Google Cloud basic roles ใหม่เปิดใช้ทั่วไป แนะนำ Admin, Writer, Reader แทน Owner, Editor

Google ประกาศใน release notes ของ Identity and Access Management (IAM) เมื่อ 29 ตุลาคม 2026 ว่า Google Cloud basic roles ชุดใหม่ 3 บทบาท คือ Admin, Writer และ Reader เปิดใช้งานทั่วไป (GA) แล้ว พร้อมแนะนำว่าถ้าจำเป็นต้องให้ basic role ควรเลือกชุดนี้แทน Owner, Editor และ Viewer เพราะใส่ IAM Conditions ได้ ส่วนชุดเดิมยังใช้ต่อได้ ประกาศไม่ได้ระบุกำหนดยกเลิก

เรื่องนี้ดูเล็ก แต่กระทบวิธีแจกสิทธิ์ขององค์กรที่ยังใช้ basic role อยู่ เพราะบทบาทใหม่ไม่ได้ทำงานเหมือนชุดเดิมทุกจุด โดยเฉพาะสิทธิ์ที่เคยพ่วงมากับ Cloud Storage และ BigQuery

Google Cloud basic roles ชุดใหม่ต่างจาก Owner, Editor, Viewer อย่างไร

เอกสาร Roles overview ที่ปรับล่าสุดวันที่ 29 ตุลาคม 2026 จัดให้ Admin, Writer และ Reader เป็น basic role หลัก และเรียก Owner, Editor, Viewer ว่า "legacy basic roles" ซึ่งมีมาก่อน IAM และเคยเรียกว่า primitive roles

เอกสารบรรยายขอบเขตของแต่ละคู่ด้วยถ้อยคำเดียวกัน ดังนี้

• Reader: การกระทำแบบอ่านอย่างเดียวที่ไม่เปลี่ยนสถานะระบบ เช่น ดูทรัพยากรหรือข้อมูลที่มีอยู่
• Writer: ทุกอย่างของ Reader และการกระทำที่เปลี่ยนสถานะ สร้างและลบทรัพยากรได้ในบริการส่วนใหญ่ แต่ไม่ครบทุกการกระทำของทุกบริการ
• Admin: ทุกอย่างของ Writer และงานอ่อนไหว เช่น จัดการ tag binding ของ Compute Engine จัดการบทบาทและสิทธิ์ในโปรเจกต์ และตั้งค่าบิลของโปรเจกต์

Admin ไม่ได้มีทุกสิทธิ์ เอกสารยกตัวอย่างว่าไม่มีสิทธิ์แก้ข้อมูลการชำระเงินของ Cloud Billing และสร้าง IAM deny policy ไม่ได้ อย่างไรก็ตาม ถ้อยคำที่เหมือนกันไม่ได้รับรองว่ารายการสิทธิ์ตรงกันทุกตัว ผู้ดูแลควรเทียบจากหน้ารายละเอียดของแต่ละบทบาทใน console

สิทธิ์ที่ไม่ตามมาใน Cloud Storage และ BigQuery

จุดที่ทีมไอทีควรอ่านละเอียดที่สุดคือหมายเหตุในเอกสารว่า Cloud Storage convenience values และ BigQuery special group ไม่ให้สิทธิ์แก่ผู้ถือ Admin, Writer หรือ Reader

Cloud Storage: convenience value คือตัวแทนกลุ่มผู้ถือบทบาทเดิมในโปรเจกต์ เช่น projectViewer:PROJECT_ID เมื่อสร้าง bucket ที่เปิด uniform bucket-level access ผู้ถือ roles/viewer จะได้ roles/storage.legacyBucketReader และ roles/storage.legacyObjectReader ของ bucket นั้น ส่วนผู้ถือ roles/editor และ roles/owner จะได้ roles/storage.legacyBucketOwner และ roles/storage.legacyObjectOwner เอกสาร Cloud Storage ระบุด้วยว่าโดยทั่วไปควรเลี่ยง convenience values ใน production

BigQuery: เมื่อสร้าง dataset ในโปรเจกต์ที่มี Viewer ผู้ใช้เหล่านั้นจะได้ bigquery.dataViewer ของ dataset ใหม่ ส่วน Editor ได้ bigquery.dataEditor และ Owner ได้ bigquery.dataOwner เอกสาร BigQuery ยังเตือนให้เลี่ยง basic role และใช้ predefined role แทน เพราะให้สิทธิ์มากเกินจำเป็นและไม่สม่ำเสมอ

ผลในทางปฏิบัติมีสองด้าน ด้านดีคือสิทธิ์ที่แฝงมากับบทบาทลดลง ด้านที่ต้องระวังคือผู้ใช้ที่เปิดข้อมูลได้เพราะถือ Viewer อาจเปิดไม่ได้หลังเปลี่ยนเป็น Reader ถ้าไม่มีการให้สิทธิ์ระดับ bucket หรือ dataset ไว้ต่างหาก

gcloud projects add-iam-policy-binding PROJECT_ID \
  --member=group:GROUP_NAME \
  --role=roles/writer \
  --condition='expression=request.time < timestamp("2026-12-01T00:00:00.000Z"),title=expires-dec-2026'