Es posible que parte de la información de esta página (o toda) no se aplique a Cloud de Confiance de S3NS. Consulta Diferencias con Google Cloud para obtener más información.

Google utiliza tecnología de IA para traducir contenido a tu idioma preferido. Las traducciones realizadas con IA pueden contener errores.

Control de acceso a Bigtable con IAM

Identity and Access Management (IAM) te permite administrar permisos detallados en tus recursos de Bigtable. IAM te ayuda a aplicar el principio de privilegio mínimo y a proteger tus datos en proyectos, instancias y tablas.

Bigtable usa IAM para el control de acceso. Para controlar quién tiene acceso a un recurso, establece políticas de IAM en él.

Los recursos de Bigtable se organizan en una jerarquía. Un Cloud de Confiance by S3NS proyecto es el elemento superior de una instancia de Bigtable, que es el elemento superior de sus clústeres y tablas. Una tabla es el elemento superior de sus vistas autorizadas, mientras que un clúster es el elemento superior de sus copias de seguridad. Puedes configurar el control de acceso en cada nivel.

Si tienes permisos en un nivel, automáticamente tendrás permisos en los niveles inferiores. Por ejemplo, si tienes acceso a nivel del proyecto, también lo tendrás a las instancias, los clústeres, las tablas, las vistas autorizadas y las vistas materializadas continuas de ese proyecto. Si se te otorga acceso a una vista autorizada o a una vista materializada continua, no tendrás acceso automáticamente a los recursos de nivel superior que sean recursos principales de la vista autorizada o de la vista materializada continua, como la tabla y la instancia. Este comportamiento se denomina herencia de políticas.

Para obtener más información sobre la jerarquía de IAM, consulta Herencia de políticas de IAM.

Ejemplos de control de acceso

Estos son algunos ejemplos del uso del control de acceso a nivel del proyecto:

Permitir a cualquier usuario leer las tablas del proyecto, pero no escribir en ellas.
Permitir a cualquier usuario leer las tablas del proyecto y escribir en ellas, pero no administrar las instancias.
Permitir a cualquier usuario leer las tablas del proyecto, escribir en ellas y administrar las instancias.

Estos son algunos ejemplos del uso del control de acceso a nivel de la instancia:

Permite que un usuario lea desde cualquier tabla en solo una instancia de un proyecto que tiene varias instancias.
Permitir que un usuario administre solo una instancia en un proyecto de varias instancias

Estos son algunos ejemplos del uso del control de acceso a nivel de la tabla:

Permitir que un usuario escriba en una tabla, pero que no pueda leerla
Permitir que un usuario lea una tabla, pero que no pueda escribir en ella

Estos son algunos ejemplos del uso del control de acceso a nivel de la copia de seguridad:

Impedir que un usuario borre una copia de seguridad
Impedir que un usuario restablezca la copia de seguridad

Estos son algunos ejemplos del uso del control de acceso a nivel de la vista autorizada:

Permite que un usuario lea una vista autorizada, pero no la modifique.
Permite que un usuario vea datos de solo una de las múltiples vistas autorizadas de una tabla.

Estos son algunos ejemplos del uso del control de acceso a nivel de la vista materializada continua:

Permite que un usuario lea desde una vista materializada continua, pero no modifique la tabla subyacente.

Para obtener más información sobre IAM y sus funciones, consulta la guía para desarrolladores de IAM. En particular, consulta Otorga, cambia y revoca el acceso.

En Bigtable, no puedes otorgar acceso a los siguientes tipos de principales:

Para obtener una lista de los permisos y las funciones compatibles con Bigtable, consulta las siguientes secciones.

Habilita la API de Bigtable

Para ver y asignar roles de IAM de Bigtable, debes habilitar la API de Bigtable en tu proyecto. Hasta que habilites la API, los roles de Bigtable no aparecerán en laCloud de Confiance consola.

Roles necesarios para habilitar las APIs

Para habilitar APIs, necesitas el permiso serviceusage.services.enable. Si creaste el proyecto, es probable que ya tengas este permiso a través del rol de propietario (roles/owner). De lo contrario, puedes obtener este permiso a través del rol de administrador de Service Usage (roles/serviceusage.serviceUsageAdmin). Obtén más información para otorgar roles.

Habilitar la API

Permisos

En esta sección, se resumen los permisos que admite Bigtable.

Los permisos se usan para permitir que los usuarios realicen ciertas acciones en los recursos de Bigtable. Por ejemplo, el permiso bigtable.instances.list permite que los usuarios enumeren todas las instancias de Bigtable dentro de un proyecto. No se otorgan permisos directamente a los usuarios; en su lugar, se les asigna a cada uno un rol predefinido o un rol personalizado, que otorga uno o más permisos.

En las siguientes tablas, se enumeran los permisos de IAM asociados con Bigtable:

Nombre del permiso del perfil de la aplicación	Descripción
`bigtable.appProfiles.create`	Crea un perfil de la aplicación de Bigtable
`bigtable.appProfiles.delete`	Borra un perfil de aplicación de Bigtable
`bigtable.appProfiles.get`	Obtener información sobre un perfil de la aplicación de Bigtable
`bigtable.appProfiles.list`	Enumerar los perfiles de la aplicación de Bigtable de una instancia
`bigtable.appProfiles.update`	Actualizar la configuración de un perfil de la app de Bigtable

Nombre del permiso de las copias de seguridad	Descripción
`bigtable.backups.create`	Crea una copia de seguridad de Bigtable
`bigtable.backups.delete`	Borra una copia de seguridad de Bigtable
`bigtable.backups.get`	Obtiene información sobre una copia de seguridad de Bigtable.
`bigtable.backups.getIamPolicy`	Obtener la política de IAM de una copia de seguridad
`bigtable.backups.list`	Enumera copias de seguridad de Bigtable
`bigtable.backups.restore`	Restablece desde una copia de seguridad de Bigtable.
`bigtable.backups.testIamPermissions`	Obtén los permisos del emisor en una copia de seguridad especificada.
`bigtable.backups.read`	Lee desde una copia de seguridad de Bigtable.
`bigtable.backups.setIamPolicy`	Actualiza las LCA de la copia de seguridad.
`bigtable.backups.update`	Modificar el vencimiento de una copia de seguridad de Bigtable

Nombre del permiso del clúster	Descripción
`bigtable.clusters.create`	Crea un clúster de Bigtable
`bigtable.clusters.delete`	Borra un clúster de Bigtable
`bigtable.clusters.get`	Obtén información sobre un clúster de Bigtable
`bigtable.clusters.list`	Enumerar los clústeres de Bigtable de una instancia
`bigtable.clusters.update`	Actualizar la configuración de un clúster de Bigtable

Nombre del permiso de tablets sobrecargadas	Descripción
`bigtable.hotTablets.list`	Enumera las tablets sobrecargadas de un clúster.

