Контроль доступа

Вы можете поделиться ресурсами или квотой вычислений вашего проекта с поддержкой Earth Engine с другими пользователями Earth Engine на уровне проекта. Ресурсы или вычислительные ресурсы Earth Engine можно использовать совместно с другим пользователем или группой пользователей. Если вы хотите поделиться с группой пользователей, создайте новую группу Google и запишите ее адрес электронной почты (доступен по ссылке «О программе» на странице группы). На этой странице описывается, как предоставить доступ к ресурсам отдельному лицу или группе, а также роли и разрешения, необходимые для различных действий.

Настройка использования службы Earth Engine

Чтобы использовать API Earth Engine в облачном проекте, API должен быть включен в проекте , а у пользователя должны быть как минимум разрешения в роли наблюдателя ресурсов Earth Engine (подробнее о предопределенных ролях IAM Earth Engine ). Кроме того, у пользователя должно быть как минимум разрешение serviceusage.services.use для проекта. Это разрешение можно предоставить через роли владельца или редактора проекта или через конкретную роль потребителя использования службы . Будет выдана ошибка, если у пользователя нет необходимых разрешений Earth Engine и разрешений на использование службы в выбранном проекте.

Установите разрешения для активов

Установите разрешения на уровне объекта

Существует несколько вариантов обновления разрешений на уровне активов.

  • Используйте диспетчер ресурсов в редакторе кода.
  • Используйте командную строку Earth Engine.
  • Используйте клиентскую библиотеку, например, ee.data.setAssetAcl() .
  • Или вызовите REST API напрямую.

Установите разрешения для ресурсов на уровне проекта

При совместном использовании на уровне проекта одновременно устанавливаются разрешения для всех ресурсов в вашем облачном проекте с поддержкой Earth Engine.

Вы можете совместно использовать ресурсы на уровне проекта, назначив соответствующую роль управления идентификацией и доступом (IAM) на странице администрирования IAM вашего проекта. Существуют предопределенные роли IAM Earth Engine для совместного использования активов и ресурсов Earth Engine. Более общий обзор ролей IAM см. в разделе « Понимание ролей» .

Когда другой пользователь пытается получить доступ к одному из ваших ресурсов, разрешения сначала проверяются на уровне ресурса. Если разрешения не были установлены на уровне актива или проверка не удалась (т. е. нет доступа), разрешения будут проверены на уровне проекта.

Установите разрешения на уровне проекта

Чтобы установить разрешения на уровне проекта, назначьте роль IAM проекта пользователю или группе пользователей:

  1. Откройте страницу IAM в консоли Google Cloud.
    Откройте страницу IAM
    Или наведите указатель на имя вашего проекта на вкладке «Ресурсы» в редакторе кода и щелкните значок .
  2. Нажмите «Выбрать проект» и выберите свой проект (вы уже должны быть там, если открыли страницу IAM из редактора кода).
  3. Нажмите «ДОБАВИТЬ» вверху и добавьте индивидуальный или групповой адрес электронной почты в качестве нового участника или щелкните значок рядом с существующим участником в проекте.
  4. В раскрывающемся списке «Роль» найдите роль ресурса Earth Engine, которую вы хотите предоставить. Подробности см. в разделе «Предопределенные роли IAM Earth Engine» .
  5. Нажмите кнопку СОХРАНИТЬ .

Управление услугами VPC

Earth Engine поддерживает VPC Service Controls — функцию безопасности Google Cloud, которая помогает пользователям защитить свои ресурсы и снизить риск утечки данных. Добавление ресурсов в периметр службы VPC позволяет лучше контролировать операции чтения и записи данных.

Узнайте больше о функциях и настройке VPC-SC .

Ограничения

Включение управления службами VPC для ваших ресурсов имеет несколько ограничений, для которых мы предоставили примеры обходных решений:

Ограничение Пример альтернативы
Редактор кода не поддерживается, и элементы управления службами VPC не позволяют использовать его с ресурсами и клиентами внутри периметра службы. Используйте Python API Earth Engine вместе с библиотекой geemap .
Устаревшие активы не защищены средствами управления услугами VPC. Используйте ресурсы , хранящиеся в облачных проектах .
Экспорт в Google Диск не поддерживается VPC Service Controls.
Приложения Earth Engine не поддерживаются для ресурсов и клиентов внутри периметра службы. Обходной путь не доступен.

Использование Earth Engine с ресурсами внутри защищенного периметра службы VPC доступно только для тарифных планов Professional и Premium. Попытка использовать Earth Engine API с защищенным проектом VPC-SC, связанным с базовым тарифным планом, приведет к ошибке. Чтобы узнать больше о ценах на Earth Engine, посетите официальную документацию .

Дополнительную информацию о средствах управления услугами VPC и их ограничениях можно найти в разделе Поддерживаемые продукты и ограничения .

Роли и разрешения

В следующих разделах описаны разрешения и роли, необходимые для выполнения действий и доступа к ресурсам Earth Engine. Дополнительную информацию о разрешениях и ролях облачного проекта см. в документации Google Cloud.

Предопределенные роли IAM Earth Engine

Earth Engine предоставляет предопределенные роли, которые позволяют разную степень контроля над ресурсами Earth Engine в рамках проекта. Эти роли:

Роль Заголовок Описание
roles/earthengine.viewer Средство просмотра ресурсов Earth Engine Предоставляет разрешение на просмотр и перечисление ресурсов и задач.
roles/earthengine.writer Автор ресурсов Earth Engine Предоставляет разрешение на чтение, создание, изменение и удаление ресурсов, импорт изображений и таблиц, чтение и обновление задач, выполнение интерактивных вычислений и создание длительных задач экспорта.
roles/earthengine.admin Администратор Earth Engine Предоставляет разрешения для всех ресурсов Earth Engine, включая изменение контроля доступа к активам Earth Engine.
roles/earthengine.appsPublisher Издатель приложений Earth Engine Предоставляет разрешение на создание учетной записи службы для использования с приложением Earth Engine. Также предоставляет разрешение на редактирование и удаление приложений, принадлежащих Project, в рамках облачного проекта.

Обратите внимание: вы можете установить примитивную или пользовательскую роль, если предопределенные роли Earth Engine не соответствуют вашим потребностям. Вы можете просмотреть набор разрешений, связанных с каждой ролью, на странице «Роли IAM» , отфильтровав конкретную роль и щелкнув ее.

Полный доступ к API Earth Engine.

