IAM-Berechtigungen für die Google Cloud Console

Auf dieser Seite werden die IAM-Berechtigungen (Identity and Access Management) erläutert, die erforderlich sind, um Aktionen im Cloud Storage-Teil der Google Cloud Konsole auszuführen. IAM-Berechtigungen werden zusammengefasst, um Rollen zu erstellen. Außerdem weisen Sie Nutzern und Gruppen Rollen zu.

Allgemeine Berechtigungen, die zum Verwenden der Google Cloud Console erforderlich sind

Zum Verwenden derGoogle Cloud Console sind bestimmte Berechtigungen erforderlich:

• Alle Aktionen mit Buckets sollten die Berechtigungen resourcemanager.projects.get und storage.buckets.list auf Projektebene enthalten.

  Mit diesen Berechtigungen können Sie auf die Buckets-Seite zugreifen, auf der Sie Buckets erstellen, ansehen und aktualisieren.

• Für alle Aktionen, bei denen in der Anfrage ein Abrechnungsprojekt enthalten ist, brauchen Sie die Berechtigung serviceusage.services.use für das angegebene Projekt.

  Mit dieser Berechtigung wird sichergestellt, dass Sie befugt sind, das angegebene Projekt abzurechnen. Ein Abrechnungsprojekt wird beispielsweise hinzugefügt, wenn auf einen Bucket bei aktivierter Funktion Anforderer bezahlt zugegriffen wird.

Berechtigungen für bestimmte Aktionen

Aktion	Erforderliche IAM-Berechtigungen (zusätzlich zu den oben aufgeführten)
Bucket erstellen	storage.buckets.create storage.buckets.enableObjectRetention^1
Tag an einen Bucket anhängen	storage.buckets.createTagBinding
Buckets auflisten oder filtern	Keine weiteren Berechtigungen
Tags auflisten, die direkt an einen Bucket angehängt sind	storage.buckets.listTagBindings
Sowohl übernommene Tags als auch Tags auflisten, die direkt an einen Bucket angehängt sind	storage.buckets.listEffectiveTags
Sehen Sie sich die folgenden Bucket-Informationen an: Speicherort, Replikationsstatus und Standardspeicherklasse Einstellungen für Schutzmaßnahmen Bucket-Labels Richtlinien für den Objektlebenszyklus Status zum Schutz vor öffentlichem Zugriff Einheitlicher Zugriff auf Bucket-Ebene Autoclass-Status Websitekonfiguration	storage.buckets.get
Ändern Sie die folgenden Bucket-Einstellungen: Einstellungen für Schutzmaßnahmen Standardspeicherklasse Bucket-Labels Richtlinien für den Objektlebenszyklus Einheitlicher Zugriff auf Bucket-Ebene Autoclass-Status Websitekonfiguration Konfigurationen für die Objektaufbewahrung	storage.buckets.get storage.buckets.update storage.buckets.enableObjectRetention^1
Funktion "Sender bezahlt" aktivieren	storage.buckets.get storage.buckets.update
Funktion "Sender bezahlt" deaktivieren	storage.buckets.get storage.buckets.update resourcemanager.projects.createBillingAssignment^3
Einstellung für die Verhinderung des öffentlichen Zugriffs ändern	storage.buckets.get storage.buckets.setIamPolicy storage.buckets.update
Bucket-Berechtigungen ändern	storage.buckets.get storage.buckets.getIamPolicy storage.buckets.setIamPolicy storage.buckets.update
Leeren Bucket löschen	storage.buckets.delete storage.objects.list
Nichtleeren Bucket löschen	storage.buckets.delete storage.objects.delete storage.objects.list
Tags von einem Bucket trennen	storage.buckets.deleteTagBinding
Ordner erstellen	storage.folders.create
Metadaten eines Ordners abrufen	storage.folders.get
Ordner auflisten	storage.folders.list
Ordner umbenennen	storage.folders.rename (für den Quell-Bucket) storage.folders.create (für den Ziel-Bucket)
Ordner löschen	storage.folders.delete
Objekt oder Objektordner hochladen	storage.objects.create storage.objects.delete^2 storage.objects.setRetention^4
Details zu einem Objekt ansehen^5	storage.objects.get storage.objects.list
Versionsverlauf eines Objekts ansehen	storage.objects.get storage.objects.list
Objekt^5 oder Objektordner herunterladen	storage.objects.get storage.objects.list
Objekte in einem Bucket auflisten, einschließlich nicht aktueller und vorläufig gelöschter Objekte	storage.objects.list
Bestimmen, ob ein Objekt öffentlich zugänglich ist^5	storage.buckets.getIamPolicy storage.objects.list storage.objects.getIamPolicy^7
Objekt umbenennen oder eine nicht aktuelle Version eines Objekts wiederherstellen	storage.objects.create storage.objects.delete storage.objects.get storage.objects.list storage.objects.getIamPolicy^7 storage.objects.setIamPolicy^7
Objekt kopieren	storage.objects.create (für den Ziel-Bucket) storage.objects.delete^2 (für den Ziel-Bucket) storage.objects.get (für das Quellobjekt) storage.objects.list (für den Quell-Bucket und den Ziel-Bucket) storage.objects.getIamPolicy^7.8 (für das Quellobjekt) storage.objects.setIamPolicy^7.8 (für den Ziel-Bucket)
Objekt verschieben	storage.objects.create (für den Ziel-Bucket) storage.objects.delete^2 (für den Ziel-Bucket) storage.objects.delete (für den Quell-Bucket) storage.objects.get (für das Quellobjekt) storage.objects.list (für den Quell-Bucket und den Ziel-Bucket) storage.objects.getIamPolicy^7.8 (für das Quellobjekt) storage.objects.setIamPolicy^7.8 (für den Ziel-Bucket)
Zugriffsberechtigungen eines Objekts ansehen^5,6	storage.objects.get storage.objects.list storage.objects.getIamPolicy
Zugriffsberechtigungen eines Objekts bearbeiten^5,6	storage.objects.get storage.objects.list storage.objects.getIamPolicy storage.objects.setIamPolicy storage.objects.update
Metadaten eines Objekts bearbeiten^5	storage.objects.get storage.objects.list storage.objects.update
Aufbewahrungskonfiguration für ein Objekt hinzufügen, ändern oder entfernen^5	storage.objects.get storage.objects.list storage.objects.update storage.objects.setRetention storage.objects.overrideUnlockedRetention^9
Hold für ein Objekt einfügen oder entfernen^5	storage.objects.get storage.objects.list storage.objects.update
Ein Objekt^5, eine nicht aktuelle Version eines Objekts oder einen Ordner mit Objekten löschen	storage.objects.delete storage.objects.list
Gelöschtes Objekt wiederherstellen	storage.objects.create storage.objects.delete^2 storage.objects.list storage.objects.restore
Gelöschte Objekte im Bulk wiederherstellen	storage.objects.create storage.objects.delete^10 storage.objects.restore storage.buckets.restore storage.objects.setIamPolicy^7^,11
Name des Cloud Storage-Dienst-Agents eines Projekts ansehen	resourcemanager.projects.get
HMAC-Schlüssel des Dienstkontos für ein Projekt aufrufen	resourcemanager.projects.get storage.hmacKeys.list
HMAC-Schlüssel für ein Dienstkonto erstellen	resourcemanager.projects.get storage.hmacKeys.list storage.hmacKeys.create
HMAC-Schlüssel für ein Dienstkonto deaktivieren oder reaktivieren	resourcemanager.projects.get storage.hmacKeys.list storage.hmacKeys.update
HMAC-Schlüssel für ein Dienstkonto löschen	resourcemanager.projects.get storage.hmacKeys.list storage.hmacKeys.delete
HMAC-Schlüssel für das Nutzerkonto, als das Sie angemeldet sind, erstellen, aufrufen oder löschen	resourcemanager.projects.get
Storage Intelligence-Konfiguration für ein Projekt, einen Ordner oder eine Organisation konfigurieren, aktualisieren oder deaktivieren	storage.intelligenceConfigs.update
Storage Intelligence-Konfiguration für ein Projekt, einen Ordner oder eine Organisation ansehen	storage.intelligenceConfigs.get
Cache mit Anywhere Cache erstellen	storage.anywhereCaches.create
Cache mit Anywhere Cache auflisten	storage.anywhereCaches.list
Cache mit Anywhere Cache aktualisieren	storage.anywhereCaches.update
Cache mit Anywhere Cache pausieren	storage.anywhereCaches.pause
Cache mit Anywhere Cache fortsetzen	storage.anywhereCaches.resume
Metadaten eines Cache mit Anywhere Cache abrufen	storage.anywhereCaches.get
Cache mit Anywhere Cache deaktivieren	storage.anywhereCaches.disable

¹ Diese Berechtigung ist nur erforderlich, wenn ein Bucket für die Unterstützung von Aufbewahrungskonfigurationen für Objekte aktiviert wird.

²Diese Berechtigung ist nur erforderlich, wenn im Ziel-Bucket bereits ein Objekt mit demselben Namen vorhanden ist.

³Diese Berechtigung ist nur erforderlich, wenn in Ihrer Anfrage kein Abrechnungsprojekt enthalten ist. Weitere Informationen finden Sie auf der Seite "Sender bezahlt" unter Anforderungen für Zugriff und Verwendung.

⁴ Diese Berechtigung ist nur erforderlich, wenn Sie beim Hochladen des Objekts eine Aufbewahrungskonfiguration hinzufügen.

⁵Für diese Aktion ist storage.objects.list nicht erforderlich, wenn sie auf der Detailseite für das betreffende Objekt ausgeführt wird und Sie die Detailseite nicht über die Gesamtliste der Objekte für den Bereich aufrufen.

⁶ Diese Aktion gilt nicht für Buckets mit aktiviertem einheitlichen Zugriff auf Bucket-Ebene.

⁷ Diese Berechtigung gilt nicht für Buckets mit aktiviertem einheitlichen Zugriff auf Bucket-Ebene.

⁸ Diese Berechtigung ist nur erforderlich, wenn die Berechtigungen, die derzeit auf das Quellobjekt angewendet werden, beibehalten werden.

⁹ Diese Berechtigung ist erforderlich, wenn eine vorhandene Aufbewahrungskonfiguration so geändert wird, dass sie gesperrt, reduziert oder entfernt wird.

¹⁰ Diese Berechtigung ist nur erforderlich, wenn im Ziel-Bucket bereits ein Objekt mit demselben Namen vorhanden ist und Sie die Option Live-Objekte überschreiben auswählen.

¹¹ Diese Berechtigung ist nur erforderlich, wenn Sie die Option Zugriffssteuerungen (ACLs) der Quelle kopieren auswählen.

Nächste Schritte

• Eine Liste der Rollen und der darin enthaltenen Berechtigungen finden Sie unter IAM-Rollen für Cloud Storage.

• Weisen Sie IAM-Rollen auf Projekt- und Bucket-Ebene zu.