Nombre del permiso del nivel en la memoria (versión preliminar)	Descripción
`bigtable.memoryLayer.get`	Consulta información sobre un nivel en la memoria de Bigtable.
`bigtable.memoryLayer.list`	Enumera los niveles en memoria de Bigtable.
`bigtable.memoryLayer.update`	Habilita, desactiva o cambia el tamaño del nivel en la memoria de Bigtable.

Nombre del permiso de instancias	Descripción
`bigtable.instances.create`	Crear una instancia de Bigtable.
`bigtable.instances.createTagBinding`	Crea una etiqueta.
`bigtable.instances.delete`	Borra una instancia de Bigtable
`bigtable.instances.deleteTagBinding`	Borra una etiqueta.
`bigtable.instances.get`	Obtén información sobre una instancia de Bigtable
`bigtable.instances.getIamPolicy`	Obtiene la política de IAM de una instancia.
`bigtable.instances.list`	Enumerar las instancias de Bigtable de un proyecto
`bigtable.instances.listEffectiveTagBindings`	Enumera todas las etiquetas vigentes para una instancia.
`bigtable.instances.listTagBindings`	Enumera las etiquetas de una instancia.
`bigtable.instances.ping`	Envía solicitudes de preparación del canal.
`bigtable.instances.executeQuery`	Envía solicitudes `ExecuteQuery` y `PrepareQuery` a una instancia.
`bigtable.instances.setIamPolicy`	Actualizar las LCA
`bigtable.instances.update`	Actualizar la configuración de una instancia de Bigtable

Nombre del permiso de Key Visualizer	Descripción
`bigtable.keyvisualizer.get`	Obtener información de Key Visualizer acerca de una tabla, incluidos los metadatos sobre los patrones de acceso y las distribuciones de claves de filas.
`bigtable.keyvisualizer.list`	Ver la información disponible de una tabla de Key Visualizer.

Nombre del permiso de ubicación	Descripción
`bigtable.locations.list`	Enumera ubicaciones de Bigtable

Nombre del permiso de la tabla	Descripción
`bigtable.tables.checkConsistency`	Revisar si una tabla replicada está actualizada
`bigtable.tables.create`	Crear una tabla
`bigtable.tables.delete`	Borrar una tabla
`bigtable.tables.generateConsistencyToken`	Generar un token para revisar si la tabla replicada está actualizada
`bigtable.tables.get`	Obtener información sobre una tabla, incluidas las familias de columnas y su configuración individual
`bigtable.tables.getIamPolicy`	Obtén la política de IAM de una tabla.
`bigtable.tables.list`	Enumerar las tablas de una instancia
`bigtable.tables.mutateRows`	Modificar las filas de una tabla o truncarla Las escrituras condicionales (`CheckAndMutateRow`) y las operaciones de lectura, modificación y escritura (`ReadModifyWriteRow`) también requieren `bigtable.tables.readRows`.
`bigtable.tables.readRows`	Leer las filas de una tabla Esto incluye información sobre la tabla, como las familias de columnas y su configuración individual.
`bigtable.tables.sampleRowKeys`	Obtener una muestra de las claves de fila que se usan en una tabla
`bigtable.tables.setIamPolicy`	Actualizar las LCA de la tabla
`bigtable.tables.undelete`	Recupera una tabla borrada.
`bigtable.tables.update`	Actualizar la configuración de una tabla, incluidas las familias de columnas y su configuración individual

Nombre del permiso de ubicación	Descripción
`bigtable.locations.list`	Enumera ubicaciones de Bigtable

Nombre del permiso de vista autorizada	Descripción
`bigtable.authorizedViews.create`	Crea una vista autorizada.
`bigtable.authorizedViews.delete`	Borra una vista autorizada.
`bigtable.authorizedViews.get`	Obtiene información sobre una vista autorizada.
`bigtable.authorizedViews.getIamPolicy`	Obtiene la política de IAM de una vista autorizada.
`bigtable.authorizedViews.list`	Enumera las vistas autorizadas en una tabla.
`bigtable.authorizedViews.mutateRows`	Modifica filas dentro de una vista autorizada. Las escrituras condicionales (`CheckAndMutateRow`) y las operaciones de lectura, modificación y escritura (`ReadModifyWriteRow`) también requieren `bigtable.authorizedViews.readRows`.
`bigtable.authorizedViews.readRows`	Lee filas de una vista autorizada.
`bigtable.authorizedViews.sampleRowKeys`	Obtén una muestra de las claves de fila que se usan en una vista autorizada.
`bigtable.authorizedViews.setIamPolicy`	Actualiza las políticas de control de acceso para una vista autorizada.
`bigtable.authorizedViews.update`	Actualiza la configuración de una vista autorizada.

Nombre del permiso de la vista materializada continua	Descripción
`bigtable.materializedViews.create`	Crea una vista materializada continua.
`bigtable.materializedViews.delete`	Borra una vista materializada continua.
`bigtable.materializedViews.get`	Obtiene información sobre una vista materializada continua.
`bigtable.materializedViews.getIamPolicy`	Obtiene la política de IAM de una vista materializada continua.
`bigtable.materializedViews.list`	Enumera las vistas materializadas continuas en una instancia.
`bigtable.materializedViews.readRows`	Lee filas de una vista materializada continua.
`bigtable.materializedViews.sampleRowKeys`	Obtén una muestra de las claves de fila que se usan en una vista materializada continua.
`bigtable.materializedViews.setIamPolicy`	Actualiza las políticas de control de acceso para una vista materializada continua.
`bigtable.materializedViews.update`	Actualiza la configuración de una vista materializada continua.

