הרשאות ברמת הפרויקט שמבוססות על סוכנים

כדי לבצע העברות מבוססות-סוכן, צריך הרשאות IAM ברמת הפרויקט לשתי ישויות נפרדות: סוכן שירות וחשבון של סוכן העברה.

צריך להגדיר את ההרשאות בדף הזה רק אם ההעברה כוללת מערכת קבצים, HDFS או אחסון תואם ל-S3. אם ההעברה היא agentless, אל תגדירו את התפקידים בדף הזה, אלא המשיכו ישירות אל הגדרת הגישה למקור וליעד.

העברות מבוססות-סוכן משתמשות בזהויות הבאות:

  • סוכן שירות: חשבון שירות בניהול Google שמשמש את Storage Transfer Service כדי לתאם משימות עם סוכני העברה.
  • חשבון נציג העברה: חשבון המשתמש ב-Google Cloud או חשבון השירות בניהול המשתמש שמשמשים לאימות ולהפעלה של נציגי העברה במכונות או במכונות הווירטואליות של הלקוח.

מידע כללי על הקצאת תפקידים ב-IAM מופיע במאמר הענקה, שינוי וביטול גישה למשאבים.

הרשאות של סוכן שירות

ב-Storage Transfer Service משתמשים בסוכן שירות כדי לתאם העברות שמנוהלות על ידי סוכנים.

כדי לאפשר ל-Storage Transfer Service לתאם את העבודה בין Google Cloud לבין סוכני ההעברה, מקצים לסוכן השירות את התפקיד הבא בפרויקט שבו פועל Storage Transfer Service:

  • סוכן של Storage Transfer Service ‏(roles/storagetransfer.serviceAgent)

איך מקבלים את כתובת האימייל של סוכן השירות

כדי להקצות תפקיד לסוכן השירות, צריך את מזהה כתובת האימייל של סוכן השירות. סוכן השירות נוצר באופן אוטומטי בפעם הראשונה שיוצרים משימת העברה, מריצים פקודות הגדרה של gcloud transfer, נכנסים לדף Storage Transfer במסוף Google Cloud או קוראים ל-googleServiceAccounts.get.

כדי לקבל את כתובת האימייל של סוכן השירות:

  1. עוברים אל דף העזר של googleServiceAccounts.get. נפתחת חלונית אינטראקטיבית בשם Try this method.
  2. בקטע Request parameters, מזינים את מזהה הפרויקט.
  3. לוחצים על Execute.

מעתיקים את הערך של accountEmail. כתובת האימייל מבוססת על הפורמט הבא: project-PROJECT_NUMBER@storage-transfer-service.iam.gserviceaccount.com.

הקצאת התפקיד של סוכן השירות

כדי להקצות את התפקיד סוכן Storage Transfer Service:

מסוף Google Cloud

  1. במסוף Google Cloud , נכנסים לדף IAM של הפרויקט שבו פועל Storage Transfer Service.

    כניסה לדף IAM

  2. לוחצים על הענקת גישה.

  3. בשדה New principals, מזינים את כתובת האימייל של סוכן השירות.

  4. ברשימה הנפתחת Select a role, מחפשים את התפקיד Storage Transfer Service Agent (roles/storagetransfer.serviceAgent) ובוחרים אותו.

  5. לוחצים על Save.

gcloud

מריצים את gcloud projects add-iam-policy-binding:

gcloud projects add-iam-policy-binding PROJECT_ID \
--member="serviceAccount:SERVICE_AGENT_EMAIL" \
--role="roles/storagetransfer.serviceAgent"

מחליפים את מה שכתוב בשדות הבאים:

העברת הרשאות בחשבון של סוכן

סוכני ההעברה פועלים במכונות הלקוח באמצעות פרטי הכניסה של חשבון משתמש או של חשבון שירות בניהול המשתמש:

כדי לתת לסוכני ההעברה הרשאה להתחבר ל-Storage Transfer Service, לקבל משימות ולבצע רישום ביומן של הסטטוס, צריך להקצות את התפקיד הבא בפרויקט בענן של Google שמארח את מאגר הסוכנים:

  • סוכן Storage Transfer ‏(roles/storagetransfer.transferAgent)

כדי להקצות את התפקיד הזה:

מסוף Google Cloud

  1. נכנסים לדף IAM במסוף Google Cloud .

    כניסה לדף IAM

  2. מוודאים שבחרתם את הפרויקט שמכיל את מאגר הנציגים.

  3. לוחצים על הענקת גישה.

  4. בשדה New principals, מזינים את כתובת האימייל של חשבון המשתמש או של חשבון השירות בניהול המשתמש.

  5. ברשימה הנפתחת Select a role, מחפשים את התפקיד Storage Transfer Agent (roles/storagetransfer.transferAgent) ובוחרים אותו.

  6. לוחצים על Save.

gcloud

מריצים את gcloud projects add-iam-policy-binding:

gcloud projects add-iam-policy-binding AGENT_POOL_PROJECT_ID \
--member="serviceAccount_OR_user:TRANSFER_AGENT_ACCOUNT" \
--role="roles/storagetransfer.transferAgent"

מחליפים את מה שכתוב בשדות הבאים:

  • ‫AGENT_POOL_PROJECT_ID: הפרויקט שמכיל את מאגר הנציגים.
  • ‫serviceAccount_OR_user: מציינים את הערך serviceAccount אם חשבון סוכן ההעברה הוא חשבון שירות, או את הערך user אם הסוכנים הותקנו עם חשבון משתמש.
  • ‫TRANSFER_AGENT_ACCOUNT: כתובת האימייל של החשבון שבו פועלים סוכני ההעברה.

המאמרים הבאים

אחרי שמגדירים את ההרשאות לפרויקט, מבצעים את שלבי ההגדרה הבאים לפי הסדר:

  1. יצירת מאגר של נציגים.
  2. מתקינים סוכני העברה במאגר.
  3. מגדירים את הרשאות הגישה למערכות האחסון:
  4. לעיון ברשימה המלאה של התפקידים וההרשאות