使用 IAM 控管存取權

Cloud Tasks 使用 Identity and Access Management (IAM) 控管存取權。如要瞭解 IAM 及其功能，請參閱「IAM 總覽」。如要瞭解如何授予及撤銷存取權，請參閱「管理專案、資料夾和機構的存取權」。

您可以在專案層級和佇列層級設定存取控管選項。 舉例來說，您可以授予使用者在佇列中建立及新增工作的權限，但不允許刪除佇列。或者，您也可以將專案中所有 Cloud Tasks 資源的存取權授予一群使用者。詳情請參閱「安全佇列設定」。

每個 Cloud Tasks 方法都需要呼叫端具備必要的權限。本頁面說明 Cloud Tasks 支援的權限和角色。更新 queue.yaml (或舊版 queue.xml 檔案) 時，或使用 Google Cloud 控制台時，系統也會檢查權限。

注意： 如要使用 Google Cloud 控制台存取及管理工作，您也必須具備 appengine.applications.get 權限。所有App Engine 預先定義的角色都包含這項權限。

啟用 Cloud Tasks API

如要查看及指派 Cloud Tasks 的 IAM 角色，請為專案啟用 Cloud Tasks API。啟用 API 後，您才能在 Google Cloud 控制台看到 Cloud Tasks 角色。

控制台

如果尚未啟用，請啟用 Cloud Tasks API。

啟用 API 時所需的角色

如要啟用 API，您必須具備 serviceusage.services.enable 權限。如果您建立了專案，可能已透過「擁有者」角色 (roles/owner) 取得這項權限。否則，您可以透過「服務使用情形管理員」角色 (roles/serviceusage.serviceUsageAdmin) 取得這項權限。瞭解如何授予角色。

啟用 API

gcloud

如尚未啟用，請啟用 Cloud Tasks API：

啟用 API 時所需的角色

如要啟用 API，您必須具備 serviceusage.services.enable 權限。如果您建立了專案，可能已透過「擁有者」角色 (roles/owner) 取得這項權限。否則，您可以透過「服務使用情形管理員」角色 (roles/serviceusage.serviceUsageAdmin) 取得這項權限。瞭解如何授予角色。

gcloud services enable cloudtasks.googleapis.com

預先定義的角色

下表列出 Cloud Tasks 預先定義的 IAM 角色和對應權限。

預先定義的角色可因應大多數一般用途，如果預先定義的角色無法滿足您的用途，可以建立 IAM 自訂角色。

Role	Permissions
Cloud Tasks Admin (roles/cloudtasks.admin) Full access to queues and tasks.	cloudtasks.* cloudtasks.cmekConfig.get cloudtasks.cmekConfig.update cloudtasks.locations.get cloudtasks.locations.list cloudtasks.operations.get cloudtasks.queues.create cloudtasks.queues.delete cloudtasks.queues.get cloudtasks.queues.getIamPolicy cloudtasks.queues.list cloudtasks.queues.pause cloudtasks.queues.purge cloudtasks.queues.resume cloudtasks.queues.setIamPolicy cloudtasks.queues.update cloudtasks.tasks.create cloudtasks.tasks.delete cloudtasks.tasks.fullView cloudtasks.tasks.get cloudtasks.tasks.list cloudtasks.tasks.run monitoring.timeSeries.list resourcemanager.projects.get resourcemanager.projects.list
Cloud Tasks Editor (roles/cloudtasks.editor) Editor role for cloudtasks	cloudtasks.cmekConfig.get cloudtasks.locations.* cloudtasks.locations.get cloudtasks.locations.list cloudtasks.operations.get cloudtasks.queues.create cloudtasks.queues.delete cloudtasks.queues.get cloudtasks.queues.list cloudtasks.queues.pause cloudtasks.queues.purge cloudtasks.queues.resume cloudtasks.queues.update cloudtasks.tasks.* cloudtasks.tasks.create cloudtasks.tasks.delete cloudtasks.tasks.fullView cloudtasks.tasks.get cloudtasks.tasks.list cloudtasks.tasks.run monitoring.timeSeries.list resourcemanager.projects.get resourcemanager.projects.list
Cloud Tasks Viewer (roles/cloudtasks.viewer) Get and list access to tasks, queues, and locations.	cloudtasks.cmekConfig.get cloudtasks.locations.* cloudtasks.locations.get cloudtasks.locations.list cloudtasks.operations.get cloudtasks.queues.get cloudtasks.queues.list cloudtasks.tasks.fullView cloudtasks.tasks.get cloudtasks.tasks.list monitoring.timeSeries.list resourcemanager.projects.get resourcemanager.projects.list
Cloud Tasks Enqueuer ^Beta (roles/cloudtasks.enqueuer) Access to create tasks.	cloudtasks.operations.get cloudtasks.tasks.create cloudtasks.tasks.fullView resourcemanager.projects.get resourcemanager.projects.list
Cloud Tasks Queue Admin (roles/cloudtasks.queueAdmin) Admin access to queues.	cloudtasks.locations.* cloudtasks.locations.get cloudtasks.locations.list cloudtasks.queues.* cloudtasks.queues.create cloudtasks.queues.delete cloudtasks.queues.get cloudtasks.queues.getIamPolicy cloudtasks.queues.list cloudtasks.queues.pause cloudtasks.queues.purge cloudtasks.queues.resume cloudtasks.queues.setIamPolicy cloudtasks.queues.update resourcemanager.projects.get resourcemanager.projects.list
Cloud Tasks Task Deleter (roles/cloudtasks.taskDeleter) Access to delete tasks.	cloudtasks.tasks.delete resourcemanager.projects.get resourcemanager.projects.list
Cloud Tasks Task Runner ^Beta (roles/cloudtasks.taskRunner) Access to run tasks.	cloudtasks.tasks.fullView cloudtasks.tasks.run resourcemanager.projects.get resourcemanager.projects.list

Service agent roles

Service agent roles should only be granted to service agents.

Role	Permissions
Cloud Tasks Service Agent (roles/cloudtasks.serviceAgent) Grants Cloud Tasks Service Account access to manage resources. Warning: Do not grant service agent roles to any principals except service agents.	iam.serviceAccounts.getAccessToken iam.serviceAccounts.getOpenIdToken logging.logEntries.create

後續步驟

• 向 Cloud Tasks 進行驗證