Roles predefinidos

Cada rol predefinido es un paquete de uno o más permisos. Por ejemplo, roles/bigtable.reader proporciona acceso de solo lectura a información sobre instancias, clústeres, tablas y familias de columnas de Bigtable, así como a los datos que contienen tus tablas. Asigna funciones a usuarios o grupos, lo que les permite realizar acciones en los recursos de tu proyecto.

En la siguiente tabla, se enumeran los roles predefinidos para Bigtable, incluida una lista de los permisos asociados con cada rol:

Role Permissions

Role	Permissions
Bigtable Administrator (`roles/bigtable.admin`) Administers all Bigtable instances within a project, including the data stored within tables. Can create new instances. Intended for project administrators. Lowest-level resources where you can grant this role: Table	`bigtable.` `bigtable.appProfiles.create` `bigtable.appProfiles.delete` `bigtable.appProfiles.get` `bigtable.appProfiles.list` `bigtable.appProfiles.update` `bigtable.authorizedViews.create` `bigtable.authorizedViews.createTagBinding` `bigtable.authorizedViews.delete` `bigtable.authorizedViews.deleteTagBinding` `bigtable.authorizedViews.get` `bigtable.authorizedViews.getIamPolicy` `bigtable.authorizedViews.list` `bigtable.authorizedViews.listEffectiveTags` `bigtable.authorizedViews.listTagBindings` `bigtable.authorizedViews.mutateRows` `bigtable.authorizedViews.readRows` `bigtable.authorizedViews.sampleRowKeys` `bigtable.authorizedViews.setIamPolicy` `bigtable.authorizedViews.update` `bigtable.backups.create` `bigtable.backups.delete` `bigtable.backups.get` `bigtable.backups.getIamPolicy` `bigtable.backups.list` `bigtable.backups.read` `bigtable.backups.restore` `bigtable.backups.setIamPolicy` `bigtable.backups.update` `bigtable.clusters.create` `bigtable.clusters.delete` `bigtable.clusters.get` `bigtable.clusters.list` `bigtable.clusters.update` `bigtable.hotTablets.list` `bigtable.instances.create` `bigtable.instances.createTagBinding` `bigtable.instances.delete` `bigtable.instances.deleteTagBinding` `bigtable.instances.executeQuery` `bigtable.instances.get` `bigtable.instances.getIamPolicy` `bigtable.instances.list` `bigtable.instances.listEffectiveTags` `bigtable.instances.listTagBindings` `bigtable.instances.ping` `bigtable.instances.setIamPolicy` `bigtable.instances.update` `bigtable.keyvisualizer.get` `bigtable.keyvisualizer.list` `bigtable.locations.list` `bigtable.logicalViews.create` `bigtable.logicalViews.delete` `bigtable.logicalViews.get` `bigtable.logicalViews.getIamPolicy` `bigtable.logicalViews.list` `bigtable.logicalViews.readRows` `bigtable.logicalViews.setIamPolicy` `bigtable.logicalViews.update` `bigtable.materializedViews.create` `bigtable.materializedViews.delete` `bigtable.materializedViews.get` `bigtable.materializedViews.getIamPolicy` `bigtable.materializedViews.list` `bigtable.materializedViews.readRows` `bigtable.materializedViews.sampleRowKeys` `bigtable.materializedViews.setIamPolicy` `bigtable.materializedViews.update` `bigtable.memoryLayers.get` `bigtable.memoryLayers.list` `bigtable.memoryLayers.update` `bigtable.schemaBundles.create` `bigtable.schemaBundles.delete` `bigtable.schemaBundles.get` `bigtable.schemaBundles.getIamPolicy` `bigtable.schemaBundles.list` `bigtable.schemaBundles.setIamPolicy` `bigtable.schemaBundles.update` `bigtable.tables.checkConsistency` `bigtable.tables.create` `bigtable.tables.delete` `bigtable.tables.generateConsistencyToken` `bigtable.tables.get` `bigtable.tables.getIamPolicy` `bigtable.tables.list` `bigtable.tables.mutateRows` `bigtable.tables.readRows` `bigtable.tables.sampleRowKeys` `bigtable.tables.setIamPolicy` `bigtable.tables.undelete` `bigtable.tables.update` `cloudkms.keyHandles.` `cloudkms.keyHandles.create` `cloudkms.keyHandles.get` `cloudkms.keyHandles.list` `cloudkms.operations.get` `cloudkms.projects.showEffectiveAutokeyConfig` `monitoring.metricDescriptors.get` `monitoring.metricDescriptors.list` `monitoring.timeSeries.*` `monitoring.timeSeries.create` `monitoring.timeSeries.list` `resourcemanager.projects.get`
Bigtable Editor (`roles/bigtable.editor`) Editor role for bigtable	`bigtable.appProfiles.` `bigtable.appProfiles.create` `bigtable.appProfiles.delete` `bigtable.appProfiles.get` `bigtable.appProfiles.list` `bigtable.appProfiles.update` `bigtable.authorizedViews.create` `bigtable.authorizedViews.delete` `bigtable.authorizedViews.get` `bigtable.authorizedViews.getIamPolicy` `bigtable.authorizedViews.list` `bigtable.authorizedViews.listEffectiveTags` `bigtable.authorizedViews.listTagBindings` `bigtable.authorizedViews.mutateRows` `bigtable.authorizedViews.readRows` `bigtable.authorizedViews.sampleRowKeys` `bigtable.authorizedViews.update` `bigtable.backups.create` `bigtable.backups.delete` `bigtable.backups.get` `bigtable.backups.getIamPolicy` `bigtable.backups.list` `bigtable.backups.read` `bigtable.backups.restore` `bigtable.backups.update` `bigtable.clusters.` `bigtable.clusters.create` `bigtable.clusters.delete` `bigtable.clusters.get` `bigtable.clusters.list` `bigtable.clusters.update` `bigtable.hotTablets.list` `bigtable.instances.create` `bigtable.instances.delete` `bigtable.instances.executeQuery` `bigtable.instances.get` `bigtable.instances.getIamPolicy` `bigtable.instances.list` `bigtable.instances.listEffectiveTags` `bigtable.instances.listTagBindings` `bigtable.instances.ping` `bigtable.instances.update` `bigtable.keyvisualizer.` `bigtable.keyvisualizer.get` `bigtable.keyvisualizer.list` `bigtable.locations.list` `bigtable.logicalViews.create` `bigtable.logicalViews.delete` `bigtable.logicalViews.get` `bigtable.logicalViews.getIamPolicy` `bigtable.logicalViews.list` `bigtable.logicalViews.readRows` `bigtable.logicalViews.update` `bigtable.materializedViews.create` `bigtable.materializedViews.delete` `bigtable.materializedViews.get` `bigtable.materializedViews.getIamPolicy` `bigtable.materializedViews.list` `bigtable.materializedViews.readRows` `bigtable.materializedViews.sampleRowKeys` `bigtable.materializedViews.update` `bigtable.memoryLayers.