控管資源存取權

您可以在專案層級，與其他 Earth Engine 使用者共用已啟用 Earth Engine 的專案資產或運算配額。Earth Engine 資產或運算資源可與其他使用者或使用者群組共用。如要與一組使用者共用，請建立新的 Google 群組，並記下其電子郵件地址 (可透過群組頁面上的「關於」連結取得)。本頁面說明如何為個人或群組提供資源存取權，以及不同活動所需的角色和權限。

設定 Earth Engine 服務用量

如要在雲端專案中使用 Earth Engine API，必須在專案中啟用 API，且使用者至少須具備 Earth Engine 資源檢視者角色的權限 (進一步瞭解預先定義的 Earth Engine IAM 角色)。此外，使用者必須至少具備專案的 serviceusage.services.use 權限。這項權限可透過專案擁有者或編輯者角色，或透過特定的服務使用情形消費者角色提供。如果使用者對所選專案沒有必要的 Earth Engine 權限和 Service Usage 權限，系統會擲回錯誤。

設定資產權限

設定資產層級權限

您有多種方式可以更新資產層級的權限。

  • 使用程式碼編輯器中的資產管理工具。
  • 使用 Earth Engine 指令列。
  • 使用用戶端程式庫，例如 ee.data.setAssetAcl()。
  • 或直接呼叫 REST API。

設定專案層級資產權限

在專案層級共用，可一次設定已啟用 Earth Engine 的雲端專案中所有資產的權限。

您可以在專案的 IAM 管理頁面指派適當的 Identity and Access Management (IAM) 角色，在專案層級共用資產。您可以使用預先定義的 Earth Engine IAM 角色，共用 Earth Engine 資產和資源。如要進一步瞭解 IAM 角色，請參閱「瞭解角色」。

當其他使用者嘗試存取您的資產時，系統會先檢查資產層級的權限。如果未在資產層級設定權限，或檢查失敗 (即無法存取)，系統會在專案層級檢查權限。

設定專案層級權限

如要在專案層級設定權限，請將專案 IAM 角色指派給使用者或使用者群組：

  1. 在 Google Cloud 控制台中開啟「IAM」頁面
    開啟「IAM」頁面
    或者，在程式碼編輯器的「Assets」分頁中，將滑鼠游標懸停在專案名稱上，然後按一下 圖示。
  2. 按一下「選取專案」，然後選擇專案 (如果您是從程式碼編輯器開啟 IAM 頁面，應該已經在該頁面)。
  3. 按一下頂端的「ADD」(新增)，然後新增個人或群組電子郵件做為新成員，或按一下專案中現有成員旁邊的 圖示。
  4. 在「Role」(角色) 下拉式選單中，搜尋要授予的 Earth Engine 資源角色。詳情請參閱「預先定義的 Earth Engine IAM 角色」。
  5. 點選「儲存」按鈕。

VPC Service Controls

Earth Engine 支援 VPC Service Controls，這項 Google Cloud 安全防護功能可協助使用者保護資源，並降低資料竊取風險。將資源新增至 VPC service perimeter，可進一步控管資料讀取和寫入作業。

進一步瞭解 VPC-SC 功能和設定。

限制

為資源啟用 VPC Service Controls 時，會受到一些限制，以下提供範例解決方法：

限制 替代方案範例
程式碼編輯器不支援 VPC Service Controls，因此無法與 service perimeter 內的資源和用戶端搭配使用。 搭配使用 Earth Engine Python API 和 geemap 程式庫。
舊版資產不受 VPC Service Controls 保護。 使用 儲存在雲端專案中的素材資源。
VPC Service Controls 不支援 匯出至 Google 雲端硬碟。
Earth Engine 應用程式不支援 service perimeter 內的資源和用戶端。 沒有替代方案。

只有 Professional 和 Premium 定價方案，才能搭配受保護 VPC 服務範圍內的資源使用 Earth Engine。如果嘗試將 Earth Engine API 與基本定價方案相關聯的 VPC-SC 保護專案搭配使用，會發生錯誤。如要進一步瞭解 Earth Engine 定價，請參閱官方說明文件。

如要進一步瞭解 VPC Service Controls 及其限制，請參閱「支援的產品和限制」。

角色和權限

以下各節說明執行活動和存取 Earth Engine 資源所需的權限和角色。如要進一步瞭解 Cloud 專案權限和角色，請參閱 Google Cloud 說明文件。

預先定義的 Earth Engine IAM 角色

Earth Engine 提供預先定義的角色，可對專案中的 Earth Engine 資源授予不同程度的控制權。這些角色包括：

角色 名稱 說明
roles/earthengine.viewer Earth Engine 資源檢視者 可查看及列出資產和工作。
roles/earthengine.writer Earth Engine 資源寫入者 具備讀取、建立、修改及刪除資產、匯入圖片和表格、讀取及更新工作、執行互動式運算，以及建立長時間執行的匯出工作等權限。
roles/earthengine.admin Earth Engine 管理員 提供所有 Earth Engine 資源的權限，包括變更 Earth Engine 資產的存取控管。
roles/earthengine.appsPublisher Earth Engine 應用程式發布者 提供建立服務帳戶的權限，以便與 Earth Engine 應用程式搭配使用。此外，也授予編輯及刪除 Cloud 專案中專案擁有應用程式的權限。

