בקרת גישה באמצעות IAM

סקירה כללית

ב-Live Stream API נעשה שימוש בניהול זהויות והרשאות גישה (IAM) כדי לבצע בקרה על הגישה.

אפשר להגדיר ב-Live Stream API בקרת גישה ברמת הפרויקט. לדוגמה, אתם יכולים להעניק למפתחים גישה להצגת רשימה של כל האירועים בפרויקט ולקבלת מידע עליהם.

למידע מפורט על IAM והמאפיינים שלו, תוכלו לעיין במסמכי העזרה של IAM. כדאי לקרוא באופן ספציפי את הקטע בנושא ניהול מדיניות IAM.

כדי להפעיל כל method של Live Stream API, למבצע הקריאה החוזרת (caller) צריכות להיות ההרשאות הנדרשות. מידע נוסף זמין במאמרים בנושא הרשאות ותפקידים.

הרשאות

בקטע הזה מפורטות ההרשאות של Live Stream API שנתמכות ב-IAM.

ההרשאות הנדרשות

בטבלאות הבאות מפורטות ההרשאות של IAM שמשויכות ל-Live Stream API.

שם השיטה של הנכסים ההרשאות הנדרשות
assets.create ‫livestream.assets.create במיקום האב, שהוא שילוב ספציפי של Google Cloud פרויקט ומיקום נתונים.
assets.delete ‫livestream.assets.delete במשאב הנכס.
assets.get ‫livestream.assets.get במשאב הנכס.
assets.list ‫livestream.assets.list במיקום ההורה, שהוא שילוב ספציפי של פרויקט ומיקום נתונים ב- Google Cloud .
שם השיטה של הערוצים ההרשאות הנדרשות
channels.create ‫livestream.channels.create במיקום האב, שהוא שילוב ספציפי של פרויקט ומיקום נתונים ב- Google Cloud .
channels.delete ‫livestream.channels.delete במשאב הערוץ.
channels.get ‫livestream.channels.get במשאב הערוץ.
channels.list ‫livestream.channels.list במיקום האב, שהוא שילוב ספציפי של פרויקט ומיקום נתונים ב- Google Cloud .
channels.patch ‫livestream.channels.update במשאב הערוץ.
channels.start ‫livestream.channels.start במשאב הערוץ.
channels.stop ‫livestream.channels.stop במשאב הערוץ.
שם ה-method של Clips ההרשאות הנדרשות
channels.clips.create livestream.clips.create בערוץ ההורה של המשאב.
channels.clips.delete ‫livestream.clips.delete במשאב של הקליפ.
channels.clips.get ‫livestream.clips.get במשאב של הקליפ.
channels.clips.list ‫livestream.clips.list בערוץ ההורה של המשאב.
שם שיטת האירועים ההרשאות הנדרשות
channels.events.create livestream.events.create בערוץ ההורה של המשאב.
channels.events.delete livestream.events.delete במשאב האירוע.
channels.events.get livestream.events.get במשאב האירוע.
channels.events.list livestream.events.list בערוץ ההורה של המשאב.
שם שיטת הקלט ההרשאות הנדרשות
inputs.create ‫livestream.inputs.create במיקום האב, שהוא שילוב ספציפי של Google Cloud פרויקט ומיקום נתונים.
inputs.delete ‫livestream.inputs.delete במשאב הקלט.
inputs.get ‫livestream.inputs.get במשאב הקלט.
inputs.list ‫livestream.inputs.list במיקום ההורה, שהוא שילוב ספציפי של פרויקט ומיקום נתונים ב- Google Cloud .
inputs.patch ‫livestream.inputs.update במשאב הקלט.
שם ה-method של המאגר ההרשאות הנדרשות
pools.get ‫livestream.pools.get במשאב של המאגר.
pools.patch ‫livestream.pools.patch במשאב של המאגר.