Чтобы предоставить пользователям полный доступ к службе Earth Engine напрямую через REST API, через редактор кода или через клиентскую библиотеку, пользователям потребуется разрешение на выполнение таких операций, как:

Необходимы разрешения
  • clientauthconfig.clients.listWithSecrets
  • earthengine.assets.get
  • earthengine.assets.getIamPolicy
  • earthengine.assets.list
  • earthengine.computations.create
  • earthengine.operations.get
  • earthengine.operations.list
  • monitoring.timeSeries.list
  • resourcemanager.projects.get
  • resourcemanager.projects.list
  • serviceusage.operations.get
  • serviceusage.operations.list
  • serviceusage.quotas.get
  • serviceusage.services.get
  • serviceusage.services.list
  • serviceusage.services.use
Предлагаемые роли
  • Потребитель использования службы ( roles/serviceusage.serviceUsageConsumer ) И один из:
    • Средство просмотра ресурсов Earth Engine ( roles/earthengine.viewer ) ИЛИ
    • Модуль записи ресурсов Earth Engine ( roles/earthengine.writer ) ИЛИ
    • Администратор ресурсов Earth Engine ( roles/earthengine.admin )
  • Редактор конфигурации OAuth ( roles/oauthconfig.editor ) дополнительно необходим пользователям, которые получают доступ к Earth Engine через среду блокнота и используют Notebook Authenticator. Дополнительные сведения см. в разделе Проверка подлинности блокнота Colab или JupyterLab .
Примечания Google Cloud требует, чтобы роль потребителя использования служб использовала проект в качестве активного проекта при вызове API, и Без этого разрешения для проекта X ee.Initialize(project=X) завершится неудачно. Кроме того, вы можете затем выбрать этот проект в облачной консоли, чтобы отобразить использование вами ресурсов.

Только совместное использование активов

Предоставьте пользователю одну из предопределенных ролей IAM Earth Engine с минимальными разрешениями для выполнения необходимых действий. Обратите внимание, что пользователи не смогут использовать ресурсы проекта без необходимых разрешений serviceusage .

Управление проектом

Список и отображение доступных проектов

Это происходит при использовании редактора кода для просмотра доступных проектов.

Необходимы разрешения
  • resourcemanager.projects.get
  • resourcemanager.folders.list
  • resourcemanager.folders.get
  • resourcemanager.organizations.get (нечасто)
Предлагаемые роли
  • Просмотрщик ( roles/viewer ) ИЛИ
    Средство просмотра ресурсов Earth Engine ( roles/earthengine.viewer ) в соответствующих проектах ИЛИ
    Браузер ( roles/browser , рекомендуется для сложных случаев организации)
  • Средство просмотра папок ( roles/resourcemanager.folderViewer ) в соответствующих папках.

Выберите проект для использования в редакторе кода.

Необходимы разрешения
  • resourcemanager.projects.get
  • serviceusage.services.get
Если проект ранее не был настроен

При первом выборе проекта в редакторе кода он инициализируется для использования с Earth Engine. Если это не было сделано раньше, вам потребуются эти роли для успешной установки.

  • resourcemanager.projects.update И
  • serviceusage.services.enable
Предлагаемые роли
  • Просмотрщик ( roles/viewer ) ИЛИ
  • Средство просмотра ресурсов Earth Engine ( roles/earthengine.viewer ) И
    Потребитель использования службы ( roles/serviceusage.serviceUsageConsumer )
Дополнительные роли (если проект ранее не был настроен)
  • Редактор ( roles/editor ) ИЛИ
  • Project Mover ( roles/resourcemanager.projectMover ) И
    Администратор проекта IAM ( roles/resourcemanager.projectIamAdmin ) И
    Администратор использования службы ( roles/serviceusage.serviceUsageAdmin )

Создать проект через редактор кода

Необходимы разрешения
  • resourcemanager.projects.get
  • resourcemanager.projects.create
  • resourcemanager.projects.update
  • serviceusage.services.get
  • serviceusage.services.enable
Предлагаемые роли
  • Редактор ( roles/editor ) ИЛИ
  • Project Mover ( roles/resourcemanager.projectMover ) И
    Создатель проекта ( roles/resourcemanager.projectCreator ) И
    Администратор использования службы ( roles/serviceusage.serviceUsageAdmin )
Примечания Ваша организация может не предоставить вам роль редактора , поэтому могут потребоваться более детальные роли. Project Mover необходим для покрытия разрешения projects.update .

Регистрация коммерческого проекта

Следующие разрешения относятся к регистрации проектов для платного использования .

Необходимы разрешения
Платежный аккаунт
  • billing.subscriptions.list
Кроме того:
  • billing.accounts.get (для создания нового ограниченного плана)
  • billing.subscriptions.create (для создания нового базового или профессионального плана)
Облачный проект
  • earthengine.computations.create
  • earthengine.config.update
  • serviceusage.services.get
  • serviceusage.services.enable
Предлагаемые роли
Платежный аккаунт
  • Средство просмотра учетной записи выставления счетов ( roles/billing.viewer ) для создания нового ограниченного плана.
  • Администратор платежного аккаунта ( roles/billing.admin ) для создания нового базового или профессионального плана.
Облачный проект
  • Автор ресурсов Earth Engine ( roles/earthengine.writer )
  • Администратор использования службы ( roles/serviceusage.serviceUsageAdmin )

Управление планом коммерческого земляного двигателя

Следующие разрешения относятся к управлению тарифными планами Earth Engine .

Необходимы разрешения
на платежном счете
  • billing.subscriptions.create (чтобы изменить план Earth Engine)
  • billing.subscriptions.list (для просмотра текущего плана Earth Engine)
Предлагаемые роли
на платежном счете
  • Средство просмотра платежного аккаунта ( roles/billing.viewer ) для просмотра текущего плана Earth Engine.
  • Администратор платежного аккаунта ( roles/billing.admin ), чтобы изменить план Earth Engine.

Пакетное управление задачами

Следующие разрешения относятся к настройке ограничений на параллелизм пакетных задач для каждого проекта . Эта функция доступна только для коммерческих пользователей Earth Engine.

Просмотр ограничений пакетных задач на уровне проекта

Необходимы разрешения
на облачном аккаунте		 earthengine.config.get

Установка ограничений пакетных задач на уровне проекта

Необходимы разрешения
на облачном аккаунте		 earthengine.config.update
Примечание. Это разрешение также включает просмотр ограничений на уровне плана, настроенных в учетной записи выставления счетов.
Необходимы разрешения
на платежном счете		 billing.subscriptions.list

Управление приложениями

Отобразить информацию о приложении

Необходимы разрешения
  • iam.serviceAccounts.get
  • iam.serviceAccounts.getIamPolicy , если приложение ограничено (реже)
Предлагаемые роли Просмотрщик ( roles/viewer ) ИЛИ
Издатель приложений Earth Engine ( roles/earthengine.appsPublisher )

Опубликовать/обновить приложение

Необходимы разрешения
  • iam.serviceAccounts.get
  • iam.serviceAccounts.create
  • iam.serviceAccounts.enable
  • iam.serviceAccounts.getIamPolicy
  • iam.serviceAccounts.setIamPolicy
  • iam.serviceAccounts.disable , если приложение перемещается из одного проекта в другой (редко)
Предлагаемые роли Издатель приложений Earth Engine ( roles/earthengine.appsPublisher ) ИЛИ
Администратор учетной записи службы ( roles/iam.serviceAccountAdmin )
Примечания
  • Кроме того, учетные записи службы приложений Earth Engine идентифицируют себя на серверах Earth Engine, предоставляя токен доступа OAuth. Поэтому определенные удостоверения добавляются во время создания приложения в качестве создателя токена учетной записи службы ( roles/iam.serviceAccountTokenCreator ) в учетных записях служб.
  • В случае общедоступного приложения Earth Engine идентификатор, предоставленный этой роли, earth-engine-public-apps@appspot.gserviceaccount.com , а в случае приложений с ограниченным доступом идентификатором является группа Google с ограничением доступа, настроенная создателем приложения.

