Permissões de IAM para métodos JSON

Nesta tabela, descrevemos a lista de permissões de Gerenciamento de identidade e acesso (IAM) obrigatórias para executar cada método JSON do Cloud Storage em um recurso específico. As permissões do IAM são agrupadas para criar papéis. Você pode conceder papéis a usuários e grupos.

Para outros métodos que só se aplicam a buckets com acesso uniforme no nível do bucket desativado, consulte a tabela de métodos da ACL.

Recurso	Método	Permissões de IAM obrigatórias^1
AnywhereCache	create	storage.anywhereCaches.create
AnywhereCache	disable	storage.anywhereCaches.disable
AnywhereCache	get	storage.anywhereCaches.get
AnywhereCache	list	storage.anywhereCaches.list
AnywhereCache	pause	storage.anywhereCaches.pause
AnywhereCache	resume	storage.anywhereCaches.resume
AnywhereCache	update	storage.anywhereCaches.update
Buckets	delete	storage.buckets.delete
Buckets	get	storage.buckets.get storage.buckets.getIamPolicy^2 storage.buckets.getIpFilter^13 storage.anywhereCaches.get^18
Buckets	getIamPolicy	storage.buckets.getIamPolicy
Buckets	insert	storage.buckets.create storage.buckets.enableObjectRetention^3 storage.buckets.setIpFilter^14
Buckets	list	storage.buckets.list storage.buckets.getIamPolicy^2 storage.buckets.getIpFilter^13 storage.anywhereCaches.list
Buckets	listChannels	storage.buckets.get
Buckets	lockRetentionPolicy	storage.buckets.update
Buckets	patch	storage.buckets.update storage.buckets.getIamPolicy^4 storage.buckets.setIamPolicy^5 storage.buckets.setIpFilter^14 storage.buckets.getIpFilter^13
Buckets	relocate	storage.buckets.relocate
Buckets	setIamPolicy	storage.buckets.setIamPolicy
Buckets	testIamPermissions	Nenhum
Buckets	update	storage.buckets.update storage.buckets.getIamPolicy^4 storage.buckets.setIamPolicy^5 storage.buckets.setIpFilter^14 storage.buckets.getIpFilter^13 storage.anywhereCaches.update
DatasetConfigs	delete	storageinsights.datasetConfigs.delete
DatasetConfigs	get	storageinsights.datasetConfigs.get
DatasetConfigs	insert	storageinsights.datasetConfigs.create
DatasetConfigs	list	storageinsights.datasetConfigs.list
DatasetConfigs	linkDataset	storageinsights.datasetConfigs.linkDataset
DatasetConfigs	unlinkDataset	storageinsights.datasetConfigs.unlinkDataset
DatasetConfigs	patch	storageinsights.datasetConfigs.update
Channels	stop	Nenhum
Folders	get	storage.folders.get
Folders	insert	storage.folders.create
Folders	list	storage.folders.list
Folders	rename	storage.folders.rename (para a pasta de origem) storage.folders.create (para a pasta de destino)
Folders	delete	storage.folders.delete
IntelligenceConfig	getIntelligenceConfig	storage.intelligenceConfigs.get
IntelligenceConfig	updateIntelligenceConfig	storage.intelligenceConfigs.update
Jobs	create	storagebatchoperations.jobs.create
Jobs	get	storagebatchoperations.jobs.get storagebatchoperations.operations.get
Jobs	list	storagebatchoperations.jobs.list storagebatchoperations.operations.list
Jobs	cancel	storagebatchoperations.jobs.cancel storagebatchoperations.operations.cancel
Jobs	delete	storagebatchoperations.jobs.delete
ManagedFolders	delete	storage.managedfolders.delete storage.managedfolders.setIamPolicy^10
ManagedFolders	get	storage.managedfolders.get
ManagedFolders	getIamPolicy	storage.managedfolders.getIamPolicy
ManagedFolders	insert	storage.managedfolders.create
ManagedFolders	list	storage.managedfolders.list
ManagedFolders	update	storage.managedfolders.update
ManagedFolders	setIamPolicy	storage.managedfolders.setIamPolicy
Notifications	delete	storage.buckets.update
Notifications	get	storage.buckets.get
Notifications	insert	storage.buckets.update
Notifications	list	storage.buckets.get
Objects	bulkRestore	storage.buckets.restore storage.objects.create storage.objects.delete^11 storage.objects.restore storage.objects.setIamPolicy^6^,12
Objects	compose	storage.objects.get storage.objects.create storage.objects.delete^7 storage.objects.getIamPolicy^2^,6 storage.objects.setRetention^8 storage.objects.createContext^19
Objects	copy	storage.objects.get (para o bucket de origem) storage.objects.create (para o bucket de destino) storage.objects.delete (para o bucket de destino)^7 storage.objects.setRetention (para o bucket de destino)^8 storage.objects.createContext^19
Objects	delete	storage.objects.delete
Objects	get	storage.objects.get storage.objects.getIamPolicy^2^,6
Objects	insert	storage.objects.create storage.objects.delete^7 storage.objects.setRetention^8 storage.objects.createContext^19
Objects	list	storage.objects.list storage.objects.getIamPolicy^2^,6
Objects	move	storage.objects.move^15 (para o objeto de origem) storage.objects.delete^15 (para o objeto de origem) storage.objects.get^15 (para o objeto de origem) storage.objects.create (para o objeto de destino) storage.objects.delete^16 (para o objeto de destino) storage.folders.create^17 (para o objeto de destino)
Objects	patch	storage.objects.update storage.objects.setRetention^8 storage.objects.overrideUnlockedRetention^9 storage.objects.getIamPolicy^4^,6 storage.objects.setIamPolicy^5^,6 storage.objects.createContext^20 storage.objects.updateContext^21 storage.objects.deleteContext^22
Objects	restore	storage.objects.create storage.objects.delete^7 storage.objects.restore storage.objects.getIamPolicy^2^,6 storage.objects.setIamPolicy^6^,12
Objects	rewrite	storage.objects.get (para o bucket de origem) storage.objects.create (para o bucket de destino) storage.objects.delete (para o bucket de destino)^7 storage.objects.setRetention (para o bucket de destino)^8 storage.objects.createContext^19
Objects	update	storage.objects.update storage.objects.setRetention^8 storage.objects.overrideUnlockedRetention^9 storage.objects.getIamPolicy^4^,6 storage.objects.setIamPolicy^5^,6 storage.objects.createContext^20 storage.objects.updateContext^21 storage.objects.deleteContext^22
Objects	watchAll	storage.buckets.update
Projects.hmacKeys	create	storage.hmacKeys.create
Projects.hmacKeys	delete	storage.hmacKeys.delete
Projects.hmacKeys	get	storage.hmacKeys.get
Projects.hmacKeys	list	storage.hmacKeys.list
Projects.hmacKeys	update	storage.hmacKeys.update
Projects.serviceAccount	get	resourceManager.projects.get
ReportConfigs	delete	storageinsights.reportConfigs.delete
ReportConfigs	get	storageinsights.reportConfigs.get
ReportConfigs	list	storageinsights.reportConfigs.list
ReportConfigs	insert	storageinsights.reportConfigs.create
ReportConfigs	update	storageinsights.reportConfigs.update
ReportDetails	get	storageinsights.reportDetails.get
ReportDetails	list	storageinsights.reportDetails.list