` `bigtable.memoryLayers.get` `bigtable.memoryLayers.list` `bigtable.memoryLayers.update` `bigtable.schemaBundles.create` `bigtable.schemaBundles.delete` `bigtable.schemaBundles.get` `bigtable.schemaBundles.getIamPolicy` `bigtable.schemaBundles.list` `bigtable.schemaBundles.update` `bigtable.tables.checkConsistency` `bigtable.tables.create` `bigtable.tables.delete` `bigtable.tables.generateConsistencyToken` `bigtable.tables.get` `bigtable.tables.getIamPolicy` `bigtable.tables.list` `bigtable.tables.mutateRows` `bigtable.tables.readRows` `bigtable.tables.sampleRowKeys` `bigtable.tables.undelete` `bigtable.tables.update` `monitoring.metricDescriptors.get` `monitoring.metricDescriptors.list` `monitoring.timeSeries.list` `resourcemanager.projects.get` `resourcemanager.projects.list`
Bigtable User (`roles/bigtable.user`) Provides read-write access to the data stored within Bigtable tables. Intended for application developers or service accounts. Lowest-level resources where you can grant this role: Table	`bigtable.appProfiles.get` `bigtable.appProfiles.list` `bigtable.authorizedViews.get` `bigtable.authorizedViews.list` `bigtable.authorizedViews.mutateRows` `bigtable.authorizedViews.readRows` `bigtable.authorizedViews.sampleRowKeys` `bigtable.backups.get` `bigtable.backups.list` `bigtable.clusters.get` `bigtable.clusters.list` `bigtable.hotTablets.list` `bigtable.instances.executeQuery` `bigtable.instances.get` `bigtable.instances.list` `bigtable.instances.ping` `bigtable.keyvisualizer.` `bigtable.keyvisualizer.get` `bigtable.keyvisualizer.list` `bigtable.locations.list` `bigtable.logicalViews.get` `bigtable.logicalViews.list` `bigtable.logicalViews.readRows` `bigtable.materializedViews.get` `bigtable.materializedViews.list` `bigtable.materializedViews.readRows` `bigtable.materializedViews.sampleRowKeys` `bigtable.memoryLayers.get` `bigtable.memoryLayers.list` `bigtable.schemaBundles.get` `bigtable.schemaBundles.list` `bigtable.tables.checkConsistency` `bigtable.tables.generateConsistencyToken` `bigtable.tables.get` `bigtable.tables.list` `bigtable.tables.mutateRows` `bigtable.tables.readRows` `bigtable.tables.sampleRowKeys` `monitoring.metricDescriptors.get` `monitoring.metricDescriptors.list` `monitoring.timeSeries.` `monitoring.timeSeries.create` `monitoring.timeSeries.list` `resourcemanager.projects.get`
Bigtable Viewer (`roles/bigtable.viewer`) Provides no data access. Intended as a minimal set of permissions to access the Cloud de Confiance console for Bigtable. Lowest-level resources where you can grant this role: Table	`bigtable.appProfiles.get` `bigtable.appProfiles.list` `bigtable.authorizedViews.get` `bigtable.authorizedViews.getIamPolicy` `bigtable.authorizedViews.list` `bigtable.authorizedViews.listEffectiveTags` `bigtable.authorizedViews.listTagBindings` `bigtable.backups.get` `bigtable.backups.getIamPolicy` `bigtable.backups.list` `bigtable.clusters.get` `bigtable.clusters.list` `bigtable.hotTablets.list` `bigtable.instances.get` `bigtable.instances.getIamPolicy` `bigtable.instances.list` `bigtable.instances.listEffectiveTags` `bigtable.instances.listTagBindings` `bigtable.locations.list` `bigtable.logicalViews.get` `bigtable.logicalViews.getIamPolicy` `bigtable.logicalViews.list` `bigtable.materializedViews.get` `bigtable.materializedViews.getIamPolicy` `bigtable.materializedViews.list` `bigtable.memoryLayers.get` `bigtable.memoryLayers.list` `bigtable.schemaBundles.get` `bigtable.schemaBundles.getIamPolicy` `bigtable.schemaBundles.list` `bigtable.tables.checkConsistency` `bigtable.tables.generateConsistencyToken` `bigtable.tables.get` `bigtable.tables.getIamPolicy` `bigtable.tables.list` `monitoring.metricDescriptors.get` `monitoring.metricDescriptors.list` `monitoring.timeSeries.list` `resourcemanager.projects.get`
Bigtable Reader (`roles/bigtable.reader`) Provides read-only access to the data stored within Bigtable tables. Intended for data scientists, dashboard generators, and other data-analysis scenarios. Lowest-level resources where you can grant this role: Table	`bigtable.appProfiles.get` `bigtable.appProfiles.list` `bigtable.authorizedViews.get` `bigtable.authorizedViews.list` `bigtable.authorizedViews.readRows` `bigtable.authorizedViews.sampleRowKeys` `bigtable.backups.get` `bigtable.backups.list` `bigtable.clusters.get` `bigtable.clusters.list` `bigtable.hotTablets.list` `bigtable.instances.executeQuery` `bigtable.instances.get` `bigtable.instances.list` `bigtable.instances.ping` `bigtable.keyvisualizer.` `bigtable.keyvisualizer.get` `bigtable.keyvisualizer.list` `bigtable.locations.list` `bigtable.logicalViews.get` `bigtable.logicalViews.list` `bigtable.logicalViews.readRows` `bigtable.materializedViews.get` `bigtable.materializedViews.list` `bigtable.materializedViews.readRows` `bigtable.materializedViews.sampleRowKeys` `bigtable.memoryLayers.get` `bigtable.memoryLayers.list` `bigtable.schemaBundles.get` `bigtable.schemaBundles.list` `bigtable.tables.checkConsistency` `bigtable.tables.generateConsistencyToken` `bigtable.tables.get` `bigtable.tables.list` `bigtable.tables.readRows` `bigtable.tables.sampleRowKeys` `monitoring.metricDescriptors.get` `monitoring.metricDescriptors.list` `monitoring.timeSeries.` `monitoring.timeSeries.create` `monitoring.timeSeries.list` `resourcemanager.projects.get`

Bigtable Administrator

(roles/bigtable.admin)

Administers all Bigtable instances within a project, including the data stored within tables. Can create new instances. Intended for project administrators.

