IAM으로 액세스 제어

Identity and Access Management (IAM)를 사용하면 사용자, 그룹, 서비스 계정과 같은 주 구성원에게 특정 권한을 부여하여 Cloud Scheduler 리소스에 대한 액세스를 관리할 수 있습니다. 사전 정의된 역할 또는 커스텀 역할을 할당하여 예약된 작업을 보고, 구성하고, 실행할 수 있는 사용자를 제어할 수 있습니다.

개요

Cloud Scheduler는 액세스 제어에 IAM을 사용합니다.

IAM 및 해당 기능에 대한 소개는 IAM 개요를 참조하세요. 액세스 권한을 부여하고 취소하는 방법을 알아보려면 프로젝트, 폴더, 조직에 대한 액세스 관리를 참조하세요.

Cloud Scheduler에서 지원하는 권한과 역할의 목록은 다음 섹션을 참조하세요.

Cloud Scheduler API를 사용 설정

Cloud Scheduler의 IAM 역할을 보고 할당하려면 프로젝트에 Cloud Scheduler API를 사용 설정해야 합니다. API를 사용 설정할 때까지는 Google Cloud 콘솔에서 Cloud Scheduler 역할을 볼 수 없습니다.

API 사용 설정에 필요한 역할

API를 사용 설정하려면 serviceusage.services.enable 권한이 필요합니다. 프로젝트를 만든 경우 소유자 역할 (roles/owner)을 통해 이 권한이 이미 있을 수 있습니다. 그렇지 않으면 서비스 사용량 관리자 역할 (roles/serviceusage.serviceUsageAdmin)을 통해 이 권한을 얻을 수 있습니다. 역할 부여 방법 알아보기

API 사용 설정하기

사전 정의된 역할

다음 표에서는 사전 정의된 Cloud Scheduler IAM 역할과 각 역할에 포함된 모든 권한 목록을 보여줍니다.

사전 정의된 역할은 일반적인 사용 사례를 대부분 처리합니다. 사용 사례가 사전 정의된 역할로 처리되지 않는 경우, IAM 커스텀 역할을 만들 수 있습니다.

Cloud Scheduler 역할

Role	Permissions
Cloud Scheduler Admin (roles/cloudscheduler.admin) Full access to jobs and executions. Note that a Cloud Scheduler Admin (or any custom role with the permission cloudscheduler.jobs.create) can create jobs that publish to any Pub/Sub topics within the project. Lowest-level resources where you can grant this role: Project	appengine.applications.get cloudscheduler.* cloudscheduler.jobs.create cloudscheduler.jobs.delete cloudscheduler.jobs.enable cloudscheduler.jobs.fullView cloudscheduler.jobs.get cloudscheduler.jobs.list cloudscheduler.jobs.pause cloudscheduler.jobs.run cloudscheduler.jobs.update cloudscheduler.locations.get cloudscheduler.locations.list resourcemanager.projects.get resourcemanager.projects.list serviceusage.catalogs.listMembers serviceusage.consumerpolicy.analyze serviceusage.consumerpolicy.get serviceusage.effectivepolicy.get serviceusage.groups.* serviceusage.groups.list serviceusage.groups.listExpandedMembers serviceusage.groups.listMembers serviceusage.services.get serviceusage.services.list serviceusage.services.listApis serviceusage.services.listDependentServices serviceusage.values.test
Cloud Scheduler Viewer (roles/cloudscheduler.viewer) Get and list access to jobs, executions, and locations. Lowest-level resources where you can grant this role: Project	appengine.applications.get cloudscheduler.jobs.fullView cloudscheduler.jobs.get cloudscheduler.jobs.list cloudscheduler.locations.* cloudscheduler.locations.get cloudscheduler.locations.list resourcemanager.projects.get resourcemanager.projects.list serviceusage.catalogs.listMembers serviceusage.consumerpolicy.analyze serviceusage.consumerpolicy.get serviceusage.effectivepolicy.get serviceusage.groups.* serviceusage.groups.list serviceusage.groups.listExpandedMembers serviceusage.groups.listMembers serviceusage.services.get serviceusage.services.list serviceusage.services.listApis serviceusage.services.listDependentServices serviceusage.values.test
Cloud Scheduler Job Runner (roles/cloudscheduler.jobRunner) Access to run jobs. Lowest-level resources where you can grant this role: Project	appengine.applications.get cloudscheduler.jobs.fullView cloudscheduler.jobs.run resourcemanager.projects.get resourcemanager.projects.list serviceusage.catalogs.listMembers serviceusage.consumerpolicy.analyze serviceusage.consumerpolicy.get serviceusage.effectivepolicy.get serviceusage.groups.* serviceusage.groups.list serviceusage.groups.listExpandedMembers serviceusage.groups.listMembers serviceusage.services.get serviceusage.services.list serviceusage.services.listApis serviceusage.services.listDependentServices serviceusage.values.test

Service agent roles

Service agent roles should only be granted to service agents.

Role	Permissions
Cloud Scheduler Service Agent (roles/cloudscheduler.serviceAgent) Grants Cloud Scheduler Service Account access to manage resources. Warning: Do not grant service agent roles to any principals except service agents.	iam.serviceAccounts.getAccessToken iam.serviceAccounts.getOpenIdToken logging.logEntries.create logging.logEntries.route pubsub.topics.publish

프로젝트 수준 IAM 관리

프로젝트 수준에서 또는 폴더나 조직에서 상속을 통해Google Cloud 콘솔, IAM API 또는 Google Cloud CLI를 사용하여 IAM 역할을 부여, 변경, 취소할 수 있습니다. 자세한 내용은 프로젝트, 폴더, 조직에 대한 액세스 관리를 참조하세요.

Cloud Scheduler는 개별 작업에 대한 리소스 수준 IAM 정책 또는 IAM 조건 리소스 속성을 지원하지 않습니다. 주 구성원에게 부여된 모든 Cloud Scheduler 역할은 프로젝트의 모든 작업에 적용됩니다.

• 특정 작업을 보거나 수정하거나 실행할 수 있는 주 구성원을 제한하려면 별도의 프로젝트에서 해당 작업을 만듭니다.

• 개별 HTTP 대상 작업이 실행될 때 호출할 수 있는 대상 리소스를 제한하려면 해당 대상에 필요한 권한만 있는 전용 사용자 관리 서비스 계정으로 작업을 구성합니다. 작업을 만들거나 업데이트하는 주 구성원에게는 해당 서비스 계정에 대한 iam.serviceAccounts.actAs 권한도 있어야 합니다. 이 권한은 서비스 계정 사용자 역할 (roles/iam.serviceAccountUser)을 사용하여 개별 서비스 계정에 부여할 수 있습니다.