
Before you begin
- Labs create a Google Cloud project and resources for a fixed time
- Labs have a time limit and no pause feature. If you end the lab, you'll have to restart from the beginning.
- On the top left of your screen, click Start lab to begin
Create a custom role using a YAML file
/ 20
Create a custom role using flags
/ 20
Update a custom role using a YAML file
/ 15
Update a custom role using flags
/ 15
Disabling a custom role
/ 15
Undeleting a custom role
/ 15
O Cloud IAM conta com as ferramentas certas para gerenciar as permissões de recursos com o mínimo de esforço e um alto nível de automação. Você não concede permissões diretamente aos usuários. Em vez disso, eles recebem papéis que agrupam uma ou mais permissões. Assim, é possível mapear cargos da empresa a determinados grupos e papéis. Os usuários só têm acesso às opções de que precisam para fazer o próprio trabalho, e os administradores podem facilmente conceder permissões padrão a grupos inteiros de usuários.
Há dois tipos de papel no Cloud IAM:
Os papéis predefinidos são criados e mantidos pelo Google. As permissões são atualizadas automaticamente conforme necessário, por exemplo, quando novos recursos ou serviços são adicionados ao Google Cloud.
Os papéis personalizados são definidos pelo usuário e permitem agrupar uma ou mais permissões disponíveis para atender a necessidades específicas. Esses papéis não são mantidos pelo Google. Quando novas permissões, recursos ou serviços são adicionados ao Google Cloud, os papéis personalizados não serão atualizados automaticamente. Para criar um papel personalizado, combine uma ou mais permissões disponíveis do Cloud IAM. Com elas, os usuários executam ações específicas nos recursos do Google Cloud.
Neste laboratório, você vai criar, atualizar, excluir e restaurar papéis personalizados.
Conhecer os papéis do IAM é recomendado para otimizar seu aprendizado.
Leia estas instruções. Os laboratórios são cronometrados e não podem ser pausados. O timer é iniciado quando você clica em Começar o laboratório e mostra por quanto tempo os recursos do Google Cloud vão ficar disponíveis.
Este laboratório prático permite que você realize as atividades em um ambiente real de nuvem, não em uma simulação ou demonstração. Você vai receber novas credenciais temporárias para fazer login e acessar o Google Cloud durante o laboratório.
Confira os requisitos para concluir o laboratório:
Clique no botão Começar o laboratório. Se for preciso pagar, você verá um pop-up para selecionar a forma de pagamento. No painel Detalhes do laboratório à esquerda, você vai encontrar o seguinte:
Se você estiver usando o navegador Chrome, clique em Abrir console do Google Cloud ou clique com o botão direito do mouse e selecione Abrir link em uma janela anônima.
O laboratório ativa os recursos e depois abre a página Fazer login em outra guia.
Dica: coloque as guias em janelas separadas lado a lado.
Se necessário, copie o Nome de usuário abaixo e cole na caixa de diálogo Fazer login.
Você também encontra o Nome de usuário no painel Detalhes do laboratório.
Clique em Seguinte.
Copie a Senha abaixo e cole na caixa de diálogo de boas-vindas.
Você também encontra a Senha no painel Detalhes do laboratório.
Clique em Seguinte.
Acesse as próximas páginas:
Depois de alguns instantes, o console do Google Cloud será aberto nesta guia.
O Cloud Shell é uma máquina virtual com várias ferramentas de desenvolvimento. Ele tem um diretório principal permanente de 5 GB e é executado no Google Cloud. O Cloud Shell oferece acesso de linha de comando aos recursos do Google Cloud.
Depois de se conectar, vai notar que sua conta já está autenticada, e que o projeto está configurado com seu PROJECT_ID. A saída contém uma linha que declara o projeto PROJECT_ID para esta sessão:
gcloud
é a ferramenta de linha de comando do Google Cloud. Ela vem pré-instalada no Cloud Shell e aceita preenchimento com tabulação.
Clique em Autorizar.
A saída será parecida com esta:
Saída:
Saída:
Exemplo de saída:
gcloud
, acesse o guia com informações gerais sobre a gcloud CLI no Google Cloud.
Execute o seguinte comando para definir a região do seu projeto:
Com o Cloud IAM, você também pode criar papéis personalizados. É possível criar um papel personalizado do Cloud IAM com uma ou mais permissões e atribuí-lo a usuários. Ele conta com uma IU e uma API para criar e gerenciar esses papéis.
Importante: com os papéis personalizados, você aplica o princípio de privilégio mínimo e garante que as contas de serviço e de usuários da organização tenham somente as permissões essenciais para executar as funções pretendidas.
Para criar um papel personalizado, combine uma ou mais permissões do Cloud IAM. Com elas, os usuários executam ações específicas nos recursos do Google Cloud.
No Cloud IAM, essas permissões são representadas no seguinte formato:
Por exemplo, com a permissão compute.instances.list
, o usuário pode listar as instâncias do Compute Engine que pertencem a ele. Já a instância compute.instances.stop
permite interromper uma VM.
