使用 IAM 控管存取權

如要限制專案或組織內使用者的存取權，可以為資料庫遷移服務和相關目的地資料庫，指派 Identity and Access Management (IAM) 角色。您可以控管資料庫遷移服務相關資源的存取權，不必將整個 Google Cloud 專案的檢視者、編輯者或擁有者角色授予使用者。

本頁面說明使用者和服務帳戶在透過資料庫遷移服務進行同質 MySQL 適用的 Cloud SQL 遷移時，需要的所有角色。如要進一步瞭解在遷移程序中何時會用到這些權限，請參閱「 將 MySQL 資料庫遷移至 MySQL 適用的 Cloud SQL」。

執行遷移工作的帳戶

使用資料庫遷移服務執行資料遷移作業時，會涉及兩個帳戶：

執行遷移作業的使用者帳戶
這是您用來建立連線設定檔、建立及執行遷移工作的 Google 帳戶。
資料庫遷移服務服務帳戶
啟用資料庫遷移服務 API 時，系統會為您建立這個服務帳戶，並自動產生相關聯的電子郵件地址。該電子郵件地址無法變更，這個電子郵件地址的格式如下：
service-PROJECT_NUMBER@gcp-sa-datamigration.iam.gserviceaccount.com

資料遷移程序中涉及的每個帳戶，都需要不同的角色和權限組合。

權限與角色

如要取得使用 資料庫遷移服務 執行同質 MySQL 遷移作業所需的權限，請要求系統管理員在專案中，為下列帳戶授予必要的 IAM 角色：

如要進一步瞭解如何授予角色，請參閱「 管理存取權」。

這些預先定義的角色具備使用資料庫遷移服務執行同質 MySQL 遷移作業所需的權限。如要查看確切的必要權限，請展開「Required permissions」(必要權限) 部分：

所需權限

如要使用資料庫遷移服務執行同質 MySQL 遷移作業，必須具備下列權限：

  • 執行遷移作業的使用者帳戶：
    • datamigration.*
    • resourcemanager.projects.get
    • resourcemanager.projects.list
    • cloudsql.operations.get
    • cloudsql.instances.create
    • cloudsql.instances.get
    • cloudsql.instances.list
    • cloudsql.databases.get
    • cloudsql.databases.list
    • cloudsql.databases.delete
    • compute.machineTypes.list
    • compute.machineTypes.get
    • compute.projects.get
  • 資料庫遷移服務服務帳戶：
    • datamigration.*
    • resourcemanager.projects.get
    • resourcemanager.projects.list
    • cloudsql.instances.create
    • cloudsql.instances.get
    • cloudsql.instances.list
    • cloudsql.instances.executeSql

您或許還可透過 自訂角色或其他 預先定義的角色取得這些權限。