請注意，如果預先定義的 Earth Engine 角色不符合需求，您可以設定原始或自訂角色。如要查看與各角色相關聯的權限組合，請前往「IAM Roles」(IAM 角色) 頁面，篩選出特定角色並點選該角色。

啟用 Earth Engine API

如要在 Cloud 專案啟用 Earth Engine API，使用者必須具備服務使用情形管理員 (roles/serviceusage.serviceUsageAdmin) 角色，或其他包含 serviceusage.services.enable 權限的角色 (例如專案擁有者或編輯者)。

必須授予權限
  • serviceusage.services.enable
  • serviceusage.services.get
建議角色
  • 服務使用情形管理員 (roles/serviceusage.serviceUsageAdmin) 或
  • 擁有者 (roles/owner) 或
  • 編輯者 (roles/editor)

具備 Earth Engine API 的完整權限

如要讓使用者透過 REST API、程式碼編輯器或用戶端程式庫，完整存取 Earth Engine 服務，使用者必須具備執行下列作業的權限：

  • 執行 Earth Engine 運算式
  • 執行批次運算 (匯出)
  • 取得互動式結果 (線上地圖、縮圖、圖表等)
  • 建立/刪除 Earth Engine 資產
  • 透過用戶端程式庫使用 OAuth 驗證連線至 Earth Engine
必須授予權限
  • clientauthconfig.clients.listWithSecrets
  • earthengine.assets.get
  • earthengine.assets.getIamPolicy
  • earthengine.assets.list
  • earthengine.computations.create
  • earthengine.operations.get
  • earthengine.operations.list
  • monitoring.timeSeries.list
  • resourcemanager.projects.get
  • resourcemanager.projects.list
  • serviceusage.operations.get
  • serviceusage.operations.list
  • serviceusage.quotas.get
  • serviceusage.services.get
  • serviceusage.services.list
  • serviceusage.services.use
建議角色
  • 服務使用情形消費者 (roles/serviceusage.serviceUsageConsumer) 和下列其中一項：
    • Earth Engine 資源檢視者 (roles/earthengine.viewer) 或
    • Earth Engine 資源寫入者 (roles/earthengine.writer) 或
    • Earth Engine 資源管理員 (roles/earthengine.admin)
  • 如果使用者透過筆記本環境存取 Earth Engine，並使用 Notebook Authenticator，則還需要 OAuth 設定編輯者 (roles/oauthconfig.editor) 角色。詳情請參閱「 Colab 或 JupyterLab 筆記本驗證」。
附註 Google Cloud 必須具備服務使用情形消費者角色，才能在呼叫 API 時將專案設為有效專案，如果專案 X 沒有這項權限，ee.Initialize(project=X) 就會失敗。此外，您也可以在 Cloud 控制台中選取這項專案，顯示資源使用情形。

僅限共用素材資源

授予使用者其中一個預先定義的 Earth Engine IAM 角色，並提供執行所需活動的最低權限。請注意，使用者必須具備必要的 serviceusage 權限，才能使用專案資源。

專案管理

列出並顯示可用專案

使用程式碼編輯器瀏覽可用專案時，就會發生這種情況。

必須授予權限
  • resourcemanager.projects.get
  • resourcemanager.folders.list
  • resourcemanager.folders.get
  • resourcemanager.organizations.get (不常見)
建議角色
  • 相關專案的檢視者 (roles/viewer) 或
    Earth Engine 資源檢視者 (roles/earthengine.viewer) 或
    瀏覽者 (roles/browser，建議用於進階組織案例)
  • 相關資料夾的資料夾檢視者 (roles/resourcemanager.folderViewer)

選取要在程式碼編輯器中使用的專案

必須授予權限
  • resourcemanager.projects.get
  • serviceusage.services.get
如果先前未設定專案

首次透過程式碼編輯器選取專案時，系統會初始化專案，以便與 Earth Engine 搭配使用。如果先前未完成這項操作，您必須具備這些角色，才能成功設定。

  • resourcemanager.projects.update AND
  • serviceusage.services.enable
建議角色
  • 檢視者 (roles/viewer) 或
  • Earth Engine 資源檢視者 (roles/earthengine.viewer) 和
    服務使用情形消費者 (roles/serviceusage.serviceUsageConsumer)
其他角色 (如果先前未設定專案)
  • 編輯者 (roles/editor) 或
  • 專案移動者 (roles/resourcemanager.projectMover) 且
    專案 IAM 管理員 (roles/resourcemanager.projectIamAdmin) 且
    服務使用情形管理員 (roles/serviceusage.serviceUsageAdmin)

