bestimmte Ressourcen durchzuführen. Sie können zu Rollen gruppiert werden. Jede Berechtigung bezieht sich auf eine bestimmte Aktion, die der Nutzer ausführen kann, oder auf den Zugriff, den er hat.
Berechtigungen auf Projekt- und Ressourcenebene
Berechtigungen können auf Projektebene oder auf Ressourcenebene gewährt werden. Ein Backup- und DR-Administrator kann beispielsweise je nach Richtlinie bestimmte Berechtigungen nur auf der Ebene eines Storage-Buckets und nicht für das gesamte Projekt gewähren. Das Zuweisen von Rollen auf Ressourcenebene hat keine Auswirkungen auf vorhandene Rollen, die Sie auf Projektebene gewährt haben, und umgekehrt.
Vordefinierte IAM-Rollen für den Backup- und DR-Dienst
Der Backup- und DR-Dienst bietet eine Reihe vordefinierter IAM-Rollen. Diese werden auf dieser Seite beschrieben. Sie können auch benutzerdefinierte Rollen erstellen , die Teilmengen von Berechtigungen enthalten, die sich direkt Ihren Anforderungen zuordnen lassen.
In der folgenden Tabelle werden IAM-Rollen beschrieben, die mit dem Backup- und DR-Dienst verknüpft sind, sowie die Berechtigungen aufgeführt, die zu jeder Rolle gehören. Die Beschreibung der einzelnen Berechtigungen finden Sie im Abschnitt IAM-Berechtigungen für den Backup- und DR-Dienst.
| Role | Permissions |
|---|---|
Backup and DR Admin( Provides full access to all Backup and DR resources. |
|
Backupdr Editor( Editor role for backupdr |
|
Backup and DR Viewer( Provides read-only access to all Backup and DR resources. |
|
Backup and DR AlloyDB Operator( Allows a Backup and DR service account to discover and backup AlloyDB clusters. |
|
Backup and DR Backup Config Viewer Beta( Provides read access to resource backup config. Resource backup config has the metadata of a Google Cloud resource that can be backed up, along with its backup configurations. |
|
Backup and DR Backup User( Allows the user to apply existing backup plans. This role cannot create backup plans or restore from a backup. |
|
Backup and DR Backup Vault Accessor( Allows the Backup Appliance permissions to create and manage backups in a backup vault. |
|
Backup and DR Backup Vault Admin( Allows the Backup Appliance full administrative control of backup vault resources. |
|
Backup and DR Backup Vault Lister( Allows the Backup Appliance permission to list backup vaults in a given project. |
|
Backup and DR Backup Vault Viewer( Allows read-only permissions to access backup vault resources and backups. |
|
Backup and DR Cloud SQL Operator( Allows a Backup and DR service account to discover and backup Cloud SQL instances. |
|
Backup and DR Cloud Storage Operator( Allows a Backup and DR service account to store and manage data (backups or metadata) in Cloud Storage. |
|
Backup and DR Compute Engine Operator( Allows a Backup and DR service account to discover, back up, and restore Compute Engine VM instances. |
|
Backup and DR Disk Operator( Allows a Backup and DR service account to store and manage data (backups or metadata) in Disk. |
|
Backup and DR Filestore Operator Beta( Allows a Backup and DR service account to discover and backup Filestore instances. |
|
Backup and DR Management Server Accessor( Grants the Backup and DR management server access role to Backup Appliances. |
|
Backup and DR Mount User( Allows the user to mount from a backup. This role cannot create a backup plan or restore from a backup. |
|
Backup and DR Restore User( Allows the user to restore or mount from a backup. This role cannot create a backup plan. |
|
Backup and DR User( Provides access to management console. Granular Backup and DR permissions depend on ACL configuration provided by Backup and DR admin within the management console. |
|
Backup and DR User V2( Provides full access to Backup and DR resources except deploying and managing backup infrastructure, expiring backups, changing data sensitivity and configuring on-premises billing. |
|
Service agent roles
Service agent roles should only be granted to service agents.
| Role | Permissions |
|---|---|
Backup and DR Service Agent( Grants the Backup and DR Service access to protect Compute Engine instances. |
|
Einfache Rollen
Einfache Rollen sind Rollen auf Projektebene aus der Zeit vor IAM. Weitere Informationen finden Sie unter Einfache Rollen.