Удалить и применить

Необходимы разрешения iam.serviceAccounts.disable
Предлагаемые роли Издатель приложений Earth Engine ( roles/earthengine.appsPublisher ) ИЛИ
Администратор учетной записи службы ( roles/iam.serviceAccountAdmin )
,

Вы можете поделиться ресурсами или квотой вычислений вашего проекта с поддержкой Earth Engine с другими пользователями Earth Engine на уровне проекта. Ресурсы или вычислительные ресурсы Earth Engine можно использовать совместно с другим пользователем или группой пользователей. Если вы хотите поделиться с группой пользователей, создайте новую группу Google и запишите ее адрес электронной почты (доступен по ссылке «О программе» на странице группы). На этой странице описывается, как предоставить доступ к ресурсам отдельному лицу или группе, а также роли и разрешения, необходимые для различных действий.

Настройка использования службы Earth Engine

Чтобы использовать API Earth Engine в облачном проекте, API должен быть включен в проекте , а у пользователя должны быть как минимум разрешения в роли наблюдателя ресурсов Earth Engine (подробнее о предопределенных ролях IAM Earth Engine ). Кроме того, у пользователя должно быть как минимум разрешение serviceusage.services.use для проекта. Это разрешение можно предоставить через роли владельца или редактора проекта или через конкретную роль потребителя использования службы . Будет выдана ошибка, если у пользователя нет необходимых разрешений Earth Engine и разрешений на использование службы в выбранном проекте.

Установите разрешения для активов

Установите разрешения на уровне объекта

Существует несколько вариантов обновления разрешений на уровне активов.

  • Используйте диспетчер ресурсов в редакторе кода.
  • Используйте командную строку Earth Engine.
  • Используйте клиентскую библиотеку, например, ee.data.setAssetAcl() .
  • Или вызовите REST API напрямую.

Установите разрешения для ресурсов на уровне проекта

При совместном использовании на уровне проекта одновременно устанавливаются разрешения для всех ресурсов в вашем облачном проекте с поддержкой Earth Engine.

Вы можете делиться ресурсами на уровне проекта, назначив соответствующую роль управления идентификацией и доступом (IAM) на странице администрирования IAM вашего проекта. Существуют предопределенные роли IAM Earth Engine для совместного использования активов и ресурсов Earth Engine. Более общий обзор ролей IAM см. в разделе « Понимание ролей» .

Когда другой пользователь пытается получить доступ к одному из ваших ресурсов, разрешения сначала проверяются на уровне ресурса. Если разрешения не были установлены на уровне актива или проверка не удалась (т. е. нет доступа), разрешения будут проверены на уровне проекта.

Установите разрешения на уровне проекта

Чтобы установить разрешения на уровне проекта, назначьте роль IAM проекта пользователю или группе пользователей:

  1. Откройте страницу IAM в консоли Google Cloud.
    Откройте страницу IAM
    Или наведите указатель на имя вашего проекта на вкладке «Ресурсы» в редакторе кода и щелкните значок .
  2. Нажмите «Выбрать проект» и выберите свой проект (вы уже должны быть там, если открыли страницу IAM из редактора кода).
  3. Нажмите «ДОБАВИТЬ» вверху и добавьте индивидуальный или групповой адрес электронной почты в качестве нового участника или щелкните значок рядом с существующим участником в проекте.
  4. В раскрывающемся списке «Роль» найдите роль ресурса Earth Engine, которую вы хотите предоставить. Подробности см. в разделе «Предопределенные роли IAM Earth Engine» .
  5. Нажмите кнопку СОХРАНИТЬ .

Управление услугами VPC

Earth Engine поддерживает VPC Service Controls — функцию безопасности Google Cloud, которая помогает пользователям защитить свои ресурсы и снизить риск утечки данных. Добавление ресурсов в периметр службы VPC позволяет лучше контролировать операции чтения и записи данных.

Узнайте больше о функциях и настройке VPC-SC .

Ограничения

Включение управления службами VPC для ваших ресурсов имеет несколько ограничений, для которых мы предоставили примеры обходных решений:

Ограничение Пример альтернативы
Редактор кода не поддерживается, и элементы управления службами VPC не позволяют использовать его с ресурсами и клиентами внутри периметра службы. Используйте Python API Earth Engine вместе с библиотекой geemap .
Устаревшие активы не защищены средствами управления услугами VPC. Используйте ресурсы, хранящиеся в облачных проектах .
Экспорт в Google Диск не поддерживается VPC Service Controls.
Приложения Earth Engine не поддерживаются для ресурсов и клиентов внутри периметра службы. Обходной путь не доступен.

Использование Earth Engine с ресурсами внутри защищенного периметра службы VPC доступно только для тарифных планов Professional и Premium. Попытка использовать Earth Engine API с защищенным проектом VPC-SC, связанным с базовым тарифным планом, приведет к ошибке. Чтобы узнать больше о ценах на Earth Engine, посетите официальную документацию .

Дополнительную информацию о средствах управления услугами VPC и их ограничениях можно найти в разделе Поддерживаемые продукты и ограничения .

Роли и разрешения

В следующих разделах описаны разрешения и роли, необходимые для выполнения действий и доступа к ресурсам Earth Engine. Дополнительную информацию о разрешениях и ролях облачного проекта см. в документации Google Cloud.

Предопределенные роли IAM Earth Engine

Earth Engine предоставляет предопределенные роли, которые позволяют разную степень контроля над ресурсами Earth Engine в рамках проекта. Эти роли:

Роль Заголовок Описание
roles/earthengine.viewer Средство просмотра ресурсов Earth Engine Предоставляет разрешение на просмотр и перечисление ресурсов и задач.
roles/earthengine.writer Автор ресурсов Earth Engine Предоставляет разрешение на чтение, создание, изменение и удаление ресурсов, импорт изображений и таблиц, чтение и обновление задач, выполнение интерактивных вычислений и создание длительных задач экспорта.
roles/earthengine.admin Администратор Earth Engine Предоставляет разрешения для всех ресурсов Earth Engine, включая изменение контроля доступа к активам Earth Engine.
roles/earthengine.appsPublisher Издатель приложений Earth Engine Предоставляет разрешение на создание учетной записи службы для использования с приложением Earth Engine. Также предоставляет разрешение на редактирование и удаление приложений, принадлежащих Project, в рамках облачного проекта.

Обратите внимание: вы можете установить примитивную или пользовательскую роль, если предопределенные роли Earth Engine не соответствуют вашим потребностям. Вы можете просмотреть набор разрешений, связанных с каждой ролью, на странице «Роли IAM» , отфильтровав конкретную роль и щелкнув ее.

Полный доступ к API Earth Engine.

