I ruoli determinano quali servizi e azioni sono disponibili per un account utente o un account di servizio. I seguenti tipi di ruoli concedono l'accesso ad App Engine:
Ruoli di base che si applicano a tutti i servizi e le risorse di un progetto, tra cui, a titolo esemplificativo, App Engine. Ad esempio, un account con il ruolo Editor può modificare le impostazioni di App Engine e Cloud Storage.
Ruoli App Engine predefiniti, che forniscono accesso granulare ad App Engine. Ogni servizio Il progetto Google Cloud fornisce i propri ruoli predefiniti. Ad esempio, un account con solo il ruolo App Engine Deployer può eseguire il deployment di app App Engine, ma non può visualizzare o creare oggetti in Cloud Storage. Un account di questo tipo richiede anche un ruolo predefinito Cloud Storage specifico per creare o visualizzare oggetti in Cloud Storage.
Ruoli personalizzati, che forniscono un accesso granulare in base a un elenco di autorizzazioni specificate.
Puoi utilizzare i ruoli di base quando lavori a progetti più piccoli con esigenze meno complesse. Per controlli di accesso più ottimizzati, utilizza i ruoli predefiniti.
Ruoli di base
I ruoli di base si applicano a tutti i servizi e le risorse in un progetto. Ad esempio, un nel ruolo Editor può modificare le impostazioni di App Engine, Impostazioni di Cloud Storage.
| Ruolo | Autorizzazioni della console Google Cloud | Autorizzazioni degli strumenti |
|---|---|---|
Owner |
Obbligatorio per creare applicazioni App Engine. Tutti i visualizzatori e gli editor privilegiati, oltre alla possibilità di visualizzare i deployment codice sorgente, invitare utenti, modificare i ruoli utente ed eliminare un'applicazione. | Obbligatorio per creare applicazioni App Engine. Può anche eseguire il deployment il codice dell'applicazione e aggiornare tutte le configurazioni. |
Editor |
Visualizza le informazioni sull'applicazione e modifica le impostazioni dell'applicazione. | Esegui il deployment del codice dell'applicazione, aggiorna gli indici/le code/i cron. |
Viewer |
Visualizzare le informazioni dell'applicazione. | Richiedere log |
Ruoli predefiniti di App Engine
| Role | Permissions |
|---|---|
App Engine Admin( Read/Write/Modify access to all application configuration and settings. To deploy new versions, a principal must have the
Service Account User
( Lowest-level resources where you can grant this role:
|
|
App Engine Creator( Ability to create the App Engine resource for the project. Lowest-level resources where you can grant this role:
|
|
App Engine Viewer( Read-only access to all application configuration and settings. Lowest-level resources where you can grant this role:
|
|
App Engine Code Viewer( Read-only access to all application configuration, settings, and deployed source code. Lowest-level resources where you can grant this role:
|
|
App Engine Managed VM Debug Access( Ability to read or manage v2 instances. |
|
App Engine Deployer( Read-only access to all application configuration and settings. To deploy new versions, you must also have the
Service Account User
( Cannot modify existing versions other than deleting versions that are not receiving traffic. Lowest-level resources where you can grant this role:
|
|
App Engine Memcache Data Admin( Can get, set, delete, and flush App Engine Memcache items. |
|
App Engine Service Admin( Read-only access to all application configuration and settings. Write access to module-level and version-level settings. Cannot deploy a new version. Lowest-level resources where you can grant this role:
|
|
Questi ruoli forniscono l'accesso solo ad App Engine. Se il tuo progetto include altri servizi, come Cloud Storage o Cloud SQL, dovrai assegnare ruoli aggiuntivi per consentire l'accesso agli altri servizi.
Confronto dei ruoli predefiniti di App Engine
La tabella seguente fornisce un confronto completo delle funzionalità di ciascun ruolo App Engine predefinito.
| Capacità | App Engine Admin | App Engine Service Admin | Deployer App Engine | App Engine Viewer | App Engine Code Viewer |
|---|---|---|---|---|---|
| Elenco di tutti i servizi, le versioni e le istanze | Sì | Sì | Sì | Sì | Sì |
| Visualizza tutte le impostazioni per applicazioni, servizi, versioni e istanze | Sì | Sì | Sì | Sì | Sì |
| Visualizza metriche di runtime come utilizzo delle risorse, informazioni sul caricamento e informazioni sugli errori | Sì | Sì | Sì | Sì | Sì |
| Visualizza il codice sorgente dell'app | No | No | No | No | Sì |
| Eseguire il deployment di una nuova versione di un'app | Sì, se concedi anche il ruolo Utente account di servizio | No | Sì, se concedi anche il ruolo Utente account di servizio | No | No |
| Suddividere o eseguire la migrazione del traffico | Sì | Sì | No*** | No | No |
| Avviare e arrestare una versione | Sì | Sì | No | No | No |
| Elimina una versione | Sì | Sì | Sì | No | No |
| Eliminare un intero servizio | Sì | Sì | No | No | No |
| Utilizzare SSH per connettersi a un'istanza VM nell'ambiente flessibile | Sì | No | No | No | No |
| Arresta un'istanza | Sì | No | No | No | No |
| Disattiva e riattiva l'applicazione App Engine | Sì | No | No | No | No |
| Gestori degli accessi con una limitazione login:admin (solo runtime di prima generazione) | Sì | No | No | No | No |
| Aggiorna le regole di invio | Sì | No | No | No | No |
| Aggiornare le impostazioni DoS | Sì | No | No | No | No |
| Aggiornare le pianificazioni cron | No | No | No | No | No |
| Aggiorna la scadenza predefinita dei cookie | Sì | No | No | No | No |
| Aggiorna i referrer | Sì | No | No | No | No |
| Aggiorna i mittenti autorizzati dell'API Email | Sì | No | No | No | No |
Per maggiori dettagli sulle autorizzazioni IAM specifiche concesse da ciascun ruolo, consulta la sezione Ruoli della l'API Admin.
Ruolo consigliato per il deployment delle applicazioni
Per un account responsabile solo del deployment delle nuove versioni di un'app, ti consigliamo di concedere i seguenti ruoli:
- Ruolo Deployer App Engine (
roles/appengine.deployer) Ruolo Utente account di servizio (
roles/iam.serviceAccountUser)Il ruolo Utente account di servizio Consente all'account di impersonare l'account di servizio predefinito di App Engine durante il processo di deployment.
Se l'account utilizza i comandi
gcloudper il deployment, aggiungi anche questi ruoli:- Amministratore oggetti Storage (
roles/storage.objectAdmin) - Editor Cloud Build (
roles/cloudbuild.builds.editor)
- Amministratore oggetti Storage (
Per accedere ai dati archiviati in Datastore o aggiornare gli indici, abilita il ruolo Cloud Datastore Index Admin (
roles/datastore.indexAdmin).
Per informazioni dettagliate su come concedere le autorizzazioni richieste, consulta Creare un account utente.
Separazione dei compiti di deployment e routing del traffico
Molte organizzazioni preferiscono separare l'attività di deployment di una versione dell'applicazione dall'attività di aumento del traffico verso la versione appena creata e svolgere queste attività con funzioni di lavoro diverse. Il Deployer di App Engine I ruoli Amministratore di servizio App Engine forniscono questa separazione:
- Ruoli utente dell'account di servizio e del Deployer App Engine: gli account sono limitati a eseguendo il deployment di nuove versioni ed eliminando quelle precedenti che non gestiscono il traffico. L'account con questi ruoli non potrà configurare il traffico per nessuna versione né modificare le impostazioni a livello di applicazione, come le regole di invio o il dominio di autenticazione.
- Ruolo Amministratore servizio App Engine: gli account non possono eseguire il deployment di una nuova versione di un'app né modificare le impostazioni a livello di applicazione. Tuttavia, questi account hanno i privilegi per modificare le proprietà di servizi e versioni esistenti, inclusa la modifica delle versioni in grado di gestire il traffico. Il servizio App Engine Il ruolo Amministratore è ideale per un reparto Operations/IT che gestisce l'accelerazione alle versioni di cui è stato appena eseguito il deployment.
Limiti dei ruoli predefiniti
Nessuno dei ruoli predefiniti di App Engine concede l'accesso a quanto segue:
- Visualizzare e scaricare i log delle applicazioni.
- Visualizza i grafici di monitoraggio nella console Google Cloud.
- Abilita e disabilita la fatturazione.
- Esegui scansioni di sicurezza in Cloud Security Scanner.
- Accedi alla configurazione o ai dati archiviati in Datastore, Task Queues, Cloud Search o qualsiasi altro prodotto di archiviazione piattaforma Cloud.