Geralmente, a correspondência entre as permissões e os métodos REST é de 1:1, mas nem sempre. Ou seja, cada serviço do Google Cloud tem uma permissão associada para cada método REST que ele inclui. Para chamar um método, o autor da chamada precisa dessa permissão. Por exemplo, topic.publish()
só pode ser chamado com a permissão pubsub.topics.publish
.
Use os papéis personalizados somente para conceder permissões nas políticas do mesmo projeto ou organização a que os papéis ou recursos pertencem. Isso não pode ser feito se o recurso pertence a outro projeto ou organização.
Para criar um papel personalizado, o autor da chamada precisa ter a permissão iam.roles.create
.
Os usuários que não são proprietários, incluindo administradores da organização, precisam ter o papel "Administrador de papéis da organização" (roles/iam.organizationRoleAdmin) ou "Administrador de papel" do IAM (roles/iam.roleAdmin). Com o papel de "Avaliador de segurança" do IAM (roles/iam.securityReviewer), é possível acessar os papéis personalizados, mas não administrá-los.
A interface do usuário de papéis personalizados está localizada no console do Google Cloud, em "Papéis do IAM". Ela só é disponibilizada a usuários que têm permissões para criar ou gerenciar esses papéis. Por padrão, somente proprietários de projeto criam novos papéis. Para controlar o acesso a esse recurso, os proprietários concedem o papel de "Administrador de papel" do IAM a outros membros do mesmo projeto. No caso das organizações, somente os administradores da organização atribuem o papel de "Administrador de papéis da organização".
Antes de criar um papel personalizado, é importante saber:
Antes de criar um papel personalizado, é bom saber quais permissões podem ser aplicadas a um recurso. Para receber todas as permissões que podem ser aplicadas a um recurso e aos que estão abaixo na hierarquia, use a ferramenta de linha de comando gcloud, o console do Cloud ou a API IAM. Por exemplo, é possível receber todas as permissões que se pode aplicar a uma organização e aos projetos nessa organização.
Saída:
Antes de criar um papel personalizado, consulte os metadados dos papéis predefinidos e personalizados. Esses metadados incluem o ID e as permissões do papel. É possível exibir os metadados usando o console do Cloud ou a API IAM.
[ROLE_NAME]
pelo papel. Por exemplo: roles/viewer
ou roles/editor
.Exemplo de resposta (para roles/viewer):
Use o comando gcloud iam list-grantable-roles
para retornar uma lista de todos os papéis que podem ser aplicados a um recurso.
gcloud
para listar os papéis disponíveis no projeto:A resposta será semelhante a esta:
Para criar um papel personalizado, o autor da chamada precisa ter a permissão iam.roles.create
. Por padrão, o proprietário do projeto ou da organização tem essa permissão e pode criar e gerenciar esses papéis.
Os usuários que não são proprietários, incluindo administradores da organização, precisam receber o papel de "Administrador de papéis da organização" ou "Administrador de papel" do IAM.
Use o comando gcloud iam roles create
para criar novos papéis personalizados de duas formas:
Ao criar um papel personalizado, é preciso usar as flags --organization [ORGANIZATION-ID]
e --project [PROJECT-ID]
para indicar se ele se aplica à organização ou ao projeto. Nos exemplos abaixo, são criados papéis personalizados no nível do projeto.
Nas próximas seções, você vai criar papéis personalizados para os envolvidos no projeto.
Crie um arquivo YAML que tenha a definição do papel personalizado. É preciso que o arquivo seja estruturado da seguinte maneira:
Confira abaixo a descrição de cada um dos valores de marcador:
[ROLE-TITLE]
é um nome simples para o papel, como Leitor do papel.[ROLE_DESCRIPTION]
é uma breve descrição sobre o papel, como Minha descrição do papel personalizado.[LAUNCH_STAGE]
indica o estágio de um papel no ciclo de vida do lançamento, como ALPHA, BETA ou GA.includedPermissions
especifica a lista de uma ou mais permissões a serem incluídas no papel personalizado, como iam.roles.get.Após isso, salve e feche o arquivo ao pressionar CTRL+X, Y e ENTER.
Execute o seguinte comando gcloud
:
Se o papel for criado corretamente, a resposta a seguir será retornada:
Clique em Verificar meu progresso para conferir o objetivo.
Agora você usará o método de flag para criar um papel personalizado. As flags têm um formato semelhante ao do arquivo YAML, então você reconhecerá a estrutura do comando.
gcloud
a seguir:Exemplo de saída:
Clique em Verificar meu progresso para conferir o objetivo.
gcloud
a seguir para listar os papéis personalizados, especificando o nível do projeto ou da organização:Exemplo de saída:
Para listar papéis excluídos, também é possível especificar a flag --show-deleted
.
gcloud
a seguir para listar os papéis predefinidos:Ao atualizar os metadados de um recurso como um papel personalizado, é comum ler o estado atual, atualizar os dados localmente e enviá-los para gravação. Com esse padrão, pode ocorrer um conflito se dois ou mais processos independentes tentarem executar a sequência simultaneamente.
