Google Cloud 控制台所需的 IAM 權限

下文說明在 Google Cloud 控制台的 Cloud Storage 部分執行動作時，需要具備哪些 Identity and Access Management (IAM) 權限。IAM 權限會組合成角色，您可以將角色授予使用者和群組。

使用 Google Cloud 控制台所需的常見權限

如要使用Google Cloud 控制台，通常需要特定權限：

• 所有涉及 bucket 的動作都應包含專案層級的 resourcemanager.projects.get 和 storage.buckets.list 權限。

  這些權限可讓您存取「Buckets」(值區) 頁面，在該頁面建立、查看及更新值區。

• 凡是在要求中納入計費專案的操作，都必須具備指定專案的 serviceusage.services.use 權限。

  這項權限可確保您有權向您指定的專案收費。舉例來說，存取啟用了要求者付費功能的值區時，就會使用包含計費專案的操作。

特定操作所需的權限

動作	必要 IAM 權限 (除了上述權限以外)
建立 Bucket	storage.buckets.create storage.buckets.enableObjectRetention^1
將標記附加至 bucket	storage.buckets.createTagBinding
列出或篩選值區	不需其他權限
列出直接附加至 bucket 的標記	storage.buckets.listTagBindings
列出繼承的標記和直接附加至 bucket 的標記	storage.buckets.listEffectiveTags
查看下列 bucket 資訊： 位置、複製狀態和預設儲存空間級別 保護設定 值區標籤 物件生命週期政策 禁止公開存取狀態 統一值區層級存取權狀態 Autoclass 狀態 網站設定	storage.buckets.get
變更下列 bucket 設定： 保護設定 預設儲存空間級別 值區標籤 物件生命週期政策 統一值區層級存取權狀態 Autoclass 狀態 網站設定 物件保留設定	storage.buckets.get storage.buckets.update storage.buckets.enableObjectRetention^1
啟用「要求者付費功能」功能	storage.buckets.get storage.buckets.update
停用「要求者付費功能」功能	storage.buckets.get storage.buckets.update resourcemanager.projects.createBillingAssignment^3
變更禁止公開存取設定	storage.buckets.get storage.buckets.setIamPolicy storage.buckets.update
變更值區權限	storage.buckets.get storage.buckets.getIamPolicy storage.buckets.setIamPolicy storage.buckets.update
刪除空白值區	storage.buckets.delete storage.objects.list
刪除非空白值區	storage.buckets.delete storage.objects.delete storage.objects.list
從 bucket 卸載標記	storage.buckets.deleteTagBinding
建立資料夾	storage.folders.create
取得資料夾的中繼資料	storage.folders.get
列出資料夾	storage.folders.list
重新命名資料夾	storage.folders.rename (來源 bucket) storage.folders.create (目的地 bucket)
刪除資料夾	storage.folders.delete
上傳物件或物件資料夾	storage.objects.create storage.objects.delete^2 storage.objects.setRetention^4
查看物件的詳細資料^5	storage.objects.get storage.objects.list
查看物件的版本記錄	storage.objects.get storage.objects.list
下載物件^5或物件資料夾	storage.objects.get storage.objects.list
列出 bucket 中的物件，包括非現行物件和虛刪除物件	storage.objects.list
判斷物件是否可公開存取^5	storage.buckets.getIamPolicy storage.objects.list storage.objects.getIamPolicy^7
重新命名物件或還原非現行版本的物件	storage.objects.create storage.objects.delete storage.objects.get storage.objects.list storage.objects.getIamPolicy^7 storage.objects.setIamPolicy^7
複製物件	storage.objects.create (目的地 bucket) storage.objects.delete^2 (目的地 bucket) storage.objects.get (來源物件) storage.objects.list (來源 bucket 和目的地 bucket) storage.objects.getIamPolicy^7,8 (來源物件) storage.objects.setIamPolicy^7,8 (目的地 bucket)
移動物件	storage.objects.create (適用於目的地 bucket) storage.objects.delete^2 (適用於目的地 bucket) storage.objects.delete (適用於來源 bucket) storage.objects.get (適用於來源物件) storage.objects.list (適用於來源 bucket 和目的地 bucket) storage.objects.getIamPolicy^7,8 (適用於來源物件) storage.objects.setIamPolicy^7,8 (適用於目的地 bucket)
查看物件的存取權限^5,6	storage.objects.get storage.objects.list storage.objects.getIamPolicy
編輯物件的存取權限^5,6	storage.objects.get storage.objects.list storage.objects.getIamPolicy storage.objects.setIamPolicy storage.objects.update
編輯物件的中繼資料^5	storage.objects.get storage.objects.list storage.objects.update
新增、變更或移除物件的保留設定^5	storage.objects.get storage.objects.list storage.objects.update storage.objects.setRetention storage.objects.overrideUnlockedRetention^9
新增或移除物件保留^5	storage.objects.get storage.objects.list storage.objects.update
刪除物件^5、物件的非現行版本，或物件資料夾	storage.objects.delete storage.objects.list
還原已刪除的物件	storage.objects.create storage.objects.delete^2 storage.objects.list storage.objects.restore
大量還原已刪除的物件	storage.objects.create storage.objects.delete^10 storage.objects.restore storage.buckets.restore storage.objects.setIamPolicy^7^,11
查看專案的 Cloud Storage 服務代理名稱	resourcemanager.projects.get
查看專案的服務帳戶 HMAC 金鑰	resourcemanager.projects.get storage.hmacKeys.list
建立服務帳戶的 HMAC 金鑰	resourcemanager.projects.get storage.hmacKeys.list storage.hmacKeys.create
停用或重新啟用服務帳戶的 HMAC 金鑰	resourcemanager.projects.get storage.hmacKeys.list storage.hmacKeys.update
刪除服務帳戶的 HMAC 金鑰	resourcemanager.projects.get storage.hmacKeys.list storage.hmacKeys.delete
為您登入的使用者帳戶建立、查看或刪除 HMAC 金鑰	resourcemanager.projects.get
設定、更新或停用專案、資料夾或組織的 Storage Intelligence 設定	storage.intelligenceConfigs.update
查看專案、資料夾或組織的 Storage Intelligence 設定	storage.intelligenceConfigs.get
在專案、資料夾或機構中，查看 Storage Intelligence 建議工具、發現項目、發現項目詳細資料和 bucket 深入分析詳細資料	storage.buckets.viewIntelligenceDetails
使用 Rapid Cache 建立快取	storage.anywhereCaches.create
使用 Rapid Cache 列出快取	storage.anywhereCaches.list
使用 Rapid Cache 更新快取	storage.anywhereCaches.update
使用 Rapid Cache 暫停快取	storage.anywhereCaches.pause
使用 Rapid Cache 重新啟用快取	storage.anywhereCaches.resume
使用 Rapid Cache 取得快取的中繼資料	storage.anywhereCaches.get
使用 Rapid Cache 停用快取	storage.anywhereCaches.disable