透過程式碼編輯器建立專案

必須授予權限
  • resourcemanager.projects.get
  • resourcemanager.projects.create
  • resourcemanager.projects.update
  • serviceusage.services.get
  • serviceusage.services.enable
建議角色
  • 編輯者 (roles/editor) 或
  • 專案移動者 (roles/resourcemanager.projectMover) 和
    專案建立者 (roles/resourcemanager.projectCreator) 和
    服務使用情形管理員 (roles/serviceusage.serviceUsageAdmin)
附註 貴組織可能不會授予您編輯者角色，因此可能需要更精細的角色。必須具備專案移動者角色，才能涵蓋 projects.update 權限。

選取非商業用途級別

下列權限和建議角色與非商業級設定有關。

選取級別
必須授予權限
  • earthengine.config.update
建議角色
  • Earth Engine 資源寫入者 (roles/earthengine.writer)
將帳單帳戶與專案建立關聯

如要使用「貢獻者」級別，專案必須連結有效的帳單帳戶。如要進一步瞭解帳單權限和角色，請參閱「Cloud Billing 存取權」頁面。

必須授予權限
帳單帳戶
  • billing.resourceAssociations.create
Cloud 專案
  • resourcemanager.projects.createBillingAssignment
建議角色
帳單帳戶
  • 帳單帳戶使用者 (roles/billing.user)
Cloud 專案
  • 專案帳單管理員 (roles/billing.projectManager)

商業專案註冊

下列權限與註冊專案以使用付費功能有關。

必須授予權限
帳單帳戶
  • billing.accounts.get
  • billing.subscriptions.list
此外：
  • billing.subscriptions.create (用於建立新的 Basic 或 Professional 方案)
Cloud 專案
  • earthengine.config.update
  • serviceusage.services.get
  • serviceusage.services.enable
建議角色
帳單帳戶
  • 帳單帳戶檢視者 (roles/billing.viewer)，用於建立新的受限方案
  • 帳單帳戶管理員 (roles/billing.admin)，用於建立新的基本版或專業版方案
Cloud 專案
  • Earth Engine 資源寫入者 (roles/earthengine.writer)
  • 服務使用情形管理員 (roles/serviceusage.serviceUsageAdmin)

商業 Earth Engine 方案管理

下列權限與管理 Earth Engine 定價方案有關。

帳單帳戶所需的權限
  • billing.accounts.get
  • billing.subscriptions.list
此外：
  • billing.subscriptions.create (從 Limited 方案升級至 Basic 或 Professional 方案)
  • billing.subscriptions.update (用於在 Basic 和 Professional 方案之間切換，或將 Basic 或 Professional 方案降級為 Limited)
帳單帳戶的建議角色
  • 帳單帳戶檢視者 (roles/billing.viewer)，可查看目前的 Earth Engine 方案
  • 帳單帳戶管理員 (roles/billing.admin)，可變更 Earth Engine 方案

批次工作管理

下列權限與設定各項專案的批次工作並行數量限制有關。這項功能僅適用於 Earth Engine 商業使用者。

查看專案層級的批次工作限制

Cloud 帳戶
所需權限 		earthengine.config.get

設定專案層級批次工作限制

Cloud 帳戶
所需權限 		earthengine.config.update
注意：這項權限也包含查看帳單帳戶上設定的方案層級限制。
帳單帳戶所需的權限
 billing.subscriptions.list

應用程式管理

顯示應用程式資訊

必須授予權限
  • iam.serviceAccounts.get
  • iam.serviceAccounts.getIamPolicy，如果應用程式受到限制 (較少見)
建議角色 檢視者 (roles/viewer) 或
Earth Engine 應用程式發布者 (roles/earthengine.appsPublisher)

發布/更新應用程式

必須授予權限
  • iam.serviceAccounts.get
  • iam.serviceAccounts.create
  • iam.serviceAccounts.enable
  • iam.serviceAccounts.getIamPolicy
  • iam.serviceAccounts.setIamPolicy
  • iam.serviceAccounts.disable，如果應用程式從一個專案移至另一個專案 (不常見)
建議角色 Earth Engine 應用程式發布者 (roles/earthengine.appsPublisher) 或
服務帳戶管理員 (roles/iam.serviceAccountAdmin)
附註
  • 此外，Earth Engine 應用程式服務帳戶會向 Earth Engine 伺服器提供 OAuth 存取權杖，藉此識別自身身分。因此，在建立應用程式時，系統會將特定身分新增為服務帳戶的服務帳戶權杖建立者 (roles/iam.serviceAccountTokenCreator)。
  • 如果是公開的 Earth Engine 應用程式，獲派該角色的身分為 earth-engine-public-apps@appspot.gserviceaccount.com；如果是受限制的應用程式，身分則是應用程式建立者設定的存取限制 Google 群組。

刪除應用程式

必須授予權限 iam.serviceAccounts.disable
建議角色 Earth Engine 應用程式發布者 (roles/earthengine.appsPublisher) 或
服務帳戶管理員 (roles/iam.serviceAccountAdmin)