Чтобы предоставить пользователям полный доступ к службе Earth Engine напрямую через REST API, через редактор кода или через клиентскую библиотеку, пользователям потребуется разрешение на выполнение таких операций, как:

Необходимы разрешения
  • clientauthconfig.clients.listWithSecrets
  • earthengine.assets.get
  • earthengine.assets.getIamPolicy
  • earthengine.assets.list
  • earthengine.computations.create
  • earthengine.operations.get
  • earthengine.operations.list
  • monitoring.timeSeries.list
  • resourcemanager.projects.get
  • resourcemanager.projects.list
  • serviceusage.operations.get
  • serviceusage.operations.list
  • serviceusage.quotas.get
  • serviceusage.services.get
  • serviceusage.services.list
  • serviceusage.services.use
Предлагаемые роли
  • Потребитель использования службы ( roles/serviceusage.serviceUsageConsumer ) И один из:
    • Средство просмотра ресурсов Earth Engine ( roles/earthengine.viewer ) ИЛИ
    • Модуль записи ресурсов Earth Engine ( roles/earthengine.writer ) ИЛИ
    • Администратор ресурсов Earth Engine ( roles/earthengine.admin )
  • Редактор конфигурации OAuth ( roles/oauthconfig.editor ) дополнительно необходим пользователям, которые получают доступ к Earth Engine через среду блокнота и используют Notebook Authenticator. Дополнительные сведения см. в разделе Проверка подлинности блокнота Colab или JupyterLab .
Примечания Google Cloud требует, чтобы роль потребителя использования служб использовала проект в качестве активного проекта при вызове API, и Без этого разрешения для проекта X ee.Initialize(project=X) завершится неудачно. Кроме того, вы можете затем выбрать этот проект в облачной консоли, чтобы отобразить использование вами ресурсов.

Только совместное использование активов

Предоставьте пользователю одну из предопределенных ролей IAM Earth Engine с минимальными разрешениями для выполнения необходимых действий. Обратите внимание, что пользователи не смогут использовать ресурсы проекта без необходимых разрешений serviceusage .

Управление проектом

Список и отображение доступных проектов

Это происходит при использовании редактора кода для просмотра доступных проектов.

Необходимы разрешения
  • resourcemanager.projects.get
  • resourcemanager.folders.list
  • resourcemanager.folders.get
  • resourcemanager.organizations.get (нечасто)
Предлагаемые роли
  • Просмотрщик ( roles/viewer ) ИЛИ
    Средство просмотра ресурсов Earth Engine ( roles/earthengine.viewer ) в соответствующих проектах ИЛИ
    Браузер ( roles/browser , рекомендуется для сложных случаев организации)
  • Средство просмотра папок ( roles/resourcemanager.folderViewer ) в соответствующих папках.

Выберите проект для использования в редакторе кода

Необходимы разрешения
  • resourcemanager.projects.get
  • serviceusage.services.get
Если проект ранее не был настроен

При первом выборе проекта в редакторе кода он инициализируется для использования с Earth Engine. Если это не было сделано раньше, вам потребуются эти роли для успешной установки.

  • resourcemanager.projects.update И
  • serviceusage.services.enable
Предлагаемые роли
  • Просмотрщик ( roles/viewer ) ИЛИ
  • Средство просмотра ресурсов Earth Engine ( roles/earthengine.viewer ) И
    Потребитель использования службы ( roles/serviceusage.serviceUsageConsumer )
Дополнительные роли (если проект ранее не был настроен)
  • Редактор ( roles/editor ) ИЛИ
  • Project Mover ( roles/resourcemanager.projectMover ) И
    Администратор проекта IAM ( roles/resourcemanager.projectIamAdmin ) И
    Администратор использования службы ( roles/serviceusage.serviceUsageAdmin )

Создать проект через редактор кода

Необходимы разрешения
  • resourcemanager.projects.get
  • resourcemanager.projects.create
  • resourcemanager.projects.update
  • serviceusage.services.get
  • serviceusage.services.enable
Предлагаемые роли
  • Редактор ( roles/editor ) ИЛИ
  • Project Mover ( roles/resourcemanager.projectMover ) И
    Создатель проекта ( roles/resourcemanager.projectCreator ) И
    Администратор использования службы ( roles/serviceusage.serviceUsageAdmin )
Примечания Ваша организация может не предоставить вам роль редактора , поэтому могут потребоваться более детальные роли. Project Mover необходим для покрытия разрешения projects.update .

Регистрация коммерческого проекта

Следующие разрешения относятся к регистрации проектов для платного использования .

Необходимы разрешения
Платежный аккаунт
  • billing.subscriptions.list
Кроме того:
  • billing.accounts.get (для создания нового ограниченного плана)
  • billing.subscriptions.create (для создания нового базового или профессионального плана)
Облачный проект
  • earthengine.computations.create
  • earthengine.config.update
  • serviceusage.services.get
  • serviceusage.services.enable
Предлагаемые роли
Платежный аккаунт
  • Средство просмотра учетной записи выставления счетов ( roles/billing.viewer ) для создания нового ограниченного плана.
  • Администратор платежного аккаунта ( roles/billing.admin ) для создания нового базового или профессионального плана.
Облачный проект
  • Автор ресурсов Earth Engine ( roles/earthengine.writer )
  • Администратор использования службы ( roles/serviceusage.serviceUsageAdmin )

Управление планом коммерческого земляного двигателя

Следующие разрешения относятся к управлению тарифными планами Earth Engine .

Необходимы разрешения
на платежном счете
  • billing.subscriptions.create (чтобы изменить план Earth Engine)
  • billing.subscriptions.list (для просмотра текущего плана Earth Engine)
Предлагаемые роли
на платежном счете
  • Средство просмотра платежного аккаунта ( roles/billing.viewer ) для просмотра текущего плана Earth Engine.
  • Администратор платежного аккаунта ( roles/billing.admin ), чтобы изменить план Earth Engine.

Пакетное управление задачами

Следующие разрешения относятся к настройке ограничений на параллелизм пакетных задач для каждого проекта . Эта функция доступна только для коммерческих пользователей Earth Engine.

Просмотр ограничений пакетных задач на уровне проекта

Необходимы разрешения
на облачном аккаунте		 earthengine.config.get

Установка ограничений пакетных задач на уровне проекта

Необходимы разрешения
на облачном аккаунте		 earthengine.config.update
Примечание. Это разрешение также включает просмотр ограничений на уровне плана, настроенных в учетной записи выставления счетов.
Необходимы разрешения
на платежном счете		 billing.subscriptions.list

Управление приложениями

Отобразить информацию о приложении

Необходимы разрешения
  • iam.serviceAccounts.get
  • iam.serviceAccounts.getIamPolicy , если приложение ограничено (реже)
Предлагаемые роли Просмотрщик ( roles/viewer ) ИЛИ
Издатель приложений Earth Engine ( roles/earthengine.appsPublisher )

Опубликовать/обновить приложение

Необходимы разрешения
  • iam.serviceAccounts.get
  • iam.serviceAccounts.create
  • iam.serviceAccounts.enable
  • iam.serviceAccounts.getIamPolicy
  • iam.serviceAccounts.setIamPolicy
  • iam.serviceAccounts.disable , если приложение перемещается из одного проекта в другой (редко)
Предлагаемые роли Издатель приложений Earth Engine ( roles/earthengine.appsPublisher ) ИЛИ
Администратор учетной записи службы ( roles/iam.serviceAccountAdmin )
Примечания
  • Кроме того, учетные записи службы приложений Earth Engine идентифицируют себя на серверах Earth Engine, предоставляя токен доступа OAuth. Поэтому определенные удостоверения добавляются во время создания приложения в качестве создателя токена учетной записи службы ( roles/iam.serviceAccountTokenCreator ) в учетных записях служб.
  • В случае общедоступного приложения Earth Engine идентификатор, предоставленный этой роли, earth-engine-public-apps@appspot.gserviceaccount.com , а в случае приложений с ограниченным доступом идентификатором является группа Google с ограничением доступа, настроенная создателем приложения.