¹ 只有在啟用 bucket 以支援物件保留設定時，才需要這項權限。

²只有在目的地 bucket 中已有同名物件時，才需要這項權限。

³只有在您的要求中未包含計費專案時，才需要這項權限。詳情請參閱「要求者付費」功能的使用及存取需求條件。

⁴只有在新增保留設定時，才需要這項權限。

⁵如果是在相關物件的詳細資料頁面執行這項操作，且您並非從 bucket 的整體物件清單存取詳細資料頁面，則不需要 storage.objects.list。

⁶這項操作不適用於啟用統一 bucket 層級存取權的 bucket。

⁷這項權限不適用於已啟用統一值區層級存取權的值區。

⁸只有在保留目前套用至來源物件的權限時，才需要這項權限。

⁹變更現有的保留設定時，如果設定遭到鎖定、縮減或移除，就必須具備這項權限。

¹⁰ 只有在目的地 bucket 中已有同名物件，且您選取「Overwrite live objects」(覆寫使用中物件) 選項時，才需要這項權限。

¹¹ 只有在選取「複製來源存取控管機制 (ACL)」選項時，才需要這項權限。

後續步驟

• 如需角色和所含權限的清單，請參閱「Cloud Storage 的 IAM 角色」。

• 在專案和 bucket 層級授予 IAM 角色。