Peran dan izin

Google Cloud menawarkan Identity and Access Management (IAM) untuk memungkinkan Anda memberikan akses yang lebih terperinci ke resource Google Cloud tertentu dan mencegah akses ke resource lain. Halaman ini menjelaskan peran dan izin untuk Service Extensions.

Dengan IAM, Anda dapat menerapkan prinsip hak istimewa terendah untuk keamanan, sehingga Anda hanya perlu memberikan akses yang diperlukan ke resource Anda.

Peran adalah kumpulan izin IAM. Agar izin tersedia untuk akun utama, termasuk pengguna, grup, dan akun layanan, Anda perlu memberikan peran kepada akun utama. Anda dapat mengontrol siapa saja yang memiliki izin apa saja ke resource yang mana saja dengan menetapkan kebijakan IAM. Kebijakan IAM memberikan peran tertentu kepada akun utama, sehingga memberikan izin tertentu kepada akun utama tersebut.

Untuk mengetahui informasi mendetail tentang peran IAM, lihat Peran dan izin.

Peran dan izin yang telah ditetapkan untuk Service Extensions

Service Extensions mendukung izin IAM di level project.

Tabel berikut mencantumkan peran IAM Service Extensions dan izin yang disertakan dalam setiap peran.

Peran Izin

Service Extensions Admin

(roles/networkservices.serviceExtensionsAdmin)

Izin untuk membuat, memperbarui, mencantumkan, melihat, dan menghapus ekstensi.

 networkservices.authzExtensions.create
networkservices.authzExtensions.delete
networkservices.authzExtensions.get
networkservices.authzExtensions.list
networkservices.authzExtensions.update
networkservices.authzExtensions.use
networkservices.lbEdgeExtensions.create
networkservices.lbEdgeExtensions.delete
networkservices.lbEdgeExtensions.get
networkservices.lbEdgeExtensions.list
networkservices.lbEdgeExtensions.update
networkservices.lbRouteExtensions.create
networkservices.lbRouteExtensions.delete
networkservices.lbRouteExtensions.get
networkservices.lbRouteExtensions.list
networkservices.lbRouteExtensions.update
networkservices.lbTrafficExtensions.create
networkservices.lbTrafficExtensions.delete
networkservices.lbTrafficExtensions.get
networkservices.lbTrafficExtensions.list
networkservices.lbTrafficExtensions.update
networkservices.cdnEdgeExtensions.create
networkservices.cdnEdgeExtensions.delete
networkservices.cdnEdgeExtensions.get
networkservices.cdnEdgeExtensions.list
networkservices.cdnEdgeExtensions.update
networkservices.wasmPlugins.create
networkservices.wasmPlugins.delete
networkservices.wasmPlugins.get
networkservices.wasmPlugins.list
networkservices.wasmPlugins.update
networkservices.wasmPlugins.use
networkservices.wasmPluginVersions.create
networkservices.wasmPluginVersions.delete
networkservices.wasmPluginVersions.get
networkservices.wasmPluginVersions.list

Service Extensions Viewer

(roles/networkservices.serviceExtensionsViewer)

Izin untuk mencantumkan dan melihat ekstensi.

 networkservices.authzExtensions.get
networkservices.authzExtensions.list
networkservices.lbEdgeExtensions.get
networkservices.lbEdgeExtensions.list
networkservices.lbRouteExtensions.get
networkservices.lbRouteExtensions.list
networkservices.lbTrafficExtensions.get
networkservices.lbTrafficExtensions.list
networkservices.cdnEdgeExtensions.get
networkservices.cdnEdgeExtensions.list
networkservices.wasmPlugins.get
networkservices.wasmPlugins.list
networkservices.wasmPluginVersions.get
networkservices.wasmPluginVersions.list

Tabel berikut mencantumkan peran IAM yang Anda perlukan untuk layanan lain dan izin yang disertakan dalam setiap peran.

Peran Izin

Compute Load Balancer Admin

(roles/compute.loadBalancerAdmin)

Izin untuk memperbarui aturan penerusan. Diperlukan saat membuat dan memperbarui ekstensi yang dilampirkan ke aturan penerusan.

compute.forwardingRules.update
compute.globalForwardingRules.update

Compute Load Balancer Services User

(roles/compute.loadBalancerServiceUser)

Izin untuk menggunakan layanan backend. Diperlukan saat membuat dan mengupdate ekstensi yang menggunakan layanan backend sebagai layanan ekstensi.

compute.backendServices.use
compute.regionBackendBuckets.use
Role Permissions

(roles/serviceextensions.admin)

Grants full access to Service Extensions resources.

resourcemanager.projects.get

resourcemanager.projects.list

serviceextensions.*

  • serviceextensions.callouts.invoke
  • serviceextensions.locations.get
  • serviceextensions.locations.list

(roles/serviceextensions.editor)

Grants access to edit Service Extensions resources.

resourcemanager.projects.get

resourcemanager.projects.list

serviceextensions.*

  • serviceextensions.callouts.invoke
  • serviceextensions.locations.get
  • serviceextensions.locations.list

(roles/serviceextensions.viewer)

Grants read access to Service Extensions resources.

resourcemanager.projects.get

resourcemanager.projects.list

serviceextensions.locations.*

  • serviceextensions.locations.get
  • serviceextensions.locations.list

Service agent roles

Service agent roles should only be granted to service agents.

Role Permissions

(roles/networkactions.serviceAgent)

Gives Network Actions service account access to read required resources.

artifactregistry.files.download

artifactregistry.repositories.downloadArtifacts

Mengelola kontrol akses

Untuk menetapkan kontrol akses di level project, ikuti langkah-langkah berikut:

  1. Di konsol Google Cloud , buka halaman IAM.

    Buka IAM

  2. Pilih project Anda.

  3. Klik Tambahkan.

  4. Di New principals, masukkan alamat email principal baru.

  5. Pilih peran yang diperlukan.

  6. Klik Simpan.

  7. Pastikan principal tercantum dengan peran yang Anda berikan.

Mengidentifikasi izin dalam peran

Untuk menentukan apakah satu atau beberapa izin disertakan dalam peran, Anda dapat menggunakan salah satu metode berikut:

Langkah berikutnya