Control de acceso con la IAM

Cloud Tasks usa Identity and Access Management (IAM) para el control de acceso. Para obtener una introducción a IAM y sus funciones, consulta Descripción general de IAM. Si deseas obtener información para otorgar y revocar el acceso, consulta Administra el acceso a proyectos, carpetas y organizaciones.

Puedes configurar el control de acceso a nivel del proyecto y de la cola. Por ejemplo, puedes otorgarle a un usuario permiso para crear y agregar tareas a una cola, pero no para borrarla. También puedes otorgar acceso a todos los recursos de Cloud Tasks dentro de un proyecto a un grupo de usuarios. Para obtener más información, consulta Configuración de la fila segura.

Cada método de Cloud Tasks requiere que la persona que llama tenga los permisos necesarios. En esta página, se describen los permisos y los roles que admite Cloud Tasks. Los permisos también se verifican cuando se actualiza queue.yaml (o el archivo queue.xml heredado) o cuando usas la consola de Google Cloud .

Nota: Para acceder a las tareas y administrarlas con la consola de Google Cloud , también debes tener el permiso appengine.applications.get. Todas las funciones predefinidas de App Engine incluyen este permiso.

Habilita la API de Cloud Tasks

Para ver y asignar roles de IAM para Cloud Tasks, debes habilitar la API de Cloud Tasks en tu proyecto. No podrás ver los roles de Cloud Tasks en la consola de Google Cloud hasta que habilites la API.

Console

Habilita la API de Cloud Tasks si aún no lo hiciste.

Roles necesarios para habilitar las APIs

Para habilitar APIs, necesitas el permiso serviceusage.services.enable. Si creaste el proyecto, es probable que ya tengas este permiso a través del rol de propietario (roles/owner). De lo contrario, puedes obtener este permiso a través del rol de administrador de Service Usage (roles/serviceusage.serviceUsageAdmin). Obtén más información para otorgar roles.

Habilitar la API

gcloud

Habilita la API de Cloud Tasks si aún no lo hiciste:

Roles necesarios para habilitar las APIs

Para habilitar APIs, necesitas el permiso serviceusage.services.enable. Si creaste el proyecto, es probable que ya tengas este permiso a través del rol de propietario (roles/owner). De lo contrario, puedes obtener este permiso a través del rol de administrador de Service Usage (roles/serviceusage.serviceUsageAdmin). Obtén más información para otorgar roles.

gcloud services enable cloudtasks.googleapis.com

Funciones predefinidas

En la siguiente tabla, se enumeran los roles de IAM predefinidos de Cloud Tasks y sus permisos correspondientes.

Las funciones predefinidas abordan los casos de uso más típicos. Si las funciones predefinidas no cubren tu caso de uso, puedes crear una función personalizada de IAM.

Role	Permissions
Cloud Tasks Admin (roles/cloudtasks.admin) Full access to queues and tasks.	cloudtasks.* cloudtasks.cmekConfig.get cloudtasks.cmekConfig.update cloudtasks.locations.get cloudtasks.locations.list cloudtasks.operations.get cloudtasks.queues.create cloudtasks.queues.delete cloudtasks.queues.get cloudtasks.queues.getIamPolicy cloudtasks.queues.list cloudtasks.queues.pause cloudtasks.queues.purge cloudtasks.queues.resume cloudtasks.queues.setIamPolicy cloudtasks.queues.update cloudtasks.tasks.create cloudtasks.tasks.delete cloudtasks.tasks.fullView cloudtasks.tasks.get cloudtasks.tasks.list cloudtasks.tasks.run monitoring.timeSeries.list resourcemanager.projects.get resourcemanager.projects.list
Cloud Tasks Editor (roles/cloudtasks.editor) Editor role for cloudtasks	cloudtasks.cmekConfig.get cloudtasks.locations.* cloudtasks.locations.get cloudtasks.locations.list cloudtasks.operations.get cloudtasks.queues.create cloudtasks.queues.delete cloudtasks.queues.get cloudtasks.queues.list cloudtasks.queues.pause cloudtasks.queues.purge cloudtasks.queues.resume cloudtasks.queues.update cloudtasks.tasks.* cloudtasks.tasks.create cloudtasks.tasks.delete cloudtasks.tasks.fullView cloudtasks.tasks.get cloudtasks.tasks.list cloudtasks.tasks.run monitoring.timeSeries.list resourcemanager.projects.get resourcemanager.projects.list
Cloud Tasks Viewer (roles/cloudtasks.viewer) Get and list access to tasks, queues, and locations.	cloudtasks.cmekConfig.get cloudtasks.locations.* cloudtasks.locations.get cloudtasks.locations.list cloudtasks.operations.get cloudtasks.queues.get cloudtasks.queues.list cloudtasks.tasks.fullView cloudtasks.tasks.get cloudtasks.tasks.list monitoring.timeSeries.list resourcemanager.projects.get resourcemanager.projects.list
Cloud Tasks Enqueuer ^Beta (roles/cloudtasks.enqueuer) Access to create tasks.	cloudtasks.operations.get cloudtasks.tasks.create cloudtasks.tasks.fullView resourcemanager.projects.get resourcemanager.projects.list
Cloud Tasks Queue Admin (roles/cloudtasks.queueAdmin) Admin access to queues.	cloudtasks.locations.* cloudtasks.locations.get cloudtasks.locations.list cloudtasks.queues.* cloudtasks.queues.create cloudtasks.queues.delete cloudtasks.queues.get cloudtasks.queues.getIamPolicy cloudtasks.queues.list cloudtasks.queues.pause cloudtasks.queues.purge cloudtasks.queues.resume cloudtasks.queues.setIamPolicy cloudtasks.queues.update resourcemanager.projects.get resourcemanager.projects.list
Cloud Tasks Task Deleter (roles/cloudtasks.taskDeleter) Access to delete tasks.	cloudtasks.tasks.delete resourcemanager.projects.get resourcemanager.projects.list
Cloud Tasks Task Runner ^Beta (roles/cloudtasks.taskRunner) Access to run tasks.	cloudtasks.tasks.fullView cloudtasks.tasks.run resourcemanager.projects.get resourcemanager.projects.list

Service agent roles

Service agent roles should only be granted to service agents.

Role	Permissions
Cloud Tasks Service Agent (roles/cloudtasks.serviceAgent) Grants Cloud Tasks Service Account access to manage resources. Warning: Do not grant service agent roles to any principals except service agents.	iam.serviceAccounts.getAccessToken iam.serviceAccounts.getOpenIdToken logging.logEntries.create

¿Qué sigue?

• Autentícate en Cloud Tasks