アプライアンス管理コンソールで Compute Engine インスタンスのバックアップ、マウント、復元に必要な IAM ロールと権限

このページでは、Compute Engine インスタンスのバックアップ、マウント、復元に必要なロールと権限について説明します。

必要なロール

インスタンスのバックアップ、マウント、復元を行うには、バックアップ/復元アプライアンスで使用されるサービス アカウントに次の IAM ロールを付与することをおすすめします。

Compute Engine インスタンスのバックアップ、マウント、復元に必要な権限を取得するには、プロジェクトに対する Backup and DR Compute Engine オペレーター （roles/backupdr.computeEngineOperator）IAM ロールを付与するよう管理者に依頼してください。ロールの付与については、プロジェクト、フォルダ、組織に対するアクセス権の管理をご覧ください。

必要な権限は、カスタムロールや他の事前定義ロールから取得することもできます。

カスタムロールを使用する場合は、次のセクションに記載されているすべての権限を含める必要があります。

きめ細かい権限

次の表に、さまざまな Compute Engine オペレーションに必要なきめ細かい権限を示します。

権限 バックアップ マウント（既存） 復元 / マウント（新規）
Compute Engine
compute.addresses.list ○
compute.disks.create ○ ○
compute.disks.createSnapshot ○ ○
compute.disks.delete ○ ○
compute.disks.get ○ ○ ○
compute.disks.setLabels ○
compute.disks.use ○ ○
compute.diskTypes.get ○ ○
compute.diskTypes.list ○ ○
compute.firewalls.list ○
compute.globalOperations.get ○
compute.images.create ○ ○
compute.images.delete ○ ○
compute.images.get ○ ○
compute.images.useReadOnly ○ ○
compute.instances.attachDisk ○ ○
compute.instances.create ○ ○
compute.instances.delete ○ ○
compute.instances.detachDisk ○ ○
compute.instances.get ○ ○
compute.instances.list ○ ○ ○
compute.instances.setLabels ○ ○
compute.instances.setMetadata ○ ○
compute.instances.setServiceAccount ○
compute.instances.setTags ○
compute.instances.start ○
compute.instances.stop ○
compute.machineTypes.get ○
compute.machineTypes.list ○
compute.networks.list ○
compute.nodeGroups.get ○
compute.nodeGroups.list ○
compute.nodeTemplates.get ○
compute.projects.get ○
compute.regions.get ○ ○ ○
compute.regions.list ○
compute.regionOperations.get ○ ○ ○
compute.snapshots.create ○ ○
compute.snapshots.delete ○
compute.snapshots.get ○ ○
compute.snapshots.setLabels ○ ○
compute.snapshots.useReadOnly ○ ○
compute.subnetworks.list ○
compute.subnetworks.use ○
compute.subnetworks.useExternalIp ○
compute.zoneOperations.get ○ ○
compute.zones.list ○ ○ ○
IAM
iam.serviceAccounts.actAs ○ ○ ○
iam.serviceAccounts.get ○ ○ ○
iam.serviceAccounts.list ○ ○ ○
Resource Manager
resourcemanager.projects.get ○ ○ ○
resourcemanager.projects.list ○

CMEK の権限

ソースディスクが顧客管理の暗号鍵（CMEK）を使用している場合、Compute Engine サービス エージェントには、ソース プロジェクトの鍵に対する roles/cloudkms.cryptoKeyEncrypterDecrypter ロールが必要です。

この権限を付与する手順は次のとおりです。

  1. Google Cloud コンソールで、ターゲット プロジェクトの [IAM] ページに移動します。IAM に移動
  2. [Google 提供のロール付与を含む] を選択します。
  3. Compute Engine サービス エージェント サービス アカウントを見つけて、そのメールアドレス（プリンシパル）をコピーします。
  4. KMS 鍵が配置されているソース プロジェクトに切り替えます。
  5. [アクセスを許可] をクリックし、サービス アカウントのメールアドレスを貼り付けます。
  6. [Cloud KMS 暗号鍵の暗号化/復号] ロールを選択し、[保存] をクリックします。

関連情報