Lowest-level resources where you can grant this role:

Table

bigtable.*

bigtable.appProfiles.create
bigtable.appProfiles.delete
bigtable.appProfiles.get
bigtable.appProfiles.list
bigtable.appProfiles.update
bigtable.authorizedViews.create
bigtable.authorizedViews.createTagBinding
bigtable.authorizedViews.delete
bigtable.authorizedViews.deleteTagBinding
bigtable.authorizedViews.get
bigtable.authorizedViews.getIamPolicy
bigtable.authorizedViews.list
bigtable.authorizedViews.listEffectiveTags
bigtable.authorizedViews.listTagBindings
bigtable.authorizedViews.mutateRows
bigtable.authorizedViews.readRows
bigtable.authorizedViews.sampleRowKeys
bigtable.authorizedViews.setIamPolicy
bigtable.authorizedViews.update
bigtable.backups.create
bigtable.backups.delete
bigtable.backups.get
bigtable.backups.getIamPolicy
bigtable.backups.list
bigtable.backups.read
bigtable.backups.restore
bigtable.backups.setIamPolicy
bigtable.backups.update
bigtable.clusters.create
bigtable.clusters.delete
bigtable.clusters.get
bigtable.clusters.list
bigtable.clusters.update
bigtable.hotTablets.list
bigtable.instances.create
bigtable.instances.createTagBinding
bigtable.instances.delete
bigtable.instances.deleteTagBinding
bigtable.instances.executeQuery
bigtable.instances.get
bigtable.instances.getIamPolicy
bigtable.instances.list
bigtable.instances.listEffectiveTags
bigtable.instances.listTagBindings
bigtable.instances.ping
bigtable.instances.setIamPolicy
bigtable.instances.update
bigtable.keyvisualizer.get
bigtable.keyvisualizer.list
bigtable.locations.list
bigtable.logicalViews.create
bigtable.logicalViews.delete
bigtable.logicalViews.get
bigtable.logicalViews.getIamPolicy
bigtable.logicalViews.list
bigtable.logicalViews.readRows
bigtable.logicalViews.setIamPolicy
bigtable.logicalViews.update
bigtable.materializedViews.create
bigtable.materializedViews.delete
bigtable.materializedViews.get
bigtable.materializedViews.getIamPolicy
bigtable.materializedViews.list
bigtable.materializedViews.readRows
bigtable.materializedViews.sampleRowKeys
bigtable.materializedViews.setIamPolicy
bigtable.materializedViews.update
bigtable.memoryLayers.get
bigtable.memoryLayers.list
bigtable.memoryLayers.update
bigtable.schemaBundles.create
bigtable.schemaBundles.delete
bigtable.schemaBundles.get
bigtable.schemaBundles.getIamPolicy
bigtable.schemaBundles.list
bigtable.schemaBundles.setIamPolicy
bigtable.schemaBundles.update
bigtable.tables.checkConsistency
bigtable.tables.create
bigtable.tables.delete
bigtable.tables.generateConsistencyToken
bigtable.tables.get
bigtable.tables.getIamPolicy
bigtable.tables.list
bigtable.tables.mutateRows
bigtable.tables.readRows
bigtable.tables.sampleRowKeys
bigtable.tables.setIamPolicy
bigtable.tables.undelete
bigtable.tables.update

cloudkms.keyHandles.*

cloudkms.keyHandles.create
cloudkms.keyHandles.get
cloudkms.keyHandles.list

cloudkms.operations.get

cloudkms.projects.showEffectiveAutokeyConfig

monitoring.metricDescriptors.get

monitoring.metricDescriptors.list

monitoring.timeSeries.*

monitoring.timeSeries.create
monitoring.timeSeries.list

resourcemanager.projects.get

Bigtable Editor

(roles/bigtable.editor)

Editor role for bigtable

bigtable.appProfiles.*

bigtable.appProfiles.create
bigtable.appProfiles.delete
bigtable.appProfiles.get
bigtable.appProfiles.list
bigtable.appProfiles.update

bigtable.authorizedViews.create

bigtable.authorizedViews.delete

bigtable.authorizedViews.get

bigtable.authorizedViews.getIamPolicy

bigtable.authorizedViews.list

bigtable.authorizedViews.listEffectiveTags

bigtable.authorizedViews.listTagBindings

bigtable.authorizedViews.mutateRows

bigtable.authorizedViews.readRows

bigtable.authorizedViews.sampleRowKeys

bigtable.authorizedViews.update

bigtable.backups.create

bigtable.backups.delete

bigtable.backups.get

bigtable.backups.getIamPolicy

bigtable.backups.list

bigtable.backups.read

bigtable.backups.restore

bigtable.backups.update

bigtable.clusters.*

bigtable.clusters.create
bigtable.clusters.delete
bigtable.clusters.get
bigtable.clusters.list
bigtable.clusters.update

bigtable.hotTablets.list

bigtable.instances.create

bigtable.instances.delete

bigtable.instances.executeQuery

bigtable.instances.get

bigtable.instances.getIamPolicy

bigtable.instances.list

bigtable.instances.listEffectiveTags

bigtable.instances.listTagBindings

bigtable.instances.ping

bigtable.instances.update

bigtable.keyvisualizer.*

bigtable.keyvisualizer.get
bigtable.keyvisualizer.list

bigtable.locations.list

bigtable.logicalViews.create

bigtable.logicalViews.delete

bigtable.logicalViews.get

bigtable.logicalViews.getIamPolicy

bigtable.logicalViews.list

bigtable.logicalViews.readRows

bigtable.logicalViews.update

bigtable.materializedViews.create

bigtable.materializedViews.delete

bigtable.materializedViews.get

bigtable.materializedViews.getIamPolicy

bigtable.materializedViews.list

bigtable.materializedViews.readRows

bigtable.materializedViews.sampleRowKeys

bigtable.materializedViews.update

bigtable.memoryLayers.*

bigtable.memoryLayers.get
bigtable.memoryLayers.list
bigtable.memoryLayers.update

