בקרת גישה באמצעות IAM

בעזרת ניהול זהויות והרשאות גישה (IAM) אתם יכולים לנהל את הגישה למשאבים של Cloud Scheduler, על ידי מתן הרשאות ספציפיות לחשבונות משתמשים, קבוצות וחשבונות שירות. אתם יכולים להקצות תפקידים מוגדרים מראש או תפקידים בהתאמה אישית כדי לקבוע מי יכול לראות, להגדיר ולהריץ משימות מתוזמנות.

סקירה כללית

ב-Cloud Scheduler משתמשים ב-IAM לבקרת גישה.

למבוא על IAM והמאפיינים שלו, קראו את הסקירה הכללית על IAM. במאמר ניהול הגישה לפרויקטים, לתיקיות ולארגונים מוסבר איך נותנים ומבטלים גישה.

בקטעים הבאים מפורטות רשימות של ההרשאות והתפקידים שנתמכים ב-Cloud Scheduler.

הפעלה של Cloud Scheduler API

כדי לראות ולהקצות תפקידי IAM ל-Cloud Scheduler, צריך להפעיל את Cloud Scheduler API בפרויקט. לא תוכלו לראות את התפקידים של Cloud Scheduler במסוף Google Cloud עד שתפעילו את ה-API.

התפקידים שנדרשים כדי להפעיל ממשקי API

כדי להפעיל ממשקי API, צריך את ההרשאה serviceusage.services.enable. אם אתם יצרתם את הפרויקט, סביר להניח שכבר יש לכם את ההרשאה הזו דרך התפקיד "בעלים" (roles/owner). אחרת, אתם יכולים לקבל את ההרשאה הזו דרך התפקיד "אדמין בממשק 'שימוש בשירות'" (roles/serviceusage.serviceUsageAdmin). איך מקצים תפקידים?

להפעלת ה-API

תפקידים מוגדרים מראש

בטבלה הבאה מפורטים התפקידים המוגדרים מראש ב-IAM ל-Cloud Scheduler, עם רשימה תואמת של כל ההרשאות שכלולות בכל תפקיד.

התפקידים המוגדרים מראש מתאימים לרוב התרחישים הנפוצים. אם התפקידים המוגדרים מראש לא מתאימים לתרחיש לדוגמה שלכם, אתם יכולים ליצור תפקיד IAM בהתאמה אישית.

תפקידים ב-Cloud Scheduler

Role	Permissions
Cloud Scheduler Admin (roles/cloudscheduler.admin) Full access to jobs and executions. Note that a Cloud Scheduler Admin (or any custom role with the permission cloudscheduler.jobs.create) can create jobs that publish to any Pub/Sub topics within the project. Lowest-level resources where you can grant this role: Project	appengine.applications.get cloudscheduler.* cloudscheduler.jobs.create cloudscheduler.jobs.delete cloudscheduler.jobs.enable cloudscheduler.jobs.fullView cloudscheduler.jobs.get cloudscheduler.jobs.list cloudscheduler.jobs.pause cloudscheduler.jobs.run cloudscheduler.jobs.update cloudscheduler.locations.get cloudscheduler.locations.list resourcemanager.projects.get resourcemanager.projects.list serviceusage.catalogs.listMembers serviceusage.consumerpolicy.analyze serviceusage.consumerpolicy.get serviceusage.effectivepolicy.get serviceusage.groups.* serviceusage.groups.list serviceusage.groups.listExpandedMembers serviceusage.groups.listMembers serviceusage.services.get serviceusage.services.list serviceusage.services.listApis serviceusage.services.listDependentServices serviceusage.values.test
Cloud Scheduler Viewer (roles/cloudscheduler.viewer) Get and list access to jobs, executions, and locations. Lowest-level resources where you can grant this role: Project	appengine.applications.get cloudscheduler.jobs.fullView cloudscheduler.jobs.get cloudscheduler.jobs.list cloudscheduler.locations.* cloudscheduler.locations.get cloudscheduler.locations.list resourcemanager.projects.get resourcemanager.projects.list serviceusage.catalogs.listMembers serviceusage.consumerpolicy.analyze serviceusage.consumerpolicy.get serviceusage.effectivepolicy.get serviceusage.groups.* serviceusage.groups.list serviceusage.groups.listExpandedMembers serviceusage.groups.listMembers serviceusage.services.get serviceusage.services.list serviceusage.services.listApis serviceusage.services.listDependentServices serviceusage.values.test
Cloud Scheduler Job Runner (roles/cloudscheduler.jobRunner) Access to run jobs. Lowest-level resources where you can grant this role: Project	appengine.applications.get cloudscheduler.jobs.fullView cloudscheduler.jobs.run resourcemanager.projects.get resourcemanager.projects.list serviceusage.catalogs.listMembers serviceusage.consumerpolicy.analyze serviceusage.consumerpolicy.get serviceusage.effectivepolicy.get serviceusage.groups.* serviceusage.groups.list serviceusage.groups.listExpandedMembers serviceusage.groups.listMembers serviceusage.services.get serviceusage.services.list serviceusage.services.listApis serviceusage.services.listDependentServices serviceusage.values.test

Service agent roles

Service agent roles should only be granted to service agents.

Role	Permissions
Cloud Scheduler Service Agent (roles/cloudscheduler.serviceAgent) Grants Cloud Scheduler Service Account access to manage resources. Warning: Do not grant service agent roles to any principals except service agents.	iam.serviceAccounts.getAccessToken iam.serviceAccounts.getOpenIdToken logging.logEntries.create logging.logEntries.route pubsub.topics.publish

ניהול IAM ברמת הפרויקט

ברמת הפרויקט, או באמצעות ירושה מתיקייה או מארגון, אתם יכולים להקצות, לשנות ולבטל תפקידי IAM באמצעות מסוףGoogle Cloud , ה-API של IAM או Google Cloud CLI. למידע נוסף, קראו את המאמר ניהול הגישה לפרויקטים, לתיקיות ולארגונים.

ב-Cloud Scheduler אין תמיכה בכללי מדיניות של IAM ברמת המשאב או במאפייני משאבים של תנאי IAM במשימות ספציפיות. כל תפקיד ב-Cloud Scheduler שמוקצה לחשבון משתמש חל על כל המשימות בפרויקט:

• כדי להגביל את חשבונות המשתמשים שיכולים לראות, לשנות או להריץ משימות ספציפיות, צריך ליצור את המשימות האלה בפרויקטים נפרדים.

• כדי להגביל את משאבי היעד שמשימה ספציפית עם יעד HTTP יכולה להפעיל כשהיא פועלת, מגדירים את המשימה עם חשבון שירות ייעודי בניהול המשתמש שיש לו רק את ההרשאות שנדרשות ליעד הזה. לחשבונות המשתמשים שיוצרים או מעדכנים את המשימה צריכה להיות גם ההרשאה iam.serviceAccounts.actAs בחשבון השירות הזה. אפשר להקצות את ההרשאה הזו לחשבונות שירות ספציפיים באמצעות התפקיד משתמש בחשבון שירות (roles/iam.serviceAccountUser).