IAM を使用してアクセスを制御する

Cloud Tasks は、Identity and Access Management（IAM）を使用してアクセス制御を行います。

アクセス制御は、プロジェクト レベルとキューレベルで構成できます。たとえば、タスクを作成してキューに追加できるようにするが、キューの削除は禁止するなど、機能を制限してアクセス権限を付与することができます。また、プロジェクト内のすべての Cloud Tasks リソースに対するアクセス権限をデベロッパーのグループに付与できます。

IAM とその機能の詳細については、IAM のドキュメントをご覧ください。特に、プロジェクト、フォルダ、組織へのアクセス権の管理セクションをご覧ください。

どの Cloud Tasks メソッドでも、呼び出し側に一定の権限が必要になります。 サポートされている権限と役割のリストについては、以下をご覧ください。 queue.yaml/xml の更新時、 Google Cloud コンソールの使用時にも、Cloud Tasks IAM の権限がチェックされます。

ロール

次の表に、Cloud Tasks IAM の役割と、各役割に含まれているすべての権限に対応するリストを示します。各権限は、それぞれ特定のリソースタイプを対象としています。

Cloud Tasks の役割
ロール 権限

（roles/cloudtasks.admin）

キューとタスクに対する完全アクセス権。

cloudtasks.*

  • cloudtasks.cmekConfig.get
  • cloudtasks.cmekConfig.update
  • cloudtasks.locations.get
  • cloudtasks.locations.list
  • cloudtasks.queues.create
  • cloudtasks.queues.delete
  • cloudtasks.queues.get
  • cloudtasks.queues.getIamPolicy
  • cloudtasks.queues.list
  • cloudtasks.queues.pause
  • cloudtasks.queues.purge
  • cloudtasks.queues.resume
  • cloudtasks.queues.setIamPolicy
  • cloudtasks.queues.update
  • cloudtasks.tasks.create
  • cloudtasks.tasks.delete
  • cloudtasks.tasks.fullView
  • cloudtasks.tasks.get
  • cloudtasks.tasks.list
  • cloudtasks.tasks.run

monitoring.timeSeries.list

resourcemanager.projects.get

resourcemanager.projects.list

（roles/cloudtasks.enqueuer）

タスクを作成するための権限。

cloudtasks.tasks.create

cloudtasks.tasks.fullView

resourcemanager.projects.get

resourcemanager.projects.list

（roles/cloudtasks.queueAdmin）

キューに対する管理者アクセス権です。

cloudtasks.locations.*

  • cloudtasks.locations.get
  • cloudtasks.locations.list

cloudtasks.queues.*

  • cloudtasks.queues.create
  • cloudtasks.queues.delete
  • cloudtasks.queues.get
  • cloudtasks.queues.getIamPolicy
  • cloudtasks.queues.list
  • cloudtasks.queues.pause
  • cloudtasks.queues.purge
  • cloudtasks.queues.resume
  • cloudtasks.queues.setIamPolicy
  • cloudtasks.queues.update

resourcemanager.projects.get

resourcemanager.projects.list

（roles/cloudtasks.serviceAgent）。

Cloud Tasks サービス アカウントにリソースを管理するためのアクセス権を付与します。

iam.serviceAccounts.getAccessToken

iam.serviceAccounts.getOpenIdToken

logging.logEntries.create

（roles/cloudtasks.taskDeleter）

タスクを削除するための権限。

cloudtasks.tasks.delete

resourcemanager.projects.get

resourcemanager.projects.list

（roles/cloudtasks.taskRunner）

タスクを実行するための権限。

cloudtasks.tasks.fullView

cloudtasks.tasks.run

resourcemanager.projects.get

resourcemanager.projects.list

（roles/cloudtasks.viewer）

タスク、キュー、位置の取得と一覧表示のアクセス権。

cloudtasks.cmekConfig.get

cloudtasks.locations.*

  • cloudtasks.locations.get
  • cloudtasks.locations.list

cloudtasks.queues.get

cloudtasks.queues.list

cloudtasks.tasks.fullView

cloudtasks.tasks.get

cloudtasks.tasks.list

monitoring.timeSeries.list

resourcemanager.projects.get

resourcemanager.projects.list