回滚需要新权限

本文档介绍了 2026 年将添加到 Cloud Deploy 中的一项新权限，该权限是回滚所必需的。

添加内容

自 2026 年 9 月 15 日起，无论是通过 Google Cloud 控制台还是 Google Cloud CLI 发起回滚，都将需要获取 clouddeploy.rollouts.rollback 权限。在此项更改之前，只需要 clouddeploy.rollouts.create 权限。

此权限已存在，并且 roles/clouddeploy.releaser 和 roles/clouddeploy.operator 等 IAM 角色已包含此权限。但对于通过 Google Cloud 控制台或 Google Cloud CLI 发起的回滚，目前尚不需要此权限。

我需要做什么？

与执行回滚相关的内置 Cloud Deploy 角色已拥有此权限。如果您仅为执行回滚的用户和服务帐号授予内置角色，则无需执行任何操作。

如果您有用户或服务账号使用 Google Cloud 控制台或 gcloud CLI 执行回滚，并且您为此目的向他们授予自定义 角色，则必须在 2026 年 9 月 15 日之前修改这些角色， 以包含 clouddeploy.rollouts.rollback 权限。

查找需要更新的自定义角色

运行以下命令，查找组织中需要 clouddeploy.rollouts.rollback 权限的自定义角色：

项目级

此命令用于查找项目中定义的需要 clouddeploy.rollouts.rollback 权限的自定义角色：

   gcloud asset search-all-resources \
     --scope=projects/PROJECT_ID \
     --asset-types='iam.googleapis.com/Role' \
     --filter="additionalAttributes.includedPermissions:clouddeploy.rollouts.create AND NOT additionalAttributes.includedPermissions:clouddeploy.rollouts.rollback" \
     --format="table(name, additionalAttributes.includedPermissions)"

组织级

此命令用于查找组织中定义的需要 clouddeploy.rollouts.rollback 权限的自定义角色：

   gcloud asset search-all-resources \
     --scope=organizations/ORG_NUMBER \
     --asset-types='iam.googleapis.com/Role' \
     --filter="additionalAttributes.includedPermissions:clouddeploy.rollouts.create AND NOT additionalAttributes.includedPermissions:clouddeploy.rollouts.rollback" \
     --format="table(name, additionalAttributes.includedPermissions)"

为该角色添加权限

对于您找到的每个需要添加新权限的自定义角色，请运行以下命令：

项目级

此命令用于将 clouddeploy.rollouts.rollback 添加到项目级自定义角色 ：

   gcloud iam roles update CUSTOM_ROLE_ID \
     --project=PROJECT_ID \
     --add-permissions=clouddeploy.rollouts.rollback

组织级

此命令用于将 clouddeploy.rollouts.rollback 添加到组织级自定义角色 ：

   gcloud iam roles update CUSTOM_ROLE_ID \
     --organization=ORG_NUMBER \
     --add-permissions=clouddeploy.rollouts.rollback

如需了解更多信息，请参阅 IAM 角色和权限 。