Obwohl der Backup- und DR-Dienst die folgenden einfachen Rollen unterstützt, sollten Sie nach Möglichkeit eine der vordefinierten Rollen verwenden. Einfache Rollen umfassen allgemeine Berechtigungen, die für alle Ihre Google Cloud Ressourcen gelten. Im Gegensatz dazu enthalten die vordefinierten Rollen des Backup- und DR-Dienstes fein abgestufte Berechtigungen, die nur für den Backup- und DR-Dienst gelten.
| Einfache IAM-Rolle | Beschreibung |
|---|---|
| Bearbeiter ( roles/editor) |
Gewährt vollständigen Zugriff auf alle Sicherungs- und Notfallwiederherstellungsressourcen. |
| Inhaber ( roles/owner) |
Gewährt vollständigen Zugriff auf alle Sicherungs- und Notfallwiederherstellungsressourcen. |
IAM-Berechtigungen für den Backup- und DR-Dienst
In der folgenden Tabelle sind die IAM Berechtigungen aufgeführt, die mit dem Backup- und DR-Dienst verknüpft sind. IAM Berechtigungen sind in Rollen gruppiert und Sie weisen Nutzern und Gruppen Rollen zu.
In der folgenden Tabelle finden Sie die Beschreibung für jede Backup- und DR-Berechtigung.
| Name der Berechtigung | Beschreibung |
|---|---|
| backupdr.managementServers.manageClones | Gewährt Berechtigungen zum Erstellen und Verwalten von Klonen aus Sicherungen. |
| backupdr.managementServers.manageLiveClones | Gewährt Berechtigungen zum Erstellen und Verwalten von LiveClones aus Sicherungen. |
| backupdr.managementServers.manageMounts | Gewährt Berechtigungen zum Erstellen und Verwalten aktiver Bereitstellungen aus Sicherungen. |
| backupdr.managementServers.manageRestores | Gewährt die Berechtigungen, die für die Wiederherstellung aus Sicherungen erforderlich sind. |
| backupdr.managementServers.manageBackups | Gewährt Berechtigungen zum Ausführen von Sicherungsvorgängen: „Jetzt sichern“. |
| backupdr.managementServers.viewSystem | Gewährt Zugriff zum Ansehen der Konfiguration der Sicherungs-/Wiederherstellungs-Appliance. |
| backupdr.managementServers.manageSystem | Gewährt Berechtigungen zum Konfigurieren von Sicherungs-/Wiederherstellungs-Appliances und des Berichtsmanagers. |
| backupdr.managementServers.viewStorage | Gewährt Zugriff zum Ansehen der Speicher- und Festplattenpoolkonfigurationen. |
| backupdr.managementServers.manageStorage | Gewährt Berechtigungen zum Hinzufügen, Ändern, Entfernen und Ansehen von Speicher- und Festplattenpools. |
| backupdr.managementServers.viewBackupPlans | Gewährt Zugriff zum Ansehen von Sicherungsplänen, Sicherungsvorlagen und Ressourcenprofilen. |
| backupdr.managementServers.assignBackupPlans | Gewährt Berechtigungen zum Zuweisen vorkonfigurierter Sicherungspläne, Sicherungsvorlagen und Ressourcenprofile zu Anwendungen oder Arbeitslasten. |
| backupdr.managementServers.manageBackupPlans | Gewährt Berechtigungen zum Erstellen, Ändern, Löschen, Ansehen und Zuweisen von Sicherungsplänen, Sicherungsvorlagen und Ressourcenprofilen. |
| backupdr.managementServers.testFailOvers | Gewährt Berechtigungen zum Ausführen von Failover-Tests und zum Löschen von Failover-Testvorgängen für eine Remote-StreamSnap-Sicherung. |