bigtable.schemaBundles.create

bigtable.schemaBundles.delete

bigtable.schemaBundles.get

bigtable.schemaBundles.getIamPolicy

bigtable.schemaBundles.list

bigtable.schemaBundles.update

bigtable.tables.checkConsistency

bigtable.tables.create

bigtable.tables.delete

bigtable.tables.generateConsistencyToken

bigtable.tables.get

bigtable.tables.getIamPolicy

bigtable.tables.list

bigtable.tables.mutateRows

bigtable.tables.readRows

bigtable.tables.sampleRowKeys

bigtable.tables.undelete

bigtable.tables.update

monitoring.metricDescriptors.get

monitoring.metricDescriptors.list

monitoring.timeSeries.list

resourcemanager.projects.get

resourcemanager.projects.list

Bigtable User

(roles/bigtable.user)

Provides read-write access to the data stored within Bigtable tables. Intended for application developers or service accounts.

Lowest-level resources where you can grant this role:

Table

bigtable.appProfiles.get

bigtable.appProfiles.list

bigtable.authorizedViews.get

bigtable.authorizedViews.list

bigtable.authorizedViews.mutateRows

bigtable.authorizedViews.readRows

bigtable.authorizedViews.sampleRowKeys

bigtable.backups.get

bigtable.backups.list

bigtable.clusters.get

bigtable.clusters.list

bigtable.hotTablets.list

bigtable.instances.executeQuery

bigtable.instances.get

bigtable.instances.list

bigtable.instances.ping

bigtable.keyvisualizer.*

bigtable.keyvisualizer.get
bigtable.keyvisualizer.list

bigtable.locations.list

bigtable.logicalViews.get

bigtable.logicalViews.list

bigtable.logicalViews.readRows

bigtable.materializedViews.get

bigtable.materializedViews.list

bigtable.materializedViews.readRows

bigtable.materializedViews.sampleRowKeys

bigtable.memoryLayers.get

bigtable.memoryLayers.list

bigtable.schemaBundles.get

bigtable.schemaBundles.list

bigtable.tables.checkConsistency

bigtable.tables.generateConsistencyToken

bigtable.tables.get

bigtable.tables.list

bigtable.tables.mutateRows

bigtable.tables.readRows

bigtable.tables.sampleRowKeys

monitoring.metricDescriptors.get

monitoring.metricDescriptors.list

monitoring.timeSeries.*

monitoring.timeSeries.create
monitoring.timeSeries.list

resourcemanager.projects.get

Bigtable Viewer

(roles/bigtable.viewer)

Provides no data access. Intended as a minimal set of permissions to access the Cloud de Confiance console for Bigtable.

Lowest-level resources where you can grant this role:

Table

bigtable.appProfiles.get

bigtable.appProfiles.list

bigtable.authorizedViews.get

bigtable.authorizedViews.getIamPolicy

bigtable.authorizedViews.list

bigtable.authorizedViews.listEffectiveTags

bigtable.authorizedViews.listTagBindings

bigtable.backups.get

bigtable.backups.getIamPolicy

bigtable.backups.list

bigtable.clusters.get

bigtable.clusters.list

bigtable.hotTablets.list

bigtable.instances.get

bigtable.instances.getIamPolicy

bigtable.instances.list

bigtable.instances.listEffectiveTags

bigtable.instances.listTagBindings

bigtable.locations.list

bigtable.logicalViews.get

bigtable.logicalViews.getIamPolicy

bigtable.logicalViews.list

bigtable.materializedViews.get

bigtable.materializedViews.getIamPolicy

bigtable.materializedViews.list

bigtable.memoryLayers.get

bigtable.memoryLayers.list

bigtable.schemaBundles.get

bigtable.schemaBundles.getIamPolicy

bigtable.schemaBundles.list

bigtable.tables.checkConsistency

bigtable.tables.generateConsistencyToken

bigtable.tables.get

bigtable.tables.getIamPolicy

bigtable.tables.list

monitoring.metricDescriptors.get

monitoring.metricDescriptors.list

monitoring.timeSeries.list

resourcemanager.projects.get

Bigtable Reader

(roles/bigtable.reader)

Provides read-only access to the data stored within Bigtable tables. Intended for data scientists, dashboard generators, and other data-analysis scenarios.

Lowest-level resources where you can grant this role:

Table

bigtable.appProfiles.get

bigtable.appProfiles.list

bigtable.authorizedViews.get

bigtable.authorizedViews.list

bigtable.authorizedViews.readRows

bigtable.authorizedViews.sampleRowKeys

bigtable.backups.get

bigtable.backups.list

bigtable.clusters.get

bigtable.clusters.list

bigtable.hotTablets.list

bigtable.instances.executeQuery

bigtable.instances.get

bigtable.instances.list

bigtable.instances.ping

bigtable.keyvisualizer.*

bigtable.keyvisualizer.get
bigtable.keyvisualizer.list

bigtable.locations.list

bigtable.logicalViews.get

bigtable.logicalViews.list

bigtable.logicalViews.readRows

bigtable.materializedViews.get

bigtable.materializedViews.list

bigtable.materializedViews.readRows

bigtable.materializedViews.sampleRowKeys

bigtable.memoryLayers.get

bigtable.memoryLayers.list

bigtable.schemaBundles.get

bigtable.schemaBundles.list

bigtable.tables.checkConsistency

bigtable.tables.generateConsistencyToken

bigtable.tables.get

bigtable.tables.list

bigtable.tables.readRows

bigtable.tables.sampleRowKeys

monitoring.metricDescriptors.get

monitoring.metricDescriptors.list

monitoring.timeSeries.*

monitoring.timeSeries.create
monitoring.timeSeries.list

resourcemanager.projects.get

Funciones personalizadas

Si los roles predefinidos de Bigtable no satisfacen tus necesidades empresariales, puedes definir tus propios roles personalizados con los permisos que especifiques.

