Permisos de usuario obligatorios

La creación, administración o supervisión de transferencias con el Servicio de transferencia de almacenamiento requiere permisos y roles de IAM para tu cuenta de usuario, herramienta de automatización o cuenta de servicio.

Estos permisos se aplican a las transferencias con y sin agentes. Para obtener información general sobre cómo otorgar roles de IAM, consulta Otorga, cambia y revoca el acceso a los recursos.

Permisos necesarios del Servicio de transferencia de almacenamiento

Para interactuar con el Servicio de transferencia de almacenamiento, debes otorgar uno de los siguientes roles predefinidos o permisos personalizados equivalentes a tu cuenta de usuario, grupo o cuenta de servicio en el proyecto de Google Cloud que crea la transferencia:

Rol Funciones clave
Administrador de Storage Transfer
(roles/storagetransfer.admin) 		Control total de los recursos del Servicio de transferencia de almacenamiento:
  • Crear, ejecutar, editar y borrar trabajos de transferencia
  • Crear, configurar y borrar grupos de agentes de transferencia
  • Configurar límites de ancho de banda para todo el proyecto
  • Ver todas las operaciones de transferencia, el estado y los registros
Usuario de Storage Transfer
(roles/storagetransfer.user) 		Crea, actualiza y ejecuta trabajos de transferencia y grupos de agentes sin permisos de eliminación:
  • Crear, obtener, actualizar y enumerar trabajos de transferencia
  • Crear, obtener, actualizar y enumerar grupos de agentes
  • Configurar límites de ancho de banda para todo el proyecto
  • Ejecutar, pausar y reanudar operaciones de transferencia
  • No se pueden borrar trabajos de transferencia ni grupos de agentes.
Visualizador de Storage Transfer
(roles/storagetransfer.viewer) 		Acceso de solo lectura para inspeccionar trabajos de transferencia, operaciones y grupos de agentes. Se recomienda para la supervisión y la auditoría.

Para obtener una lista detallada de los permisos individuales en cada rol, consulta la Referencia de roles y permisos. Si configuras un trabajo de transferencia para delegar permisos a una cuenta de servicio administrada por el usuario, tu cuenta de usuario también debe tener el rol de usuario de cuenta de servicio (roles/iam.serviceAccountUser) en esa cuenta de servicio. Consulta Delega permisos de agente de servicio a una cuenta de servicio administrada por el usuario.

Otorga un rol del Servicio de transferencia de almacenamiento en tu proyecto

Console

  1. En la consola de Google Cloud , dirígete a la página IAM.

    Ir a IAM

  2. Asegúrate de que el proyecto de transferencia esté seleccionado y, luego, haz clic en Otorgar acceso.

  3. En el campo Principales nuevas, ingresa el correo electrónico de tu cuenta de usuario o cuenta de servicio.

  4. En la lista desplegable Seleccionar un rol, busca y selecciona Storage Transfer Admin, Storage Transfer User o Storage Transfer Viewer.

  5. Opcional: Para permitir que la consola de Google Cloud verifique si faltan permisos del agente de servicio y te solicite que los otorgues automáticamente durante la creación de la transferencia, haz lo siguiente:

    1. Haz clic en + Agregar otro rol.
    2. Busca y selecciona Visualizador de roles (roles/iam.roleViewer), que otorga resourcemanager.projects.getIamPolicy.

  6. Haz clic en Guardar.

gcloud

  1. Otorga el rol de Servicio de transferencia de almacenamiento:

    gcloud projects add-iam-policy-binding PROJECT_ID \
   --member="PRINCIPAL" \
   --role="roles/storagetransfer.ROLE"

    Reemplaza lo siguiente:

    • PROJECT_ID: Es el proyecto en el que ejecutarás las transferencias.
    • PRINCIPAL: Es tu cuenta con el formato user:EMAIL para una cuenta de usuario o serviceAccount:SA_EMAIL para una cuenta de servicio.
    • ROLE: Es uno de los siguientes: admin, user o viewer.

  2. Opcional: Para permitir que la consola de Google Cloud verifique si faltan permisos de agente de servicio y te solicite que los otorgues automáticamente durante la creación de la transferencia, otorga el rol de Visualizador de roles:

    gcloud projects add-iam-policy-binding PROJECT_ID \
   --member="PRINCIPAL" \
   --role="roles/iam.roleViewer"

Permisos necesarios de Cloud Storage

Para configurar una transferencia que use buckets de Cloud Storage como origen, destino o ubicación de etapa de pruebas intermedia, tu cuenta debe tener permiso para ver y modificar la política de IAM del bucket, de modo que puedas otorgar los roles necesarios a la cuenta del agente de servicio o del agente de transferencia del Servicio de transferencia de almacenamiento.

Tu cuenta requiere lo siguiente:

  • storage.buckets.getIamPolicy
  • storage.buckets.setIamPolicy

Cualquiera de los siguientes roles predefinidos otorga estos permisos:

  • Administrador de almacenamiento (roles/storage.admin)
  • Propietario de buckets heredados de almacenamiento (roles/storage.legacyBucketOwner)

Otorga un rol de Cloud Storage en un bucket

Console

  1. En la consola de Google Cloud , ve a la página Buckets de Cloud Storage.

    Ir a Buckets

  2. Haz clic en el menú Menú ampliado del bucket () del bucket y selecciona Editar acceso.
  3. Haz clic en + Agregar principal.
  4. En el campo Principales nuevas, ingresa el correo electrónico de tu cuenta de usuario o de servicio.
  5. En la lista desplegable Seleccionar un rol, busca y selecciona Storage Admin.
  6. Haz clic en Guardar.

gcloud

Ejecuta gcloud storage buckets add-iam-policy-binding:

gcloud storage buckets add-iam-policy-binding gs://BUCKET_NAME \
    --member="PRINCIPAL" \
    --role="roles/storage.admin"

Reemplaza lo siguiente:

  • BUCKET_NAME: Es el nombre de tu bucket de origen, de destino o intermedio.
  • PRINCIPAL: Es tu cuenta con el formato user:EMAIL para una cuenta de usuario o serviceAccount:SA_EMAIL para una cuenta de servicio.

¿Qué sigue?

Los próximos pasos dependen de si tu transferencia requiere agentes de transferencia: