Identity and Access Management (IAM) te permite administrar el acceso a los recursos de Cloud Scheduler otorgando permisos específicos a las principales, como usuarios, grupos y cuentas de servicio. Puedes asignar roles predefinidos o personalizados para controlar quién puede ver, configurar y ejecutar trabajos programados.
Descripción general
Cloud Scheduler usa IAM para el control de acceso.
Para obtener una introducción a IAM y sus funciones, consulta Descripción general de IAM. Si deseas obtener información para otorgar y revocar el acceso, consulta Administra el acceso a proyectos, carpetas y organizaciones.
Para obtener una lista de los permisos y roles que admite Cloud Scheduler, consulta las secciones que se incluyen a continuación.
Habilita la API de Cloud Scheduler
Para ver y asignar roles de IAM para Cloud Scheduler, debes habilitar la API de Cloud Scheduler en tu proyecto. No podrás ver los roles de Cloud Scheduler en la consola de Google Cloud hasta que habilites la API.
Roles necesarios para habilitar las APIs
Para habilitar las APIs, necesitas el permiso serviceusage.services.enable. Si
creaste el proyecto, es probable que ya tengas este permiso a través del
rol de propietario (roles/owner). De lo contrario, puedes obtenerlo a través del
rol de administrador de Service Usage (roles/serviceusage.serviceUsageAdmin).
Obtén más información para otorgar roles.
Roles predefinidos
En la siguiente tabla, se enumeran los roles predefinidos de IAM de Cloud Scheduler con una lista correspondiente de todos los permisos que se incluyen en cada rol.
Los roles predefinidos abordan la mayoría de los casos de uso típicos. Si tu caso de uso no está cubierto por los roles predefinidos, puedes crear un rol personalizado de IAM.
Funciones de Cloud Scheduler
| Role | Permissions |
|---|---|
Cloud Scheduler Admin( Full access to jobs and executions. Note that a Cloud Scheduler Admin (or any custom role with the permission cloudscheduler.jobs.create) can create jobs that publish to any Pub/Sub topics within the project. Lowest-level resources where you can grant this role:
|
|
Cloud Scheduler Viewer( Get and list access to jobs, executions, and locations. Lowest-level resources where you can grant this role:
|
|
Cloud Scheduler Job Runner( Access to run jobs. Lowest-level resources where you can grant this role:
|
|
Service agent roles
Service agent roles should only be granted to service agents.
| Role | Permissions |
|---|---|
Cloud Scheduler Service Agent( Grants Cloud Scheduler Service Account access to manage resources. |
|
Administración de IAM a nivel de proyecto
A nivel de proyecto, o a través de la herencia de una carpeta o una organización, puedes otorgar, cambiar y revocar roles de IAM con la consola deGoogle Cloud , la API de IAM o Google Cloud CLI. Para obtener más información, consulta Administra el acceso a proyectos, carpetas y organizaciones.
Cloud Scheduler no admite políticas de IAM a nivel de recurso ni atributos de recursos de condiciones de IAM en trabajos individuales. Cualquier rol de Cloud Scheduler otorgado a una principal se aplica a todos los trabajos del proyecto:
Para restringir qué principales pueden ver, modificar o ejecutar trabajos específicos, crea esos trabajos en proyectos independientes.
Para restringir qué recursos de destino puede invocar un trabajo de destino HTTP individual cuando se ejecuta, configura el trabajo con una cuenta de servicio administrada por el usuario dedicada que solo tenga los permisos necesarios para ese destino. Las principales que crean o actualizan el trabajo también deben tener el permiso
iam.serviceAccounts.actAsen esa cuenta de servicio, que puedes otorgar en cuentas de servicio individuales con el rol Usuario de cuenta de servicio (roles/iam.serviceAccountUser).