Si el rol personalizado requiere compatibilidad de acceso con la consola de Cloud de Confiance , debes identificar las tareas que realizarán los usuarios y asegurarte de que el rol personalizado tenga los permisos necesarios para cada tarea, como se muestra en la siguiente tabla. Si un rol personalizado no tiene todos los permisos necesarios para una tarea y un usuario intenta realizar esa tarea, la Cloud de Confiance consola no funcionará correctamente.

Cloud de Confiance tarea de la consola	Permisos necesarios
Acceso básico a la Cloud de Confiance consola	`bigtable.appProfiles.get` `bigtable.appProfiles.list` `bigtable.clusters.get` `bigtable.clusters.list` `bigtable.instances.get` `bigtable.instances.list` `bigtable.locations.list` `bigtable.tables.get` `bigtable.tables.list` `resourcemanager.projects.get`
Crear una instancia o un clúster	Los permisos del acceso básico, además de los siguientes: `bigtable.clusters.create` `bigtable.instances.create`
Modificar una instancia o un clúster	Los permisos del acceso básico, además de los siguientes: `bigtable.clusters.update` `bigtable.instances.update`
Administrar la configuración de la replicación	Los permisos del acceso básico, además de los siguientes: `bigtable.appProfiles.create` `bigtable.appProfiles.delete` `bigtable.appProfiles.update`
Borrar una instancia o un clúster	Los permisos del acceso básico, además de los siguientes: `bigtable.clusters.delete` `bigtable.instances.delete`
Ver grafos para supervisar una instancia	Los permisos del acceso básico, además de los siguientes: `monitoring.metricDescriptors.get` `monitoring.metricDescriptors.list` `monitoring.timeSeries.list`
Crea y actualiza una tabla	Los permisos del acceso básico, además de los siguientes: `bigtable.tables.create` `bigtable.tables.update`
Restablecer una copia de seguridad	Los permisos del acceso básico, además de los siguientes: `bigtable.backups.list` `bigtable.tables.create` `bigtable.backups.restore`

Administración de IAM

En esta sección, se explica cómo administrar los roles de IAM y los permisos relacionados a nivel del proyecto, la instancia, la tabla y la copia de seguridad.

Administración de IAM a nivel de proyecto

A nivel del proyecto, puedes otorgar, cambiar y revocar roles de IAM con la consola de Cloud de Confiance , la API de IAM o Google Cloud CLI. Para obtener más información, consulta Otorga, cambia y revoca el acceso.

Después de crear un proyecto, puedes otorgar a los usuarios los roles de IAM a nivel del proyecto según los niveles de acceso específicos.

Roles obligatorios

Antes de establecer roles de IAM a nivel de instancia, nivel de tabla, nivel de copia de seguridad, nivel de vista autorizada o nivel de vista materializada continua para un usuario, asegúrate de que el usuario tenga al menos uno de los siguientes roles de IAM a nivel del proyecto:

Usuario de Bigtable sin acceso a datos (recomendada)
Lector de Bigtable
Usuario de Bigtable
Administrador de Bigtable

Elige un rol a nivel del proyecto que no tenga más permisos de los que el usuario realmente necesita en todas las instancias, tablas, copias de seguridad, vistas autorizadas o vistas materializadas continuas del proyecto. Por este motivo, deberías otorgar el rol de usuario de Bigtable sin acceso a datos en casi todos los casos.

Si el usuario no tiene al menos uno de estos roles a nivel del proyecto, no tendrá acceso a Bigtable a través de la Cloud de Confiance consola. La consola de Cloud de Confiance requiere uno de estos roles a nivel del proyecto para poder recuperar información sobre instancias, clústeres, tablas o copias de seguridad en nombre del usuario.

Otorga roles de IAM a nivel de la instancia

A nivel de instancia, puedes otorgar cualquiera de las funciones predefinidas de Bigtable a un usuario o una cuenta de servicio. También puedes otorgar las funciones personalizadas que hayas definido.

Para otorgar una función predefinida o personalizada a un usuario o cuenta de servicio a nivel de instancia, sigue estos pasos:

Console

Ve a la página Instancias de Bigtable en laCloud de Confiance consola.

Ir a la página Instancias
Marca las casillas que aparecen al costado de las instancias cuyas funciones desees administrar. Aparecerá un panel de información.
En el panel de información, haz clic en Permisos.
En Agregar principales, comienza a escribir la dirección de correo electrónico del usuario o la cuenta de servicio que deseas agregar y, luego, haz clic en la dirección de correo electrónico del usuario o la cuenta de servicio.
Haz clic en la lista Seleccionar un rol y, luego, en Bigtable para seleccionar un rol predefinido o en Personalizado para seleccionar un rol personalizado.
Haz clic en el nombre de cada rol que quieras asignar.
Haz clic en Agregar. Las funciones que indiques a nivel de instancia se otorgarán al usuario o a la cuenta de servicio.

gcloud

Si no conoces el ID de la instancia, usa el comando bigtable instances list para ver una lista de las instancias de tu proyecto:
```
gcloud bigtable instances list
```
Usa el comando bigtable instances set-iam-policy:
```
gcloud bigtable instances set-iam-policy \
  INSTANCE_ID \
  POLICY_FILE
```
Proporcione lo siguiente:
- INSTANCE_ID: Identificador permanente de la instancia.
- POLICY_FILE: Es la ruta de acceso a un archivo JSON o YAML local que contiene una política de IAM válida.

Otorga roles de IAM a nivel de la tabla

A nivel de la tabla, puedes otorgar cualquiera de los roles predefinidos de Bigtable a un usuario o a una cuenta de servicio. También puedes otorgar las funciones personalizadas que hayas definido.

Para otorgar un rol predefinido o personalizado a un usuario o una cuenta de servicio a nivel de la tabla, sigue estos pasos:

Console

Ve a la página Instancias de Bigtable en laCloud de Confiance consola.

