Autorisations IAM pour la console Google Cloud

La page suivante présente les autorisations IAM (gestion de l'authentification et des accès) requises pour effectuer des actions dans la partie Cloud Storage de la console Google Cloud . Les autorisations IAM sont regroupées pour créer des rôles, que vous attribuez à des utilisateurs et à des groupes.

Autorisations courantes requises pour utiliser la console Google Cloud

Certaines autorisations sont généralement nécessaires pour utiliser la consoleGoogle Cloud  :

• Toutes les actions impliquant des buckets doivent inclure les autorisations resourcemanager.projects.get et storage.buckets.list au niveau du projet.

  Ces autorisations vous permettent d'accéder à la page "Buckets", où vous pouvez créer, afficher et mettre à jour des buckets.

• Toutes les actions qui incluent un projet de facturation dans la requête nécessitent l'autorisation serviceusage.services.use pour le projet spécifié.

  Cette autorisation vous permet de facturer le projet que vous spécifiez. y compris d'utiliser un projet de facturation, par exemple lorsque vous accédez à un bucket pour lequel l'option Paiements du demandeur est activée.

Autorisations requises pour des actions spécifiques

Action	Autorisations IAM requises (en plus de celles répertoriées ci-dessus)
Créer un bucket	storage.buckets.create storage.buckets.enableObjectRetention^1
Associer un tag à un bucket	storage.buckets.createTagBinding
Répertorier ou filtrer les buckets	Pas d'autorisations supplémentaires
Répertorier les tags directement associés à un bucket	storage.buckets.listTagBindings
Répertorier les tags hérités et les tags directement associés à un bucket	storage.buckets.listEffectiveTags
Affichez les informations suivantes sur le bucket : Emplacement, état de réplication et classe de stockage par défaut Paramètres de protection Étiquettes de buckets Stratégies relatives au cycle de vie des objets État de la protection contre l'accès public État d'accès uniforme au niveau du bucket État de la classe automatique Configuration du site Web	storage.buckets.get
Modifiez les paramètres du bucket suivant : Paramètres de protection Classe de stockage par défaut Étiquettes de buckets Stratégies relatives au cycle de vie des objets État d'accès uniforme au niveau du bucket État de la classe automatique Configuration du site Web Configurations de conservation des objets	storage.buckets.get storage.buckets.update storage.buckets.enableObjectRetention^1
Activer la fonctionnalité "Paiements du demandeur"	storage.buckets.get storage.buckets.update
Désactiver la fonctionnalité "Paiements du demandeur"	storage.buckets.get storage.buckets.update resourcemanager.projects.createBillingAssignment^3
Modifier le paramètre de protection contre l'accès public	storage.buckets.get storage.buckets.setIamPolicy storage.buckets.update
Modifier les autorisations relatives à un bucket	storage.buckets.get storage.buckets.getIamPolicy storage.buckets.setIamPolicy storage.buckets.update
Supprimer un bucket vide	storage.buckets.delete storage.objects.list
Supprimer un bucket non vide	storage.buckets.delete storage.objects.delete storage.objects.list
Dissocier un tag d'un bucket	storage.buckets.deleteTagBinding
Créer un dossier	storage.folders.create
Obtenir les métadonnées d'un dossier	storage.folders.get
Répertorier les dossiers	storage.folders.list
Renommer des dossiers	storage.folders.rename (pour le bucket source) storage.folders.create (pour le bucket de destination)
Supprimer des dossiers	storage.folders.delete
Importer un objet ou un dossier d'objets	storage.objects.create storage.objects.delete^2 storage.objects.setRetention^4
Afficher les détails d'un objet^5	storage.objects.get storage.objects.list
Afficher l'historique des versions d'un objet	storage.objects.get storage.objects.list
Télécharger un objet^5 ou un dossier d'objets	storage.objects.get storage.objects.list
Répertorier les objets d'un bucket, y compris les objets archivés et supprimés de façon réversible	storage.objects.list
Déterminer si un objet est accessible au public^5	storage.buckets.getIamPolicy storage.objects.list storage.objects.getIamPolicy^7
Renommer un objet ou restaurer une version archivée d'un objet	storage.objects.create storage.objects.delete storage.objects.get storage.objects.list storage.objects.getIamPolicy^7 storage.objects.setIamPolicy^7
Copier un objet	storage.objects.create (pour le bucket de destination) storage.objects.delete^2 (pour le bucket de destination) storage.objects.get (pour l'objet source) storage.objects.list (pour le bucket source et le bucket de destination) storage.objects.getIamPolicy^7,8 (pour l'objet source) storage.objects.setIamPolicy^7,8 (pour le bucket de destination)
Déplacer un objet	storage.objects.create (pour le bucket de destination) storage.objects.delete^2 (pour le bucket de destination) storage.objects.delete (pour le bucket source) storage.objects.get (pour l'objet source) storage.objects.list (pour le bucket source et le bucket de destination) storage.objects.getIamPolicy^7,8 (pour l'objet source) storage.objects.setIamPolicy^7,8 (pour le bucket de destination)
Afficher les autorisations d'accès pour un objet^5,6	storage.objects.get storage.objects.list storage.objects.getIamPolicy
Modifier les autorisations d'accès pour un objet^5,6	storage.objects.get storage.objects.list storage.objects.getIamPolicy storage.objects.setIamPolicy storage.objects.update
Modifier les métadonnées d'un objet^5	storage.objects.get storage.objects.list storage.objects.update
Ajouter, modifier ou supprimer une configuration de conservation sur un objet^5	storage.objects.get storage.objects.list storage.objects.update storage.objects.setRetention storage.objects.overrideUnlockedRetention^9
Ajouter ou supprimer une préservation sur un objet^5	storage.objects.get storage.objects.list storage.objects.update
Supprimer un objet^5, une version archivée d'un objet ou un dossier d'objets	storage.objects.delete storage.objects.list
Restaurer un objet supprimé	storage.objects.create storage.objects.delete^2 storage.objects.list storage.objects.restore
Effectuer une restauration groupée des objets supprimés	storage.objects.create storage.objects.delete^10 storage.objects.restore storage.buckets.restore storage.objects.setIamPolicy^7^,11
Afficher le nom de l'agent de service Cloud Storage d'un projet	resourcemanager.projects.get
Afficher les clés HMAC de compte de service pour un projet	resourcemanager.projects.get storage.hmacKeys.list
Créer une clé HMAC pour un compte de service	resourcemanager.projects.get storage.hmacKeys.list storage.hmacKeys.create
Désactiver ou réactiver une clé HMAC pour un compte de service	resourcemanager.projects.get storage.hmacKeys.list storage.hmacKeys.update
Supprimer une clé HMAC pour un compte de service	resourcemanager.projects.get storage.hmacKeys.list storage.hmacKeys.delete
Créer, afficher ou supprimer une clé HMAC pour le compte utilisateur avec lequel vous êtes connecté	resourcemanager.projects.get
Configurer, mettre à jour ou désactiver la configuration de Storage Intelligence pour un projet, un dossier ou une organisation	storage.intelligenceConfigs.update
Afficher la configuration de Storage Intelligence dans un projet, un dossier ou une organisation	storage.intelligenceConfigs.get
Créer un cache à l'aide d'Anywhere Cache	storage.anywhereCaches.create
Lister un cache avec Anywhere Cache	storage.anywhereCaches.list
Mettre à jour un cache à l'aide du cache Anywhere	storage.anywhereCaches.update
Suspendre un cache à l'aide d'Anywhere Cache	storage.anywhereCaches.pause
Réactiver un cache avec Anywhere Cache	storage.anywhereCaches.resume
Obtenir les métadonnées d'un cache à l'aide d'Anywhere Cache	storage.anywhereCaches.get
Désactiver un cache à l'aide d'Anywhere Cache	storage.anywhereCaches.disable