¹ Se você usar o parâmetro userProject ou o cabeçalho x-goog-user-project na solicitação, será necessário ter a permissão serviceusage.services.use para o ID do projeto especificado, além das permissões normais de IAM necessárias para fazer a solicitação.

² Essa permissão será obrigatória somente se você quiser incluir políticas de IAM ou ACLs como parte de uma projeção full. Se você não tiver essa permissão e solicitar uma projeção full, receberá apenas uma projeção parcial.

³ Essa permissão é obrigatória somente quando a solicitação inclui o parâmetro de consulta enableObjectRetention.

⁴ Essa permissão será obrigatória somente se você quiser incluir ACLs como parte da resposta.

⁵ Essa permissão será obrigatória se você quiser incluir ACLs ou alterações na configuração de prevenção de acesso público como parte da solicitação.

⁶ Essa permissão não se aplica a buckets com o acesso uniforme no nível do bucket ativado.

⁷ Essa permissão só será obrigatória se a solicitação fizer com que um objeto com o mesmo nome seja substituído.

⁸ Essa permissão é necessária quando o corpo da solicitação inclui a propriedade retention ou ao fazer uma solicitação UPDATE para um que tem uma configuração de retenção existente.

⁹ Essa permissão é obrigatória somente quando a solicitação inclui o parâmetro de consulta overrideUnlockedRetention=true.

¹⁰ Essa permissão é obrigatória somente quando a solicitação inclui o parâmetro de consulta allowNonEmpty=true.

¹¹ Essa permissão é obrigatória somente quando a solicitação inclui o parâmetro de consulta allowOverwrite=true e faz com que um objeto com o mesmo nome seja substituído.