Удалить и применить

Необходимы разрешения iam.serviceAccounts.disable
Предлагаемые роли Издатель приложений Earth Engine ( roles/earthengine.appsPublisher ) ИЛИ
Администратор учетной записи службы ( roles/iam.serviceAccountAdmin )
,

Вы можете поделиться ресурсами или квотой вычислений вашего проекта с поддержкой Earth Engine с другими пользователями Earth Engine на уровне проекта. Ресурсы или вычислительные ресурсы Earth Engine можно использовать совместно с другим пользователем или группой пользователей. Если вы хотите поделиться с группой пользователей, создайте новую группу Google и запишите ее адрес электронной почты (доступен по ссылке «О программе» на странице группы). На этой странице описывается, как предоставить доступ к ресурсам отдельному лицу или группе, а также роли и разрешения, необходимые для различных действий.

Настройка использования службы Earth Engine

Чтобы использовать API Earth Engine в облачном проекте, API должен быть включен в проекте , а у пользователя должны быть как минимум разрешения в роли наблюдателя ресурсов Earth Engine (подробнее о предопределенных ролях IAM Earth Engine ). Кроме того, у пользователя должно быть как минимум разрешение serviceusage.services.use для проекта. Это разрешение можно предоставить через роли владельца или редактора проекта или через конкретную роль потребителя использования службы . Будет выдана ошибка, если у пользователя нет необходимых разрешений Earth Engine и разрешений на использование службы в выбранном проекте.

Установите разрешения для активов

Установите разрешения на уровне объекта

Существует несколько вариантов обновления разрешений на уровне активов.

  • Используйте диспетчер ресурсов в редакторе кода.
  • Используйте командную строку Earth Engine.
  • Используйте клиентскую библиотеку, например, ee.data.setAssetAcl() .
  • Или вызовите REST API напрямую.

Установите разрешения для ресурсов на уровне проекта

При совместном использовании на уровне проекта одновременно устанавливаются разрешения для всех ресурсов в вашем облачном проекте с поддержкой Earth Engine.

Вы можете делиться ресурсами на уровне проекта, назначив соответствующую роль управления идентификацией и доступом (IAM) на странице администрирования IAM вашего проекта. Существуют предопределенные роли IAM Earth Engine для совместного использования активов и ресурсов Earth Engine. Более общий обзор ролей IAM см. в разделе « Понимание ролей» .

Когда другой пользователь пытается получить доступ к одному из ваших ресурсов, разрешения сначала проверяются на уровне ресурса. Если разрешения не были установлены на уровне актива или проверка не удалась (т. е. нет доступа), разрешения будут проверены на уровне проекта.

Установите разрешения на уровне проекта

Чтобы установить разрешения на уровне проекта, назначьте роль IAM проекта пользователю или группе пользователей:

  1. Откройте страницу IAM в консоли Google Cloud.
    Откройте страницу IAM
    Или наведите указатель на имя вашего проекта на вкладке «Ресурсы» в редакторе кода и щелкните значок .
  2. Нажмите «Выбрать проект» и выберите свой проект (вы уже должны быть там, если открыли страницу IAM из редактора кода).
  3. Нажмите «ДОБАВИТЬ» вверху и добавьте индивидуальный или групповой адрес электронной почты в качестве нового участника или щелкните значок рядом с существующим участником в проекте.
  4. В раскрывающемся списке «Роль» найдите роль ресурса Earth Engine, которую вы хотите предоставить. Подробности см. в разделе «Предопределенные роли IAM Earth Engine» .
  5. Нажмите кнопку СОХРАНИТЬ .

Управление услугами VPC

Earth Engine поддерживает VPC Service Controls — функцию безопасности Google Cloud, которая помогает пользователям защитить свои ресурсы и снизить риск утечки данных. Добавление ресурсов в периметр службы VPC позволяет лучше контролировать операции чтения и записи данных.

Узнайте больше о функциях и настройке VPC-SC .

Ограничения

Включение управления службами VPC для ваших ресурсов имеет несколько ограничений, для которых мы предоставили примеры обходных решений:

Ограничение Пример альтернативы
Редактор кода не поддерживается, и элементы управления службами VPC не позволяют использовать его с ресурсами и клиентами внутри периметра службы. Используйте Python API Earth Engine вместе с библиотекой geemap .
Устаревшие активы не защищены средствами управления услугами VPC. Используйте ресурсы, хранящиеся в облачных проектах .
Экспорт в Google Диск не поддерживается VPC Service Controls.
Приложения Earth Engine не поддерживаются для ресурсов и клиентов внутри периметра службы. Обходной путь не доступен.

Использование Earth Engine с ресурсами внутри защищенного периметра службы VPC доступно только для тарифных планов Professional и Premium. Попытка использовать Earth Engine API с защищенным проектом VPC-SC, связанным с базовым тарифным планом, приведет к ошибке. Чтобы узнать больше о ценах на Earth Engine, посетите официальную документацию .

Дополнительную информацию о средствах управления услугами VPC и их ограничениях можно найти в разделе Поддерживаемые продукты и ограничения .

Роли и разрешения

В следующих разделах описаны разрешения и роли, необходимые для выполнения действий и доступа к ресурсам Earth Engine. Дополнительную информацию о разрешениях и ролях облачного проекта см. в документации Google Cloud.

Предопределенные роли IAM Earth Engine

Earth Engine предоставляет предопределенные роли, которые позволяют разную степень контроля над ресурсами Earth Engine в рамках проекта. Эти роли:

Роль Заголовок Описание
roles/earthengine.viewer Средство просмотра ресурсов Earth Engine Предоставляет разрешение на просмотр и перечисление ресурсов и задач.
roles/earthengine.writer Автор ресурсов Earth Engine Предоставляет разрешение на чтение, создание, изменение и удаление ресурсов, импорт изображений и таблиц, чтение и обновление задач, выполнение интерактивных вычислений и создание длительных задач экспорта.
roles/earthengine.admin Администратор Earth Engine Предоставляет разрешения для всех ресурсов Earth Engine, включая изменение контроля доступа к активам Earth Engine.
roles/earthengine.appsPublisher Издатель приложений Earth Engine Предоставляет разрешение на создание учетной записи службы для использования с приложением Earth Engine. Также предоставляет разрешение на редактирование и удаление приложений, принадлежащих Project, в рамках облачного проекта.

Обратите внимание: вы можете установить примитивную или пользовательскую роль, если предопределенные роли Earth Engine не соответствуют вашим потребностям. Вы можете просмотреть набор разрешений, связанных с каждой ролью, на странице «Роли IAM» , отфильтровав конкретную роль и щелкнув ее.

Полный доступ к API Earth Engine.

