Controle de acesso com o IAM

O Identity and Access Management (IAM) permite gerenciar o acesso aos recursos do Cloud Scheduler concedendo permissões específicas a principais, como usuários, grupos e contas de serviço. É possível atribuir papéis predefinidos ou personalizados para controlar quem pode visualizar, configurar e executar jobs programados.

Visão geral

O Cloud Scheduler usa o IAM para controle de acesso.

Para uma introdução sobre o IAM e os recursos dele, consulte a visão geral do IAM. Para saber como conceder e revogar o acesso, consulte Gerenciar o acesso a projetos, pastas e organizações.

Para ver listas de permissões e papéis compatíveis com o Cloud Scheduler, consulte as seções a seguir.

Ativar a API Cloud Scheduler

Para visualizar e atribuir papéis do IAM para o Cloud Scheduler, é preciso ativar a API Cloud Scheduler no projeto. Não será possível ver os papéis do Cloud Scheduler no console do Google Cloud até que você ative a API.

Funções necessárias para ativar APIs

Para ativar APIs, você precisa da permissão serviceusage.services.enable. Se você criou o projeto, provavelmente já tem essa permissão pelo papel de proprietário (roles/owner). Caso contrário, é possível conseguir essa permissão pelo papel de administrador do Service Usage (roles/serviceusage.serviceUsageAdmin). Saiba como conceder papéis.

Ativar a API

Papéis predefinidos

A tabela a seguir lista os papéis predefinidos do IAM do Cloud Scheduler com uma lista correspondente de todas as permissões incluídas em cada papel.

Os papéis predefinidos abordam os casos de uso mais comuns. Se seu caso de uso não estiver coberto pelos papéis predefinidos, crie um papel personalizado do IAM.

Papéis do Cloud Scheduler

Role	Permissions
Cloud Scheduler Admin (roles/cloudscheduler.admin) Full access to jobs and executions. Note that a Cloud Scheduler Admin (or any custom role with the permission cloudscheduler.jobs.create) can create jobs that publish to any Pub/Sub topics within the project. Lowest-level resources where you can grant this role: Project	appengine.applications.get cloudscheduler.* cloudscheduler.jobs.create cloudscheduler.jobs.delete cloudscheduler.jobs.enable cloudscheduler.jobs.fullView cloudscheduler.jobs.get cloudscheduler.jobs.list cloudscheduler.jobs.pause cloudscheduler.jobs.run cloudscheduler.jobs.update cloudscheduler.locations.get cloudscheduler.locations.list resourcemanager.projects.get resourcemanager.projects.list serviceusage.catalogs.listMembers serviceusage.consumerpolicy.analyze serviceusage.consumerpolicy.get serviceusage.effectivepolicy.get serviceusage.groups.* serviceusage.groups.list serviceusage.groups.listExpandedMembers serviceusage.groups.listMembers serviceusage.services.get serviceusage.services.list serviceusage.services.listApis serviceusage.services.listDependentServices serviceusage.values.test
Cloud Scheduler Viewer (roles/cloudscheduler.viewer) Get and list access to jobs, executions, and locations. Lowest-level resources where you can grant this role: Project	appengine.applications.get cloudscheduler.jobs.fullView cloudscheduler.jobs.get cloudscheduler.jobs.list cloudscheduler.locations.* cloudscheduler.locations.get cloudscheduler.locations.list resourcemanager.projects.get resourcemanager.projects.list serviceusage.catalogs.listMembers serviceusage.consumerpolicy.analyze serviceusage.consumerpolicy.get serviceusage.effectivepolicy.get serviceusage.groups.* serviceusage.groups.list serviceusage.groups.listExpandedMembers serviceusage.groups.listMembers serviceusage.services.get serviceusage.services.list serviceusage.services.listApis serviceusage.services.listDependentServices serviceusage.values.test
Cloud Scheduler Job Runner (roles/cloudscheduler.jobRunner) Access to run jobs. Lowest-level resources where you can grant this role: Project	appengine.applications.get cloudscheduler.jobs.fullView cloudscheduler.jobs.run resourcemanager.projects.get resourcemanager.projects.list serviceusage.catalogs.listMembers serviceusage.consumerpolicy.analyze serviceusage.consumerpolicy.get serviceusage.effectivepolicy.get serviceusage.groups.* serviceusage.groups.list serviceusage.groups.listExpandedMembers serviceusage.groups.listMembers serviceusage.services.get serviceusage.services.list serviceusage.services.listApis serviceusage.services.listDependentServices serviceusage.values.test

Service agent roles

Service agent roles should only be granted to service agents.

Role	Permissions
Cloud Scheduler Service Agent (roles/cloudscheduler.serviceAgent) Grants Cloud Scheduler Service Account access to manage resources. Warning: Do not grant service agent roles to any principals except service agents.	iam.serviceAccounts.getAccessToken iam.serviceAccounts.getOpenIdToken logging.logEntries.create logging.logEntries.route pubsub.topics.publish

Gerenciamento do IAM no nível do projeto

No nível do projeto ou por herança de uma pasta ou organização, é possível conceder, alterar e revogar papéis do IAM usando o console doGoogle Cloud , a API IAM ou a Google Cloud CLI. Para mais informações, consulte Gerenciar o acesso a projetos, pastas e organizações.

O Cloud Scheduler não é compatível com políticas do IAM no nível do recurso ou atributos de recurso de condições do IAM em jobs individuais. Qualquer papel do Cloud Scheduler concedido a um principal se aplica a todos os jobs no projeto:

• Para restringir quais principais podem visualizar, modificar ou executar jobs específicos, crie esses jobs em projetos separados.

• Para restringir quais recursos de destino um job de destino HTTP individual pode invocar quando é executado, configure o job com uma conta serviço gerenciado pelo usuário dedicada que tenha apenas as permissões necessárias para esse destino. Os principais que criam ou atualizam o job também precisam ter a permissão iam.serviceAccounts.actAs nessa conta de serviço, que pode ser concedida em contas de serviço individuais usando o papel Usuário da conta de serviço (roles/iam.serviceAccountUser).