¹² Essa permissão é obrigatória somente quando a solicitação inclui o parâmetro de consulta copySourceAcl=true.

¹³ Essa permissão é obrigatória somente se você quiser incluir regras de filtragem de IP do bucket como parte da solicitação Buckets: get. Se você não tiver essa permissão, vai receber apenas uma projeção parcial.

¹⁴ Essa permissão só é necessária se você quiser criar, listar, excluir e atualizar regras de filtragem de IP do bucket.

¹⁵ Para mover um objeto em um bucket com o namespace hierárquico ativado, você precisa das permissões storage.objects.delete e storage.objects.get ou da permissão storage.objects.move se quiser mover sem conceder acesso de leitura ou exclusão ao objeto.

¹⁶ Essa permissão é obrigatória somente se você quiser substituir um objeto.

¹⁷ Essa permissão só é necessária se você quiser criar automaticamente as pastas mãe ausentes.

¹⁸ Essa permissão só é necessária se você quiser retornar caches criados com o Anywhere Cache.

¹⁹ Essa permissão é obrigatória somente se a solicitação incluir uma propriedade destination.contexts.custom não vazia para compor um objeto ou uma propriedade contexts.custom não vazia para copiar, inserir ou reescrever um objeto.

²⁰ Essa permissão só é obrigatória se você quiser adicionar contextos a um objeto.

²¹ Essa permissão só é obrigatória se você quiser atualizar contextos de um objeto.

²² Essa permissão só é necessária se você quiser excluir contextos de um objeto.

Métodos relacionados à ACL

A tabela a seguir lista as permissões de IAM necessárias para executar métodos JSON que se aplicam especificamente ao gerenciamento de ACLs. Esses métodos se aplicam somente a buckets com o acesso uniforme no nível do bucket desativado.

Recurso	Método	Permissões de IAM obrigatórias^1
BucketAccessControls	delete	storage.buckets.get storage.buckets.getIamPolicy storage.buckets.setIamPolicy storage.buckets.update
BucketAccessControls	get	storage.buckets.get storage.buckets.getIamPolicy
BucketAccessControls	insert	storage.buckets.get storage.buckets.getIamPolicy storage.buckets.setIamPolicy storage.buckets.update
BucketAccessControls	list	storage.buckets.get storage.buckets.getIamPolicy
BucketAccessControls	patch	storage.buckets.get storage.buckets.getIamPolicy storage.buckets.setIamPolicy storage.buckets.update
BucketAccessControls	update	storage.buckets.get storage.buckets.getIamPolicy storage.buckets.setIamPolicy storage.buckets.update
DefaultObjectAccessControls	delete	storage.buckets.get storage.buckets.getIamPolicy storage.buckets.setIamPolicy storage.buckets.update
DefaultObjectAccessControls	get	storage.buckets.get storage.buckets.getIamPolicy
DefaultObjectAccessControls	insert	storage.buckets.get storage.buckets.getIamPolicy storage.buckets.setIamPolicy storage.buckets.update
DefaultObjectAccessControls	list	storage.buckets.get storage.buckets.getIamPolicy
DefaultObjectAccessControls	patch	storage.buckets.get storage.buckets.getIamPolicy storage.buckets.setIamPolicy storage.buckets.update
DefaultObjectAccessControls	update	storage.buckets.get storage.buckets.getIamPolicy storage.buckets.setIamPolicy storage.buckets.update
ObjectAccessControls	delete	storage.objects.get storage.objects.getIamPolicy storage.objects.setIamPolicy storage.objects.update
ObjectAccessControls	get	storage.objects.get storage.objects.getIamPolicy
ObjectAccessControls	insert	storage.objects.get storage.objects.getIamPolicy storage.objects.setIamPolicy storage.objects.update
ObjectAccessControls	list	storage.objects.get storage.objects.getIamPolicy
ObjectAccessControls	patch	storage.objects.get storage.objects.getIamPolicy storage.objects.setIamPolicy storage.objects.update
ObjectAccessControls	update	storage.objects.get storage.objects.getIamPolicy storage.objects.setIamPolicy storage.objects.update

¹ Se você usar o parâmetro userProject ou o cabeçalho x-goog-user-project na solicitação, será necessário ter a permissão serviceusage.services.use para o ID do projeto especificado, além das permissões normais de IAM necessárias para fazer a solicitação.

A seguir

• Veja uma lista de papéis e as permissões que eles contêm em Papéis do IAM para o Cloud Storage.

• Atribua papéis do IAM no nível do projeto e do bucket.