Чтобы предоставить пользователям полный доступ к службе Earth Engine напрямую через REST API, через редактор кода или через клиентскую библиотеку, пользователям потребуется разрешение на выполнение таких операций, как:

Необходимы разрешения
  • clientauthconfig.clients.listWithSecrets
  • earthengine.assets.get
  • earthengine.assets.getIamPolicy
  • earthengine.assets.list
  • earthengine.computations.create
  • earthengine.operations.get
  • earthengine.operations.list
  • monitoring.timeSeries.list
  • resourcemanager.projects.get
  • resourcemanager.projects.list
  • serviceusage.operations.get
  • serviceusage.operations.list
  • serviceusage.quotas.get
  • serviceusage.services.get
  • serviceusage.services.list
  • serviceusage.services.use
Предлагаемые роли
  • Потребитель использования службы ( roles/serviceusage.serviceUsageConsumer ) И один из:
    • Средство просмотра ресурсов Earth Engine ( roles/earthengine.viewer ) ИЛИ
    • Модуль записи ресурсов Earth Engine ( roles/earthengine.writer ) ИЛИ
    • Администратор ресурсов Earth Engine ( roles/earthengine.admin )
  • Редактор конфигурации OAuth ( roles/oauthconfig.editor ) дополнительно необходим пользователям, которые получают доступ к Earth Engine через среду блокнота и используют Notebook Authenticator. Дополнительные сведения см. в разделе Проверка подлинности блокнота Colab или JupyterLab .
Примечания Google Cloud требует, чтобы роль потребителя использования служб использовала проект в качестве активного проекта при вызове API, и Без этого разрешения для проекта X ee.Initialize(project=X) завершится неудачно. Кроме того, вы можете затем выбрать этот проект в облачной консоли, чтобы отобразить использование вами ресурсов.

Только совместное использование активов

Предоставьте пользователю одну из предопределенных ролей IAM Earth Engine с минимальными разрешениями для выполнения необходимых действий. Обратите внимание, что пользователи не смогут использовать ресурсы проекта без необходимых разрешений serviceusage .

Управление проектом

Список и отображение доступных проектов

Это происходит при использовании редактора кода для просмотра доступных проектов.

Необходимы разрешения
  • resourcemanager.projects.get
  • resourcemanager.folders.list
  • resourcemanager.folders.get
  • resourcemanager.organizations.get (необычно)
Предлагаемые роли
  • Просмотрер ( roles/viewer
    Просмотр ресурсов Earth Engine ( roles/earthengine.viewer ) о соответствующих проектах или
    Браузер ( roles/browser , рекомендуется для проведения передовых организационных дел)
  • Просмотр просмотра папок ( roles/resourcemanager.folderViewer ) в соответствующих папках

Выберите проект для использования в редакторе кода

Необходимы разрешения
  • resourcemanager.projects.get
  • serviceusage.services.get
Если проект ранее не был настроен

При первом выборе проекта через редактор кода проект инициализируется для использования с Earth Engine. Если это не было сделано раньше, вам понадобятся эти роли для настройки, чтобы добиться успеха.

  • resourcemanager.projects.update и
  • serviceusage.services.enable
Предлагаемые роли
  • Просмотрер ( roles/viewer
  • Просмотр ресурсов Earth Engine ( roles/earthengine.viewer ) и
    Потребитель по использованию услуг ( roles/serviceusage.serviceUsageConsumer )
Дополнительные роли (если проект ранее не был настроен)
  • Редактор ( roles/editor ) или
  • Project Mover ( roles/resourcemanager.projectMover ) и
    Проект IAM Admin ( roles/resourcemanager.projectIamAdmin ) и
    Администратор использования услуг ( roles/serviceusage.serviceUsageAdmin )

Создать проект через редактор кода

Необходимы разрешения
  • resourcemanager.projects.get
  • resourcemanager.projects.create
  • resourcemanager.projects.update
  • serviceusage.services.get
  • serviceusage.services.enable
Предлагаемые роли
  • Редактор ( roles/editor ) или
  • Project Mover ( roles/resourcemanager.projectMover ) и
    Создатель проекта ( roles/resourcemanager.projectCreator ) и
    Администратор использования услуг ( roles/serviceusage.serviceUsageAdmin )
Примечания Ваша организация не может предоставить вам роль редактора , поэтому могут потребоваться более тонкозернистые роли. Проектный двигатель необходим для покрытия projects.update .

Коммерческая регистрация проекта

Следующие разрешения относятся к регистрации проектов для оплачиваемого использования .

Необходимы разрешения
Биллинг счета
  • billing.subscriptions.list
Кроме того:
  • billing.accounts.get (для создания нового ограниченного плана)
  • billing.subscriptions.create (для создания нового основного или профессионального плана)
Облачный проект
  • earthengine.computations.create
  • earthengine.config.update
  • serviceusage.services.get
  • serviceusage.services.enable
Предлагаемые роли
Биллинг счета
  • Просмотрщик счетов счетов ( roles/billing.viewer ), для создания нового ограниченного плана
  • Администратор счетов счетов ( roles/billing.admin ), для создания нового основного или профессионального плана
Облачный проект
  • Автор ресурсов Earth Engine ( roles/earthengine.writer )
  • Администратор использования услуг ( roles/serviceusage.serviceUsageAdmin )

Коммерческое управление планом двигателя земли

Следующие разрешения относятся к управлению планами ценообразования на землю .

Необходимы разрешения
на счете счетов
  • billing.subscriptions.create (чтобы изменить план Earth Engine)
  • billing.subscriptions.list (для просмотра текущего плана Earth Engine)
Предлагаемые роли
на счете счетов
  • Просмотр просмотра счетов счетов ( roles/billing.viewer ), чтобы просмотреть текущий план Earth Engine
  • Администратор выставления счетов ( roles/billing.admin ), чтобы изменить план двигателя Земли

Управление задачами партии

Следующие разрешения относятся к настройке лимитов для процесса на параллелизм пакетной задачи . Эта функция доступна только для коммерческих пользователей Earth Engine.

Просмотр ограничений партийных задач на уровне проекта

Необходимы разрешения
в облачной учетной записи		 earthengine.config.get

Установка партийных ограничений на уровне проекта

Необходимы разрешения
в облачной учетной записи		 earthengine.config.update
ПРИМЕЧАНИЕ. Это разрешение также включает в себя просмотр пределов уровня плана, которые настроены на биллинговую учетную запись.
Необходимы разрешения
на счете счетов		 billing.subscriptions.list

Управление приложениями

Отображать информацию приложения

Необходимы разрешения
  • iam.serviceAccounts.get
  • iam.serviceAccounts.getIamPolicy , если приложение ограничено (менее распространено)
Предлагаемые роли Просмотрер ( roles/viewer
Издатель Apps Engine roles/earthengine.appsPublisher

Опубликовать/обновить приложение

Необходимы разрешения
  • iam.serviceAccounts.get
  • iam.serviceAccounts.create
  • iam.serviceAccounts.enable
  • iam.serviceAccounts.getIamPolicy
  • iam.serviceAccounts.setIamPolicy
  • iam.serviceAccounts.disable , если приложение перемещено из одного проекта в другой (необычно)
Предлагаемые роли Издатель Apps Engine roles/earthengine.appsPublisher
Администратор счета услуг ( roles/iam.serviceAccountAdmin )
Примечания
  • Кроме того, учетные записи приложений Earth Engine идентифицируют себя на серверах Earth Engine, представив токен OAuth Access. Следовательно, определенные личности добавляются во время создания приложений в качестве создателя токена учетной записи услуги ( roles/iam.serviceAccountTokenCreator ) на счетах обслуживания.
  • В случае публичного приложения Earth Engine идентичность, предоставленная этой ролью earth-engine-public-apps@appspot.gserviceaccount.com , и в случае ограниченных приложений идентификация является ограничением доступа Google, настроенной создателем приложений.

