Funciones y permisos

Google Cloud ofrece Identity and Access Management (IAM) para que puedas brindar acceso más detallado a recursos específicos de Google Cloud y evitar el acceso a otros recursos. En esta página, se describen los roles y los permisos de Service Extensions.

Con IAM, puedes adoptar el principio de privilegio mínimo de seguridad, de manera que solo otorgas el acceso necesario a tus recursos.

Los roles son colecciones de permisos de IAM. A fin de que los permisos estén disponibles para las principales, incluidos los usuarios, los grupos y las cuentas de servicio, debes otorgar roles para las principales. Puedes controlar quién tiene qué permisos para qué recursos configurando las políticas de IAM. Las políticas de IAM otorgan roles específicos a las principales, lo que les otorga ciertos permisos.

Para obtener información detallada sobre los roles de IAM, consulta Roles y permisos.

Roles y permisos predefinidos para las extensiones de servicio

Las extensiones de servicio admiten permisos de IAM a nivel del proyecto.

En la siguiente tabla, se enumeran los roles de IAM de Service Extensions y los permisos que incluye cada rol.

Funciones Permisos

Administrador de Service Extensions

(roles/networkservices.serviceExtensionsAdmin)

Permisos para crear, actualizar, enumerar, ver y borrar extensiones.

 networkservices.authzExtensions.create
networkservices.authzExtensions.delete
networkservices.authzExtensions.get
networkservices.authzExtensions.list
networkservices.authzExtensions.update
networkservices.authzExtensions.use
networkservices.lbEdgeExtensions.create
networkservices.lbEdgeExtensions.delete
networkservices.lbEdgeExtensions.get
networkservices.lbEdgeExtensions.list
networkservices.lbEdgeExtensions.update
networkservices.lbRouteExtensions.create
networkservices.lbRouteExtensions.delete
networkservices.lbRouteExtensions.get
networkservices.lbRouteExtensions.list
networkservices.lbRouteExtensions.update
networkservices.lbTrafficExtensions.create
networkservices.lbTrafficExtensions.delete
networkservices.lbTrafficExtensions.get
networkservices.lbTrafficExtensions.list
networkservices.lbTrafficExtensions.update
networkservices.cdnEdgeExtensions.create
networkservices.cdnEdgeExtensions.delete
networkservices.cdnEdgeExtensions.get
networkservices.cdnEdgeExtensions.list
networkservices.cdnEdgeExtensions.update
networkservices.wasmPlugins.create
networkservices.wasmPlugins.delete
networkservices.wasmPlugins.get
networkservices.wasmPlugins.list
networkservices.wasmPlugins.update
networkservices.wasmPlugins.use
networkservices.wasmPluginVersions.create
networkservices.wasmPluginVersions.delete
networkservices.wasmPluginVersions.get
networkservices.wasmPluginVersions.list

Visualizador de Service Extensions

(roles/networkservices.serviceExtensionsViewer)

Permisos para enumerar y ver extensiones.

 networkservices.authzExtensions.get
networkservices.authzExtensions.list
networkservices.lbEdgeExtensions.get
networkservices.lbEdgeExtensions.list
networkservices.lbRouteExtensions.get
networkservices.lbRouteExtensions.list
networkservices.lbTrafficExtensions.get
networkservices.lbTrafficExtensions.list
networkservices.cdnEdgeExtensions.get
networkservices.cdnEdgeExtensions.list
networkservices.wasmPlugins.get
networkservices.wasmPlugins.list
networkservices.wasmPluginVersions.get
networkservices.wasmPluginVersions.list

En la siguiente tabla, se enumeran los roles de IAM que necesitas para otros servicios y los permisos que incluye cada rol.

Funciones Permisos

Administrador de balanceador de cargas de Compute

(roles/compute.loadBalancerAdmin)

Permisos para actualizar las reglas de reenvío. Es obligatorio cuando se crean y actualizan extensiones que se adjuntan a reglas de reenvío.

compute.forwardingRules.update
compute.globalForwardingRules.update

Usuario de servicios del balanceador de cargas de Compute

(roles/compute.loadBalancerServiceUser)

Permisos para usar servicios de backend. Es obligatorio cuando se crean y actualizan extensiones que usan servicios de backend como servicios de extensión.

compute.backendServices.use
compute.regionBackendBuckets.use
Role Permissions

(roles/serviceextensions.admin)

Grants full access to Service Extensions resources.

resourcemanager.projects.get

resourcemanager.projects.list

serviceextensions.*

  • serviceextensions.callouts.invoke
  • serviceextensions.locations.get
  • serviceextensions.locations.list

(roles/serviceextensions.editor)

Grants access to edit Service Extensions resources.

resourcemanager.projects.get

resourcemanager.projects.list

serviceextensions.*

  • serviceextensions.callouts.invoke
  • serviceextensions.locations.get
  • serviceextensions.locations.list

(roles/serviceextensions.viewer)

Grants read access to Service Extensions resources.

resourcemanager.projects.get

resourcemanager.projects.list

serviceextensions.locations.*

  • serviceextensions.locations.get
  • serviceextensions.locations.list

Service agent roles

Service agent roles should only be granted to service agents.

Role Permissions

(roles/networkactions.serviceAgent)

Gives Network Actions service account access to read required resources.

artifactregistry.files.download

artifactregistry.repositories.downloadArtifacts

Administra el control de acceso

Para configurar los controles de acceso a nivel del proyecto, sigue estos pasos:

  1. En la consola de Google Cloud , dirígete a la página IAM.

    Ir a IAM

  2. Elige tu proyecto.

  3. Haz clic en Agregar.

  4. En Principales nuevas, ingresa la dirección de correo electrónico de una principal nueva.

  5. Selecciona el rol requerido.

  6. Haz clic en Guardar.

  7. Verifica que la principal aparezca en la lista con el rol que le otorgaste.

Identifica los permisos de un rol

Para determinar si se incluyen uno o más permisos en un rol, puedes usar uno de los siguientes métodos:

¿Qué sigue?