תפקידים

בטבלה הבאה מפורטים תפקידי IAM ב-Live Stream API, כולל ההרשאות שמשויכות לכל תפקיד:

תפקיד IAM הרשאות

(roles/livestream.viewer)

הרשאת קריאה למשאבי שידור חי.

livestream.assets.get

livestream.assets.list

livestream.channels.get

livestream.channels.list

livestream.channels.listEffectiveTags

livestream.channels.listTagBindings

livestream.clips.get

livestream.clips.list

livestream.dvrSessions.get

livestream.dvrSessions.list

livestream.events.get

livestream.events.list

livestream.inputs.get

livestream.inputs.list

livestream.inputs.listEffectiveTags

livestream.inputs.listTagBindings

livestream.locations.*

  • livestream.locations.get
  • livestream.locations.list

livestream.operations.get

livestream.operations.list

livestream.pools.get

livestream.pools.listEffectiveTags

livestream.pools.listTagBindings

resourcemanager.projects.get

resourcemanager.projects.list

(roles/livestream.editor)

גישה מלאה למשאבים של שידור חי.

livestream.*

  • livestream.assets.create
  • livestream.assets.delete
  • livestream.assets.get
  • livestream.assets.list
  • livestream.channels.create
  • livestream.channels.createTagBinding
  • livestream.channels.delete
  • livestream.channels.deleteTagBinding
  • livestream.channels.get
  • livestream.channels.list
  • livestream.channels.listEffectiveTags
  • livestream.channels.listTagBindings
  • livestream.channels.start
  • livestream.channels.stop
  • livestream.channels.update
  • livestream.clips.create
  • livestream.clips.delete
  • livestream.clips.get
  • livestream.clips.list
  • livestream.dvrSessions.create
  • livestream.dvrSessions.delete
  • livestream.dvrSessions.get
  • livestream.dvrSessions.list
  • livestream.dvrSessions.update
  • livestream.events.create
  • livestream.events.delete
  • livestream.events.get
  • livestream.events.list
  • livestream.inputs.create
  • livestream.inputs.createTagBinding
  • livestream.inputs.delete
  • livestream.inputs.deleteTagBinding
  • livestream.inputs.get
  • livestream.inputs.list
  • livestream.inputs.listEffectiveTags
  • livestream.inputs.listTagBindings
  • livestream.inputs.update
  • livestream.locations.get
  • livestream.locations.list
  • livestream.operations.cancel
  • livestream.operations.delete
  • livestream.operations.get
  • livestream.operations.list
  • livestream.pools.createTagBinding
  • livestream.pools.deleteTagBinding
  • livestream.pools.get
  • livestream.pools.listEffectiveTags
  • livestream.pools.listTagBindings
  • livestream.pools.update

resourcemanager.projects.get

resourcemanager.projects.list

מידע נוסף על תפקידים זמין במאמר הסבר על תפקידים.

גישה ל-Cloud Storage

כברירת מחדל, ל-Live Stream API יש גישה לכל הקטגוריות של Cloud Storage בפרויקט. כשיוצרים את האירוע הראשון בשידור חי, Live Stream API יוצר חשבון שירות לפי מוסכמת השמות הבאה:

service-PROJECT_NUMBER@gcp-sa-livestream.iam.gserviceaccount.com

‫PROJECT_NUMBER הוא מספר הפרויקט שבו מופעל Live Stream API. לחשבון השירות הזה מוקצה התפקיד 'סוכן שירות לשידור חי' ויש לו הרשאות לבצע את הפעולות הבאות:

  • קריאת קבצים בקטגוריות של Cloud Storage בפרויקט
  • העלאת קבצים לקטגוריות של Cloud Storage בפרויקט
  • מחיקת קבצים בקטגוריות של Cloud Storage בפרויקט
  • הצגת רשימה של קבצים והמטא-נתונים שלהם בקטגוריות של Cloud Storage בפרויקט

הגבלת הגישה

כדי להגביל את הגישה הזו לקטגוריות של Cloud Storage, צריך להסיר את התפקיד 'סוכן שירות של שידור חי' מחשבון השירות ולהחליף אותו בגישה מפורטת יותר. איך לעשות את זה?

  1. נכנסים לדף IAM (הכרטיסייה Permissions) במסוף Google Cloud .
  2. מחפשים את חשבון השירות עם התפקיד Live Stream Service Agent (סוכן שירות לשידור חי) ולוחצים על לחצן העריכה.
  3. מוחקים את התפקיד של סוכן שירות השידור החי מחשבון השירות.
  4. נותנים לחשבון השירות גישה לכל קטגוריה של Cloud Storage:
    1. נכנסים לדף Cloud Storage Browser.
    2. לוחצים על קטגוריה.
    3. לוחצים על הכרטיסייה Permissions (הרשאות).
    4. לוחצים על הוספה.
    5. בשדה New principals, מקלידים את השם של חשבון השירות.
    6. בקטע תפקיד, בוחרים באפשרות Storage Object Admin.
    7. לוחצים על Save. ל-Live Stream API יש עכשיו גישה לדלי.