Удалить и приложение

Необходимы разрешения iam.serviceAccounts.disable
Предлагаемые роли Издатель Apps Engine roles/earthengine.appsPublisher
Администратор счета услуг ( roles/iam.serviceAccountAdmin )
,

Вы можете поделиться активами или вычислить квоту вашего проекта с поддержкой Earth Engine с другими пользователями Earth Engine на уровне проекта. Активы Earth Engine или вычисление могут быть переданы другим пользователю или группе пользователей. Если вы хотите поделиться с группой пользователей, создайте новую группу Google и отметьте его электронную почту (доступно по ссылке на страницу группы). На этой странице описывается, как обеспечить доступ к ресурсам, как для человека, так и для группы, а также роли и разрешения, необходимые для различных видов деятельности.

Установите использование услуг Earth Engine

Чтобы использовать API Engine Engine на облачном проекте, API должен быть включен в проекте , и пользователь должен иметь, по крайней мере, разрешения в роли просмотра ресурсов Earth Engine (узнайте больше о предопределенных ролях Earth Engine IAM ). Кроме того, пользователь должен иметь хотя бы serviceusage.services.use разрешение на проект. Это разрешение может быть предоставлено с помощью ролей владельца проекта или редактора или с помощью конкретной роли потребительского пользования . Ошибка будет добавлена, если пользователь не требует разрешений на землю и разрешения на использование услуг в выбранном проекте.

Установить разрешения активов

Установить разрешения на уровне активов

Есть несколько вариантов обновления разрешений на уровне активов.

  • Используйте диспетчер активов в редакторе кода.
  • Используйте командную строку Earth Engine.
  • Используйте клиентскую библиотеку, например, ee.data.setAssetAcl() .
  • Или позвоните в остальные API напрямую.

Установить разрешения на активы на уровне проекта

Обмен на уровне проекта устанавливает разрешения на все активы в вашем облачном проекте, включенном в облачный проект Earth Engine.

Вы можете делиться активами на уровне проекта, назначив соответствующую роль управления идентификацией и доступом (IAM) на странице вашего администратора вашего проекта. Существуют предопределенные земные двигатели IAM, чтобы разделить активы и ресурсы Earth Engine. См. Понимание ролей для более общего обзора ролей IAM.

Когда другой пользователь пытается получить доступ к одному из ваших активов, разрешения сначала проверяются на уровне активов. Если разрешения не были установлены на уровне активов или чек не выполняются (т.е. без доступа), разрешения будут проверены на уровне проекта.

Установить разрешения на уровень проекта

Чтобы установить разрешения на уровне проекта, назначьте свою роль в проекте пользователю или группе пользователей:

  1. Откройте страницу IAM в консоли Google Cloud
    Откройте страницу IAM
    Или удерживайте указатель над именем вашего проекта на вкладке «Активы» редактора кода и нажмите значок .
  2. Нажмите «Выберите проект» и выберите свой проект (вы уже должны быть там, если вы открыли страницу IAM из редактора кода).
  3. Нажмите «Добавить вверху» и добавьте отдельное или групповое электронное письмо в качестве нового участника, или нажмите значок рядом с существующим участником в проекте.
  4. В роли распадается поиск роли ресурса Earth Engine, которую вы хотите предоставить. См. Предопределенный Earth Engine IAM Роли для деталей.
  5. Нажмите кнопку Сохранить .

VPC Service Controls

Earth Engine поддерживает VPC Service Controls , функцию безопасности Google Cloud, которая помогает пользователям защищать свои ресурсы и снизить риск экстрафильтрации данных. Добавление ресурсов в периметр службы VPC позволяет обеспечить большее контроль над операциями чтения данных и записи.

Узнайте больше о функциях VPC-SC и конфигурации .

Ограничения

Включение управления услугами VPC для ваших ресурсов поставляется с несколькими ограничениями, для которых мы приведены примеры обходных путей:

Ограничение Пример альтернативы
Редактор кода не поддерживается, и управление обслуживанием VPC не позволит использовать его с ресурсами и клиентами в периметре сервиса. Используйте API Python Engine Engine Engine вместе с библиотекой geemap .
Наследие активы не защищены управлением обслуживанием VPC. Используйте активы , хранящиеся в облачных проектах .
Экспорт в Google Drive не поддерживается VPC Service Controls.
Приложения Earth Engine не поддерживаются для ресурсов и клиентов по периметру обслуживания. Нет обходного пути.

Использование Earth Engine с ресурсами внутри обеспеченного периметра обслуживания VPC доступно только для профессиональных и премиальных ценовых планов. Попытка использовать API Earth Engine с помощью защищенного проекта VPC-SC, связанного с базовым планом ценообразования, приведет к ошибке. Чтобы узнать больше о ценах на землю, посетите официальную документацию .

Более подробную информацию о управлении обслуживанием VPC и его ограничениях можно найти в поддерживаемых продуктах и ​​ограничениях .

Роли и разрешения

В следующих разделах описываются разрешения и роли, необходимые для выполнения действий и доступа к ресурсам Earth Engine. Смотрите документацию Google Cloud, чтобы узнать больше о разрешениях и ролях облачных проектов.

Предопределенный земляный двигатель IAM Роли

Earth Engine обеспечивает предопределенные роли, которые допускают различные степени контроля над ресурсами Earth Engine в рамках проекта. Эти роли:

Роль Заголовок Описание
roles/earthengine.viewer Зритель ресурсов Earth Engine Предоставляет разрешение на просмотр и перечисление активов и задач.
roles/earthengine.writer Писатель ресурсов Earth Engine Предоставляет разрешение на чтение, создание, изменение и удаление активов, импорт изображений и таблиц, задачи чтения и обновления, выполнение интерактивных вычислений и создавать долговые экспортные задачи.
roles/earthengine.admin Администратор Земли Двигателя Обеспечивает разрешение на все ресурсы Earth Engine, включая изменение элементов управления доступа для активов Earth Engine.
roles/earthengine.appsPublisher Издатель приложений Earth Engine Предоставляет разрешение на создание сервисной учетной записи для использования с приложением Earth Engine. Также предоставляет разрешение на редактирование и удаление приложений, принадлежащих проекту в рамках облачного проекта.

Обратите внимание, что вы можете установить примитивную или пользовательскую роль, если предварительно определенные роли Earth Engine не отвечают вашим потребностям. Вы можете увидеть комплект разрешений, связанных с каждой ролью со страницы IAM Roles , фильтрации на определенную роль и нажимая на роль.

