Rôles et autorisations IAM requis pour sauvegarder, monter et restaurer des instances Compute Engine dans la console de gestion des appliances

Cette page liste les rôles et autorisations requis pour sauvegarder, monter et restaurer des instances Compute Engine.

Rôles requis

Pour sauvegarder, monter et restaurer une instance, nous vous recommandons d'attribuer les rôles IAM suivants au compte de service utilisé par l'appliance de sauvegarde/récupération.

Pour obtenir les autorisations nécessaires pour sauvegarder, monter et restaurer des instances Compute Engine, demandez à votre administrateur de vous accorder le rôle IAM Opérateur Backup and DR Compute Engine (roles/backupdr.computeEngineOperator) sur votre projet. Pour en savoir plus sur l'attribution de rôles, consultez Gérer l'accès aux projets, aux dossiers et aux organisations.

Vous pouvez également obtenir les autorisations requises avec des rôles personnalisés ou d'autres rôles prédéfinis.

Si vous préférez utiliser des rôles personnalisés, vous devez inclure toutes les autorisations listées dans la section suivante.

Autorisations précises

Le tableau suivant compare les autorisations précises requises pour différentes opérations Compute Engine.

Autorisation Sauvegarde Support (actuel) Restaurer / Monter (nouveau)
Compute Engine
compute.addresses.list Oui
compute.disks.create Oui Oui
compute.disks.createSnapshot Oui Oui
compute.disks.delete Oui Oui
compute.disks.get Oui Oui Oui
compute.disks.setLabels Oui
compute.disks.use Oui Oui
compute.diskTypes.get Oui Oui
compute.diskTypes.list Oui Oui
compute.firewalls.list Oui
compute.globalOperations.get Oui
compute.images.create Oui Oui
compute.images.delete Oui Oui
compute.images.get Oui Oui
compute.images.useReadOnly Oui Oui
compute.instances.attachDisk Oui Oui
compute.instances.create Oui Oui
compute.instances.delete Oui Oui
compute.instances.detachDisk Oui Oui
compute.instances.get Oui Oui
compute.instances.list Oui Oui Oui
compute.instances.setLabels Oui Oui
compute.instances.setMetadata Oui Oui
compute.instances.setServiceAccount Oui
compute.instances.setTags Oui
compute.instances.start Oui
compute.instances.stop Oui
compute.machineTypes.get Oui
compute.machineTypes.list Oui
compute.networks.list Oui
compute.nodeGroups.get Oui
compute.nodeGroups.list Oui
compute.nodeTemplates.get Oui
compute.projects.get Oui
compute.regions.get Oui Oui Oui
compute.regions.list Oui
compute.regionOperations.get Oui Oui Oui
compute.snapshots.create Oui Oui
compute.snapshots.delete Oui
compute.snapshots.get Oui Oui
compute.snapshots.setLabels Oui Oui
compute.snapshots.useReadOnly Oui Oui
compute.subnetworks.list Oui
compute.subnetworks.use Oui
compute.subnetworks.useExternalIp Oui
compute.zoneOperations.get Oui Oui
compute.zones.list Oui Oui Oui
IAM
iam.serviceAccounts.actAs Oui Oui Oui
iam.serviceAccounts.get Oui Oui Oui
iam.serviceAccounts.list Oui Oui Oui
Resource Manager
resourcemanager.projects.get Oui Oui Oui
resourcemanager.projects.list Oui

Autorisations pour CMEK

Si le disque source utilise des clés de chiffrement gérées par le client (CMEK), l'agent de service Compute Engine a besoin du rôle roles/cloudkms.cryptoKeyEncrypterDecrypter sur la clé dans le projet source.

Pour accorder cette autorisation, procédez comme suit :

  1. Dans la console Google Cloud , accédez à la page IAM de votre projet cible. Accéder à IAM
  2. Sélectionnez Inclure les attributions de rôles fournies par Google.
  3. Recherchez le compte de service Agent de service Compute Engine et copiez son adresse e-mail (le compte principal).
  4. Passez au projet source dans lequel se trouve la clé KMS.
  5. Cliquez sur Accorder l'accès, puis collez l'adresse e-mail du compte de service.
  6. Sélectionnez le rôle Chiffreur/Déchiffreur de CryptoKey Cloud KMS, puis cliquez sur Enregistrer.

Informations connexes