Ir a la página Instancias
Haz clic en el nombre de la instancia que contiene la tabla, que tiene los roles de IAM que estás configurando.
Selecciona Tablas en el panel de navegación izquierdo.
Marca las casillas que aparecen junto a las tablas cuyas funciones desees administrar. Aparecerá un panel de información.
En el panel de información, haz clic en Permisos.
En Agregar principales, comienza a escribir la dirección de correo electrónico del usuario o la cuenta de servicio que deseas agregar y, luego, haz clic en la dirección de correo electrónico del usuario o la cuenta de servicio.
Haz clic en la lista desplegable Seleccionar un rol y, luego, en Bigtable para seleccionar un rol predefinido o en Personalizado para seleccionar un rol personalizado.
Haz clic en el nombre de cada rol que quieras asignar.
Haz clic en Agregar. Las funciones que indiques a nivel de tabla se otorgarán al usuario o a la cuenta de servicio.

gcloud

Si no conoces el ID de la instancia, usa el comando bigtable instances list para ver una lista de las instancias de tu proyecto:
```
gcloud bigtable instances list
```
Si no conoces los IDs de las tablas de la instancia, usa el comando bigtable instances tables list para ver una lista de las tablas en la instancia.
```
gcloud bigtable instances tables list --instances=INSTANCE_ID
```
Proporcione lo siguiente:
- INSTANCE_ID: Identificador permanente de la instancia.
Usa el comando bigtable instances tables set-iam-policy:
```
gcloud bigtable instances tables set-iam-policy \
  TABLE_ID \
  --instance=INSTANCE_ID \
  POLICY_FILE
```
Proporcione lo siguiente:
- TABLE_ID: Es el identificador permanente de la tabla.
- INSTANCE_ID: Identificador permanente de la instancia.
- POLICY_FILE: Es la ruta de acceso a un archivo JSON o YAML local que contiene una política de IAM válida.

Otorga roles de IAM a nivel de la copia de seguridad

A nivel de la copia de seguridad, puedes otorgar cualquiera de los roles predefinidos de Bigtable a un usuario o a una cuenta de servicio. También puedes otorgar las funciones personalizadas que hayas definido.

Para otorgar un rol predefinido o personalizado a un usuario o una cuenta de servicio a nivel de la copia de seguridad, haz lo siguiente:

gcloud

Si no conoces el ID de la instancia, usa el comando bigtable instances list para ver una lista de las instancias de tu proyecto:
```
gcloud bigtable instances list
```
Si no conoces los IDs de copia de seguridad de una instancia, usa el comando bigtable instances backups list para ver una lista de las copias de seguridad en la instancia.
```
gcloud bigtable backups list --instances=INSTANCE_ID
```
Proporcione lo siguiente:
- INSTANCE_ID: Identificador permanente de la instancia.
Usa el comando gcloud bigtable backups set-iam-policy:
```
gcloud bigtable backups set-iam-policy BACKUP_ID \
  --instance=INSTANCE_ID \
  --cluster=CLUSTER_ID \
  POLICY_FILE
```
Proporcione lo siguiente:
- BACKUP_ID: Es el identificador permanente de la copia de seguridad.
- INSTANCE_ID: Identificador permanente de la instancia.
- TABLE_ID: Es el identificador permanente de la tabla.
- POLICY_FILE: Es la ruta de acceso a un archivo JSON o YAML local que contiene una política de IAM válida.

Otorga roles de IAM a nivel de la vista autorizada

A nivel de la vista autorizada, puedes otorgar cualquiera de los roles predefinidos de Bigtable a un usuario o una cuenta de servicio. También puedes otorgar los roles personalizados que hayas definido.

Para otorgar un rol predefinido o personalizado a un usuario o una cuenta de servicio en el nivel de vista autorizada, haz lo siguiente:

Console

En la consola de Cloud de Confiance , abre la lista de instancias de Bigtable.

Abrir la lista de instancias
Haz clic en la instancia que contiene la vista autorizada.
En el panel de navegación, haz clic en Bigtable Studio.
En el explorador, expande la tabla y Vistas autorizadas.
Junto a la vista autorizada que deseas modificar, haz clic en el menú de acciones more_vert y, luego, en Otorgar acceso.
Agrega al menos una principal y selecciona el rol al que se debe asignar esa principal o grupo de principales.
Opcional: Para otorgar acceso a roles adicionales, haz clic en Agregar otro rol y, luego, ingresa la principal y el rol para cada rol adicional.
Haz clic en Guardar.

gcloud

Si no conoces el ID de la instancia, usa el comando bigtable instances list para ver una lista de las instancias de tu proyecto:
```
gcloud bigtable instances list
```
Si no conoces los IDs de las tablas de la instancia, usa el comando bigtable instances tables list para ver una lista de las tablas en la instancia.
```
gcloud bigtable instances tables list --instances=INSTANCE_ID
```
Si no conoces el ID de la vista, usa el comando bigtable authorized-views list para ver una lista de todas las vistas autorizadas de la tabla.
```
gcloud bigtable instances tables authorized-views list \
  --instance=INSTANCE_ID \
  --table=TABLE_ID
```
Usa el comando bigtable authorized-views set-iam-policy:
```
gcloud bigtable authorized-views set-iam-policy TABLE_ID{"</var>"}} \
  AUTHORIZED_VIEW_ID{"</var>"}} --instance=INSTANCE_ID{"</var>"}} POLICY_FILE{"</var>"}}
```
Proporcione lo siguiente:
- INSTANCE_ID: Identificador permanente de la instancia.
- TABLE_ID: Es el identificador permanente de la tabla.
- AUTHORIZED_VIEW_ID: Es el identificador permanente de la vista.
- POLICY_FILE: Es la ruta de acceso a un archivo JSON o YAML local que contiene una política de IAM válida.

Condiciones de IAM

Las condiciones de IAM te permiten definir y aplicar el control de acceso condicional basado en atributos para algunos recursos de Cloud de Confiance, incluidos los recursos de Bigtable.

En Bigtable, puedes aplicar el acceso condicional según los siguientes atributos:

Atributos de fecha y hora: Se usan para configurar el acceso temporal (por vencer), programado o de duración limitada a los recursos de Bigtable. Por ejemplo, puedes permitir que un usuario acceda a una tabla hasta una fecha específica.
Atributos de recursos: Se usan para configurar el acceso condicional en función de un nombre de recurso, un tipo de recurso o atributos de servicio de recursos. En Bigtable, puedes usar atributos de instancias, clústeres, tablas, copias de seguridad y vistas autorizadas para configurar el acceso condicional. Por ejemplo, puedes permitir que un usuario administre tablas solo en aquellas que comiencen con un prefijo específico o que acceda solo a una tabla específica.

Para obtener más información sobre las Condiciones de IAM, consulta la Descripción general de las condiciones.

¿Qué sigue?

Obtén más información sobre IAM.