Полный доступ к API Earth Engine API

Чтобы предоставить пользователям полный доступ к службе Earth Engine, либо через REST API напрямую, через редактор кода или через клиентскую библиотеку, пользователям потребуется разрешение на выполнение таких операций, как:

Необходимы разрешения
  • clientauthconfig.clients.listWithSecrets
  • earthengine.assets.get
  • earthengine.assets.getIamPolicy
  • earthengine.assets.list
  • earthengine.computations.create
  • earthengine.operations.get
  • earthengine.operations.list
  • monitoring.timeSeries.list
  • resourcemanager.projects.get
  • resourcemanager.projects.list
  • serviceusage.operations.get
  • serviceusage.operations.list
  • serviceusage.quotas.get
  • serviceusage.services.get
  • serviceusage.services.list
  • serviceusage.services.use
Предлагаемые роли
  • Потребитель по использованию услуг ( roles/serviceusage.serviceUsageConsumer ) и один из:
    • Просмотр ресурсов Earth Engine ( roles/earthengine.viewer ) или
    • Автор ресурсов Earth Engine ( roles/earthengine.writer ) или
    • Администратор ресурса Earth Engine ( roles/earthengine.admin )
  • OAuth Config Editor ( roles/oauthconfig.editor ) дополнительно требуется для пользователей, которые получают доступ к Earth Engine через среду ноутбука, и используют аутентификатор ноутбуков. См. Аутентификацию Notebook Colab или JupyterLab для более подробной информации.
Примечания Google Cloud требует, чтобы роль потребителя использовала услуги , чтобы использовать проект в качестве активного проекта при вызове API, и ee.Initialize(project=X) потерпит неудачу без этого разрешения на проекте X. Кроме того, вы можете выбрать этот проект в облачной консоли для отображения вашего использования ресурсов.

Только обмен активами

Предоставьте пользователю одну из предопределенных ролей Earth Engine с минимальными разрешениями для выполнения необходимой деятельности. Обратите внимание, что пользователи не смогут потреблять ресурсы проекта без необходимых разрешений serviceusage .

Управление проектом

Список и отображение доступных проектов

Это происходит при использовании редактора кода для просмотра доступных проектов.

Необходимы разрешения
  • resourcemanager.projects.get
  • resourcemanager.folders.list
  • resourcemanager.folders.get
  • resourcemanager.organizations.get (необычно)
Предлагаемые роли
  • Просмотрер ( roles/viewer
    Просмотр ресурсов Earth Engine ( roles/earthengine.viewer ) о соответствующих проектах или
    Браузер ( roles/browser , рекомендуется для проведения передовых организационных дел)
  • Просмотр просмотра папок ( roles/resourcemanager.folderViewer ) в соответствующих папках

Выберите проект для использования в редакторе кода

Необходимы разрешения
  • resourcemanager.projects.get
  • serviceusage.services.get
Если проект ранее не был настроен

При первом выборе проекта через редактор кода проект инициализируется для использования с Earth Engine. Если это не было сделано раньше, вам понадобятся эти роли для настройки, чтобы добиться успеха.

  • resourcemanager.projects.update и
  • serviceusage.services.enable
Предлагаемые роли
  • Просмотрер ( roles/viewer
  • Просмотр ресурсов Earth Engine ( roles/earthengine.viewer ) и
    Потребитель по использованию услуг ( roles/serviceusage.serviceUsageConsumer )
Дополнительные роли (если проект ранее не был настроен)
  • Редактор ( roles/editor ) или
  • Project Mover ( roles/resourcemanager.projectMover ) и
    Проект IAM Admin ( roles/resourcemanager.projectIamAdmin ) и
    Администратор использования услуг ( roles/serviceusage.serviceUsageAdmin )

Создать проект через редактор кода

Необходимы разрешения
  • resourcemanager.projects.get
  • resourcemanager.projects.create
  • resourcemanager.projects.update
  • serviceusage.services.get
  • serviceusage.services.enable
Предлагаемые роли
  • Редактор ( roles/editor ) или
  • Project Mover ( roles/resourcemanager.projectMover ) и
    Создатель проекта ( roles/resourcemanager.projectCreator ) и
    Администратор использования услуг ( roles/serviceusage.serviceUsageAdmin )
Примечания Ваша организация не может предоставить вам роль редактора , поэтому могут потребоваться более тонкозернистые роли. Проектный двигатель необходим для покрытия projects.update .

Коммерческая регистрация проекта

Следующие разрешения относятся к регистрации проектов для оплачиваемого использования .

Необходимы разрешения
Биллинг счета
  • billing.subscriptions.list
Кроме того:
  • billing.accounts.get (для создания нового ограниченного плана)
  • billing.subscriptions.create (для создания нового основного или профессионального плана)
Облачный проект
  • earthengine.computations.create
  • earthengine.config.update
  • serviceusage.services.get
  • serviceusage.services.enable
Предлагаемые роли
Биллинг счета
  • Просмотрщик счетов счетов ( roles/billing.viewer ), для создания нового ограниченного плана
  • Администратор счетов счетов ( roles/billing.admin ), для создания нового основного или профессионального плана
Облачный проект
  • Автор ресурсов Earth Engine ( roles/earthengine.writer )
  • Администратор использования услуг ( roles/serviceusage.serviceUsageAdmin )

Коммерческое управление планом двигателя земли

Следующие разрешения относятся к управлению планами ценообразования на землю .

Необходимы разрешения
на счете счетов
  • billing.subscriptions.create (чтобы изменить план Earth Engine)
  • billing.subscriptions.list (для просмотра текущего плана Earth Engine)
Предлагаемые роли
на счете счетов
  • Просмотр просмотра счетов счетов ( roles/billing.viewer ), чтобы просмотреть текущий план Earth Engine
  • Администратор выставления счетов ( roles/billing.admin ), чтобы изменить план двигателя Земли

Управление задачами партии

Следующие разрешения относятся к настройке лимитов для процесса на параллелизм пакетной задачи . Эта функция доступна только для коммерческих пользователей Earth Engine.

Просмотр ограничений партийных задач на уровне проекта

Необходимы разрешения
в облачной учетной записи		 earthengine.config.get

Установка партийных ограничений на уровне проекта

Необходимы разрешения
в облачной учетной записи		 earthengine.config.update
ПРИМЕЧАНИЕ. Это разрешение также включает в себя просмотр пределов уровня плана, которые настроены на биллинговую учетную запись.
Необходимы разрешения
на счете счетов		 billing.subscriptions.list

Управление приложениями

Отображать информацию приложения

Необходимы разрешения
  • iam.serviceAccounts.get
  • iam.serviceAccounts.getIamPolicy , если приложение ограничено (менее распространено)
Предлагаемые роли Просмотрер ( roles/viewer
Издатель Apps Engine roles/earthengine.appsPublisher

Опубликовать/обновить приложение

Необходимы разрешения
  • iam.serviceAccounts.get
  • iam.serviceAccounts.create
  • iam.serviceAccounts.enable
  • iam.serviceAccounts.getIamPolicy
  • iam.serviceAccounts.setIamPolicy
  • iam.serviceAccounts.disable , если приложение перемещено из одного проекта в другой (необычно)
Предлагаемые роли Издатель Apps Engine roles/earthengine.appsPublisher
Администратор счета услуг ( roles/iam.serviceAccountAdmin )
Примечания
  • Кроме того, учетные записи приложений Earth Engine идентифицируют себя на серверах Earth Engine, представив токен OAuth Access. Следовательно, определенные личности добавляются во время создания приложений в качестве создателя токена учетной записи услуги ( roles/iam.serviceAccountTokenCreator ) на счетах обслуживания.
  • В случае публичного приложения Earth Engine идентичность, предоставленная этой ролью earth-engine-public-apps@appspot.gserviceaccount.com , и в случае ограниченных приложений идентификация является ограничением доступа Google, настроенной создателем приложений.

Удалить и приложение

Необходимы разрешения iam.serviceAccounts.disable
Предлагаемые роли Издатель Apps Engine roles/earthengine.appsPublisher
Администратор счета услуг ( roles/iam.serviceAccountAdmin )