Por exemplo, quando dois proprietários de um projeto fazem alterações conflitantes em um papel ao mesmo tempo, pode haver uma falha.
Esse problema é solucionado no Cloud IAM com a propriedade etag
dos papéis personalizados. Essa propriedade é usada para verificar se o papel personalizado foi alterado desde a última solicitação. Quando você envia uma solicitação ao Cloud IAM com um valor de etag, o Cloud IAM compara o valor de etag na solicitação com o valor atual associado ao papel personalizado. A alteração só é gravada quando esses valores são correspondentes.
Use o comando gcloud iam roles update
para atualizar papéis personalizados de duas formas:
Ao atualizar um papel personalizado, é preciso usar as flags --organization [ORGANIZATION_ID]
ou --project [PROJECT_ID]
para indicar se ele se aplica à organização ou ao projeto. Nos exemplos abaixo, são criados papéis personalizados no nível do projeto.
Com o comando describe
, a definição do papel é retornada incluindo um valor de etag exclusivo que identifica a versão atual dele. Esse valor precisa ser incluído na definição atualizada do papel para impedir a substituição de alterações de papel simultâneas.
gcloud
, substituindo [ROLE_ID]
por editor.Ao usar o comando describe
, a seguinte resposta é retornada:
Copie a resposta para criar um novo arquivo YAML nas próximas etapas.
Com seu editor, crie um arquivo new-role-definition.yaml
:
includedPermissions
:Ao finalizar, seu arquivo YAML será semelhante a este:
Salve e feche o arquivo ao pressionar CTRL+X, Y e ENTER.
Agora você usará o comando update
para atualizar o papel. Execute o comando gcloud
a seguir, substituindo [ROLE_ID]
por editor:
Se o papel for atualizado corretamente, a resposta abaixo será retornada:
Clique em Verificar meu progresso para conferir o objetivo.
Cada uma das partes da definição de papel pode ser atualizada usando uma flag correspondente. Para acessar uma lista de todas as possíveis flags da documentação de referência do SDK, consulte o tópico gcloud iam roles update.
Use as flags a seguir para adicionar ou remover permissões:
--add-permissions
: adiciona uma ou mais permissões separadas por vírgula ao papel.--remove-permissions
: remove uma ou mais permissões separadas por vírgula do papel.Como alternativa, basta especificar as novas permissões usando a flag --permissions [PERMISSIONS]
e fazer uma lista separada por vírgula para substituir a atual.
gcloud
a seguir para adicionar permissões ao papel viewer usando flags:Se o papel for atualizado corretamente, a resposta abaixo será retornada:
Clique em Verificar meu progresso para conferir o objetivo.
Quando um papel é desativado, as vinculações de política relacionadas a ele ficam inativas e as permissões se tornam inválidas, mesmo que esse papel seja concedido a um usuário.
A maneira mais fácil de desativar um papel personalizado atual é usar a flag --stage
e defini-la como DISABLED.
gcloud
a seguir para desativar o papel viewer:Se o papel for atualizado corretamente, a resposta abaixo será retornada:
Clique em Verificar meu progresso para conferir o objetivo.
gcloud iam roles delete
para excluir um papel personalizado. Ao ser excluído, o papel fica inativo e não pode ser usado para criar vinculações de política do IAM.Exemplo de saída:
As vinculações permanecem após a exclusão, mas ficam inativas. A exclusão do papel pode ser cancelada em até sete dias. Após esse período, ele entra em um processo de exclusão permanente que dura 30 dias. Após 37 dias, o ID do papel é disponibilizado para novo uso.
--stage
:Clique em Verificar meu progresso para conferir o objetivo.
Neste laboratório, você criou e gerenciou papéis personalizados no IAM.
Saiba mais sobre o IAM no artigo Identity and Access Management.
Esses treinamentos ajudam você a aproveitar as tecnologias do Google Cloud ao máximo. Nossas aulas incluem habilidades técnicas e práticas recomendadas para ajudar você a alcançar rapidamente o nível esperado e continuar sua jornada de aprendizado. Oferecemos treinamentos que vão do nível básico ao avançado, com opções de aulas virtuais, sob demanda e por meio de transmissões ao vivo para que você possa encaixá-las na correria do seu dia a dia. As certificações validam sua experiência e comprovam suas habilidades com as tecnologias do Google Cloud.
Manual atualizado em 15 de abril de 2024
Laboratório testado em 13 de julho de 2023
Copyright 2025 Google LLC. Todos os direitos reservados. Google e o logotipo do Google são marcas registradas da Google LLC. Todos os outros nomes de produtos e empresas podem ser marcas registradas das respectivas empresas a que estão associados.