Zugriffssteuerung mit IAM

Mit Identity and Access Management (IAM) können Sie den Zugriff auf Cloud Scheduler-Ressourcen verwalten, indem Sie Dienstkonten und Hauptkonten bestimmte Berechtigungen gewähren. Sie können vordefinierte oder benutzerdefinierte Rollen zuweisen, um zu steuern, wer geplante Jobs ansehen, konfigurieren und ausführen kann.

Übersicht

Cloud Scheduler verwendet IAM für die Zugriffssteuerung.

Eine Einführung in IAM und die zugehörigen Features finden Sie in der IAM-Übersicht. Informationen zum Gewähren und Widerrufen des Zugriffs finden Sie unter Zugriff auf Projekte, Ordner und Organisationen verwalten.

In den folgenden Abschnitten finden Sie eine Liste der Berechtigungen und Rollen, die von Cloud Scheduler unterstützt werden.

Cloud Scheduler API aktivieren

Wenn Sie IAM-Rollen für Cloud Scheduler aufrufen und zuweisen möchten, müssen Sie die Cloud Scheduler API für Ihr Projekt aktivieren. Sie können die Cloud Scheduler-Rollen in der Google Cloud Console erst sehen, wenn Sie die API aktiviert haben.

Rollen, die zum Aktivieren von APIs erforderlich sind

Zum Aktivieren von APIs benötigen Sie die Berechtigung serviceusage.services.enable. Wenn Sie das Projekt erstellt haben, haben Sie diese Berechtigung wahrscheinlich bereits über die Rolle „Inhaber“ (roles/owner). Andernfalls können Sie diese Berechtigung über die Rolle „Service Usage-Administrator“ (roles/serviceusage.serviceUsageAdmin) erhalten. Informationen zum Zuweisen von Rollen.

API aktivieren

Vordefinierte Rollen

In der folgenden Tabelle sind die vordefinierten IAM-Rollen für Cloud Scheduler und die jeweiligen Berechtigungen aufgeführt, die eine Rolle umfasst.

Diese vorkonfigurierten Rollen berücksichtigen die meisten typischen Anwendungsfälle. Wenn Ihr Anwendungsfall nicht durch die vordefinierten Rollen abgedeckt ist, können Sie eine benutzerdefinierte IAM-Rolle erstellen.

Cloud Scheduler-Rollen

Role	Permissions
Cloud Scheduler Admin (roles/cloudscheduler.admin) Full access to jobs and executions. Note that a Cloud Scheduler Admin (or any custom role with the permission cloudscheduler.jobs.create) can create jobs that publish to any Pub/Sub topics within the project.	appengine.applications.get cloudscheduler.* cloudscheduler.jobs.create cloudscheduler.jobs.delete cloudscheduler.jobs.enable cloudscheduler.jobs.fullView cloudscheduler.jobs.get cloudscheduler.jobs.list cloudscheduler.jobs.pause cloudscheduler.jobs.run cloudscheduler.jobs.update cloudscheduler.locations.get cloudscheduler.locations.list resourcemanager.projects.get resourcemanager.projects.list serviceusage.consumerpolicy.analyze serviceusage.consumerpolicy.get serviceusage.effectivepolicy.get serviceusage.groups.* serviceusage.groups.list serviceusage.groups.listExpandedMembers serviceusage.groups.listMembers serviceusage.services.get serviceusage.services.list serviceusage.values.test
Cloud Scheduler Viewer (roles/cloudscheduler.viewer) Get and list access to jobs, executions, and locations.	appengine.applications.get cloudscheduler.jobs.fullView cloudscheduler.jobs.get cloudscheduler.jobs.list cloudscheduler.locations.* cloudscheduler.locations.get cloudscheduler.locations.list resourcemanager.projects.get resourcemanager.projects.list serviceusage.consumerpolicy.analyze serviceusage.consumerpolicy.get serviceusage.effectivepolicy.get serviceusage.groups.* serviceusage.groups.list serviceusage.groups.listExpandedMembers serviceusage.groups.listMembers serviceusage.services.get serviceusage.services.list serviceusage.values.test
Cloud Scheduler Job Runner (roles/cloudscheduler.jobRunner) Access to run jobs.	appengine.applications.get cloudscheduler.jobs.fullView cloudscheduler.jobs.run resourcemanager.projects.get resourcemanager.projects.list serviceusage.consumerpolicy.analyze serviceusage.consumerpolicy.get serviceusage.effectivepolicy.get serviceusage.groups.* serviceusage.groups.list serviceusage.groups.listExpandedMembers serviceusage.groups.listMembers serviceusage.services.get serviceusage.services.list serviceusage.values.test

Service agent roles

Service agent roles should only be granted to service agents.

Role	Permissions
Cloud Scheduler Service Agent (roles/cloudscheduler.serviceAgent) Grants Cloud Scheduler Service Account access to manage resources.	iam.serviceAccounts.getAccessToken iam.serviceAccounts.getOpenIdToken logging.logEntries.create logging.logEntries.route pubsub.topics.publish

IAM-Verwaltung auf Projektebene

Auf Projektebene können Sie IAM-Rollen mithilfe der Google Cloud Console, der IAM API oder der Google Cloud CLI zuweisen, ändern und widerrufen. Eine Anleitung finden Sie unter Zugriff auf Projekte, Ordner und Organisationen verwalten.