| backupdr.managementServers.viewWorkflows | Gewährt Zugriff zum Ansehen von Backup- und DR-Workflows, die den Zugriff zum Kopieren von Daten im Backup- und DR-Dienst automatisieren. |
| backupdr.managementServers.runWorkflows | Gewährt Berechtigungen zum Ausführen eines vorkonfigurierten Backup- und DR-Workflows, der den Zugriff zum Kopieren von Daten im Backup- und DR-Dienst automatisiert. |
| backupdr.managementServers.refreshWorkflows | Gewährt Berechtigungen zum Aktualisieren eines Klons, der mit einem Backup- und DR-Workflow erstellt wurde, der den Zugriff zum Kopieren von Daten im Backup- und DR-Dienst automatisiert. |
| backupdr.managementServers.manageWorkflows | Gewährt Berechtigungen zum Hinzufügen, Ändern, Entfernen, Ausführen und Ansehen von Backup- und DR-Workflows, die den Zugriff zum Kopieren von Daten im Backup- und DR-Dienst automatisieren. |
| backupdr.managementServers.manageMirroring | Gewährt Berechtigungen zum Ausführen von Failover-, Syncback-, Bereinigungs-, Failback-, Failover-Test- und Failover-Testlöschvorgängen für eine Remote-StreamSnap-Sicherung. |
| backupdr.managementServers.manageHosts | Gewährt Berechtigungen zum Hinzufügen, Ändern, Entfernen und Ansehen von Hosts (physische und virtuelle Maschinen). |
| backupdr.managementServers.manageApplications | Gewährt Berechtigungen zum Verwalten aller Aspekte von Anwendungen, einschließlich logischer Gruppen und Konsistenzgruppen, zum Ausführen von On-Demand-Sicherungen und zum Exportieren von Vorlagen. |
| backupdr.managementServers.manageSensitiveData | Gewährt die Berechtigungen, die zum Markieren von Anwendungen und Sicherungen als vertrauliche oder nicht vertrauliche Daten erforderlich sind. |
| backupdr.managementServers.accessSensitiveData | Gewährt Zugriff auf Anwendungen und Sicherungen, die als vertraulich markiert sind. |
| Gewährt die Berechtigungen, die zum Ausführen von Backup-Server-APIs über die Appliance-Verwaltungskonsole erforderlich sind. | |
| backupdr.managementServers.manageExpiration | Gewährt die Berechtigungen, die zum Ablauf von Sicherungen erforderlich sind. |
| Gewährt Zugriff auf die Appliance-Verwaltungskonsole und die zugehörigen APIs. | |
| backupdr.managementServers.onpremUsageUpload | Gewährt Zugriff auf alle Endpunkte, die zum Hochladen der Nutzung auf einen lokalen Adapter erforderlich sind. |
| backupdr.managementServers.viewReports | Gewährt Zugriff auf den Berichtsmanager, um Berichte auszuführen und die Ausgabe anzusehen oder herunterzuladen. |
| backupdr.managementServers.manageJobs | Gewährt Berechtigungen zum Abbrechen von Jobs und zum Ändern der Jobpriorität. |
| backupdr.managementServers.manageMigrations | Gewährt Berechtigungen zum Verwalten der Migration bereitgestellter Daten als letzten Schritt eines Wiederherstellungs- oder Klonvorgangs. |
Berechtigungen, die für die Verwendung von CMEK erforderlich sind
Informationen zu den Berechtigungen, die für die Verwendung von CMEK erforderlich sind, finden Sie unter Vom Kunden verwaltete Verschlüsselungsschlüssel (CMEK).