Autorisations de l'utilisateur requises

La création, la gestion ou la surveillance des transferts avec le service de transfert de stockage nécessitent des autorisations et des rôles IAM pour votre compte utilisateur, votre outil d'automatisation ou votre compte de service.

Ces autorisations s'appliquent aux transferts avec et sans agent. Pour obtenir des informations générales sur l'attribution de rôles IAM, consultez Accorder, modifier et révoquer les accès aux ressources.

Autorisations requises pour le service de transfert de stockage

Pour interagir avec le service de transfert de stockage, vous devez attribuer l'un des rôles prédéfinis suivants ou des autorisations personnalisées équivalentes à votre compte utilisateur, groupe ou compte de service sur le projet Google Cloud qui crée le transfert :

Rôle Capacités clés
Administrateur Storage Transfer
(roles/storagetransfer.admin) 		Contrôle total sur les ressources du service de transfert de stockage :
  • Créer, exécuter, modifier et supprimer des jobs de transfert.
  • Créer, configurer et supprimer des pools d'agents de transfert.
  • Configurez des limites de bande passante à l'échelle du projet.
  • Affichez toutes les opérations de transfert, leur état et les journaux.
Utilisateur du transfert de stockage
(roles/storagetransfer.user) 		Créer, mettre à jour et exécuter des jobs de transfert et des pools d'agents sans autorisations de suppression :
  • Créer, récupérer, mettre à jour et lister des jobs de transfert.
  • Créer, récupérer, mettre à jour et lister des pools d'agents.
  • Configurez des limites de bande passante à l'échelle du projet.
  • Exécuter, mettre en pause et reprendre des opérations de transfert.
  • Impossible de supprimer des jobs de transfert ou des pools d'agents.
Lecteur du transfert de stockage
(roles/storagetransfer.viewer) 		Accès en lecture seule pour inspecter les jobs de transfert, les opérations et les pools d'agents. Recommandé pour la surveillance et l'audit.

Pour obtenir la liste détaillée des autorisations individuelles dans chaque rôle, consultez la documentation de référence sur les rôles et les autorisations. Si vous configurez un job de transfert pour déléguer des autorisations à un compte de service géré par l'utilisateur, votre compte utilisateur doit également disposer du rôle Utilisateur du compte de service (roles/iam.serviceAccountUser) sur ce compte de service. Consultez Déléguer des autorisations d'agent de service à un compte de service géré par l'utilisateur.

Attribuer un rôle du service de transfert de stockage à votre projet

Console

  1. Dans la console Google Cloud , accédez à la page IAM.

    Accéder à IAM

  2. Assurez-vous que votre projet de transfert est sélectionné, puis cliquez sur Accorder l'accès.

  3. Dans le champ Nouveaux comptes principaux, saisissez l'adresse e-mail de votre compte utilisateur ou de votre compte de service.

  4. Dans la liste déroulante Sélectionner un rôle, recherchez et sélectionnez Storage Transfer Admin, Storage Transfer User ou Storage Transfer Viewer.

  5. Facultatif : Pour permettre à la console Google Cloud de vérifier les autorisations d'agent de service manquantes et vous inviter à les accorder automatiquement lors de la création du transfert :

    1. Cliquez sur + Ajouter un autre rôle.
    2. Recherchez et sélectionnez Lecteur de rôles (roles/iam.roleViewer), qui accorde resourcemanager.projects.getIamPolicy.

  6. Cliquez sur Enregistrer.

gcloud

  1. Attribuez le rôle Service de transfert de stockage :

    gcloud projects add-iam-policy-binding PROJECT_ID \
   --member="PRINCIPAL" \
   --role="roles/storagetransfer.ROLE"

    Remplacez :

    • PROJECT_ID : projet dans lequel vous exécuterez les transferts.
    • PRINCIPAL : votre compte au format user:EMAIL pour un compte utilisateur ou serviceAccount:SA_EMAIL pour un compte de service.
    • ROLE : admin, user ou viewer.

  2. Facultatif : Pour autoriser la console Google Cloud à vérifier si des autorisations d'agent de service sont manquantes et vous inviter à les accorder automatiquement lors de la création du transfert, attribuez le rôle Lecteur de rôle :

    gcloud projects add-iam-policy-binding PROJECT_ID \
   --member="PRINCIPAL" \
   --role="roles/iam.roleViewer"

Autorisations Cloud Storage requises

Pour configurer un transfert qui utilise des buckets Cloud Storage comme source, récepteur ou emplacement de préproduction intermédiaire, votre compte doit être autorisé à afficher et à modifier la stratégie IAM du bucket afin de pouvoir accorder les rôles requis à l'agent de service ou au compte d'agent de transfert du service de transfert de stockage.

Votre compte nécessite :

  • storage.buckets.getIamPolicy
  • storage.buckets.setIamPolicy

L'un des rôles prédéfinis suivants accorde ces autorisations :

  • Administrateur de l'espace de stockage (roles/storage.admin)
  • Propriétaire des anciens buckets Storage (roles/storage.legacyBucketOwner)

Attribuer un rôle Cloud Storage sur un bucket

Console

  1. Dans la console Google Cloud , accédez à la page Buckets de Cloud Storage.

    Accéder à la page "Buckets"

  2. Cliquez sur le menu à développer Bucket () associé au bucket, puis sélectionnez Modifier l'accès.
  3. Cliquez sur + Ajouter un compte principal.
  4. Dans le champ Nouveaux comptes principaux, saisissez l'adresse e-mail de votre compte utilisateur ou de votre compte de service.
  5. Dans la liste déroulante Sélectionner un rôle, recherchez et sélectionnez Storage Admin.
  6. Cliquez sur Enregistrer.

gcloud

Exécutez gcloud storage buckets add-iam-policy-binding :

gcloud storage buckets add-iam-policy-binding gs://BUCKET_NAME \
    --member="PRINCIPAL" \
    --role="roles/storage.admin"

Remplacez :

  • BUCKET_NAME : nom de votre bucket source, récepteur ou intermédiaire.
  • PRINCIPAL : votre compte au format user:EMAIL pour un compte utilisateur ou serviceAccount:SA_EMAIL pour un compte de service.

Étapes suivantes

Les étapes suivantes dépendent de la nécessité ou non d'utiliser des agents de transfert :