¹ Cette autorisation n'est requise que si vous activez un bucket pour assurer la compatibilité avec les configurations de conservation des objets.

² Cette autorisation n'est requise que si un objet portant le même nom existe déjà dans le bucket de destination.

³ Cette autorisation n'est nécessaire que si vous n'incluez pas de projet de facturation dans votre requête. Pour plus d'informations, consultez la section Exigences relatives à l'utilisation et aux accès sur la page "Paiements du demandeur".

⁴ Cette autorisation n'est requise que si vous ajoutez une configuration de conservation lors de l'importation de l'objet.

⁵ Cette action ne nécessite pas storage.objects.list si elle est effectuée sur la page des détails de l'objet concerné et que vous n'accédez pas à la page des détails de la liste globale des objets pour le bucket.

⁶ Cette action ne s'applique pas aux buckets pour lesquels l'accès uniforme au niveau du bucket est activé.

⁷ Cette autorisation ne s'applique pas aux buckets pour lesquels l'accès uniforme au niveau du bucket est activé.

⁸ Cette autorisation n'est nécessaire que si vous conservez les autorisations actuellement appliquées à l'objet source.

⁹ Cette autorisation est requise pour modifier une configuration de conservation existante de sorte qu'elle soit verrouillée, réduite ou supprimée.

¹⁰ Cette autorisation n'est requise que si un objet portant le même nom existe déjà dans le bucket de destination et que vous sélectionnez l'option Écraser les objets actifs.

¹¹ Cette autorisation n'est requise que lorsque vous sélectionnez l'option Copier les contrôles d'accès sources (LCA).

Étapes suivantes

• Consultez la page Rôles IAM pour Cloud Storage pour découvrir la liste des rôles et les autorisations qu'ils comprennent.

• Attribuez des rôles IAM au niveau du projet et du bucket.