הרשאות המשתמש הנדרשות

כדי ליצור, לנהל או לעקוב אחרי העברות באמצעות Storage Transfer Service, צריך הרשאות ותפקידים ב-IAM לחשבון המשתמש, לכלי האוטומציה או לחשבון השירות.

ההרשאות האלה חלות גם על העברות ללא סוכן וגם על העברות מבוססות-סוכן. מידע כללי על הקצאת תפקידים ב-IAM זמין במאמר הענקה, שינוי וביטול גישה למשאבים.

ההרשאות הנדרשות ל-Storage Transfer Service

כדי להשתמש ב-Storage Transfer Service, עליכם להקצות אחד מהתפקידים המוגדרים מראש הבאים או הרשאות בהתאמה אישית לחשבון המשתמש, לקבוצה או לחשבון השירות בפרויקט בענן של Google שבו נוצרה ההעברה:

תפקיד יכולות עיקריות
אדמין של Storage Transfer
(roles/storagetransfer.admin) 		שליטה מלאה במשאבים של Storage Transfer Service:
  • ליצור, להפעיל, לערוך ולמחוק משימות העברה.
  • ליצור, להגדיר ולמחוק מאגרים של נציגי העברה.
  • להגדיר מגבלות רוחב פס ברמת הפרויקט.
  • לראות את כל פעולות ההעברה, הסטטוסים והיומנים.
משתמש ב-Storage Transfer
(roles/storagetransfer.user) 		ליצור, לעדכן ולהריץ משימות העברה ומאגרי נציגים בלי הרשאות מחיקה:
  • יצירה, קבלה, עדכון והצגה של משימות העברה.
  • יצירה, קבלה, עדכון ורשימה של מאגרי סוכנים.
  • להגדיר מגבלות רוחב פס ברמת הפרויקט.
  • להפעיל, להשהות ולהמשיך פעולות העברה.
  • לא יכולים למחוק משימות העברה או מאגרי נציגים.
צפייה בהעברות אחסון
(roles/storagetransfer.viewer) 		גישת קריאה בלבד לבדיקת משימות העברה, פעולות ומאגרי סוכנים. מומלץ למעקב ולביקורת.

במאמרי העזרה בנושא תפקידים והרשאות מפורטת רשימה של ההרשאות בכל תפקיד. אם אתם מגדירים משימת העברה כדי להקצות הרשאות לחשבון שירות בניהול המשתמש, לחשבון המשתמש שלכם צריך להיות גם התפקיד משתמש בחשבון שירות (roles/iam.serviceAccountUser) באותו חשבון שירות. מידע נוסף זמין במאמר הקצאת הרשאות של סוכן שירות לחשבון שירות בניהול המשתמש.

הקצאת תפקיד של Storage Transfer Service בפרויקט

המסוף

  1. נכנסים לדף IAM במסוף Google Cloud .

    כניסה לדף IAM

  2. מוודאים שהפרויקט להעברה נבחר ולוחצים על Grant access.

  3. בשדה New principals, מזינים את כתובת האימייל של חשבון המשתמש או חשבון השירות.

  4. ברשימה הנפתחת Select a role, מחפשים ובוחרים את התפקיד Storage Transfer Admin,‏ Storage Transfer User או Storage Transfer Viewer.

  5. אופציונלי: כדי לאפשר למסוף Google Cloud לבדוק אם חסרות הרשאות לסוכן השירות ולהציג בקשה להעניק אותן באופן אוטומטי במהלך יצירת ההעברה:

    1. לוחצים על + הוספת תפקיד.
    2. מחפשים ובוחרים את התפקיד צפייה בתפקידים (roles/iam.roleViewer), שמעניק את ההרשאה resourcemanager.projects.getIamPolicy.

  6. לוחצים על Save.

gcloud

  1. מקצים את התפקיד Storage Transfer Service:

    gcloud projects add-iam-policy-binding PROJECT_ID \
   --member="PRINCIPAL" \
   --role="roles/storagetransfer.ROLE"

    מחליפים את:

    • ‫PROJECT_ID: הפרויקט שבו תפעילו את ההעברות.
    • ‫PRINCIPAL: החשבון שלכם בפורמט user:EMAIL לחשבון משתמש, או בפורמט serviceAccount:SA_EMAIL לחשבון שירות.
    • ‫ROLE: אחד מהערכים הבאים: admin,‏ user או viewer.

  2. אופציונלי: כדי לאפשר למסוף Google Cloud לבדוק אם חסרות הרשאות לסוכן השירות, ולבקש מכם להעניק אותן באופן אוטומטי במהלך יצירת ההעברה, צריך להקצות את התפקיד צפייה בתפקידים:

    gcloud projects add-iam-policy-binding PROJECT_ID \
   --member="PRINCIPAL" \
   --role="roles/iam.roleViewer"

הרשאות נדרשות ב-Cloud Storage

כדי להגדיר העברה שמשתמשת בקטגוריות של Cloud Storage כמקור, כיעד או כמיקום ביניים, לחשבון שלכם צריכה להיות הרשאה לצפות במדיניות ה-IAM של הקטגוריה ולשנות אותה, כדי שתוכלו להקצות את התפקידים הנדרשים לסוכן השירות של Storage Transfer Service או לחשבון של סוכן ההעברה.

החשבון שלכם צריך:

  • storage.buckets.getIamPolicy
  • storage.buckets.setIamPolicy

כל אחד מהתפקידים המוגדרים מראש הבאים מעניק את ההרשאות האלה:

  • אדמין באחסון (roles/storage.admin)
  • בעלים של קטגוריה באחסון מדור קודם (roles/storage.legacyBucketOwner)

הקצאת תפקיד ב-Cloud Storage לקטגוריה

המסוף

  1. במסוף Google Cloud , נכנסים לדף Buckets של Cloud Storage.

    כניסה לדף Buckets

  2. לוחצים על התפריט Bucket overflow () של הקטגוריה ובוחרים באפשרות Edit access.
  3. לוחצים על ‎+ Add principal.
  4. בשדה New principals, מזינים את כתובת האימייל של חשבון המשתמש או של חשבון השירות.
  5. ברשימה הנפתחת Select a role, מחפשים את התפקיד Storage Admin ובוחרים אותו.
  6. לוחצים על Save.

gcloud

מריצים את gcloud storage buckets add-iam-policy-binding:

gcloud storage buckets add-iam-policy-binding gs://BUCKET_NAME \
    --member="PRINCIPAL" \
    --role="roles/storage.admin"

מחליפים את:

  • ‫BUCKET_NAME: השם של קטגוריית המקור, קטגוריית הביניים או קטגוריית היעד.
  • ‫PRINCIPAL: החשבון שלכם בפורמט user:EMAIL לחשבון משתמש, או בפורמט serviceAccount:SA_EMAIL לחשבון שירות.

המאמרים הבאים

השלבים הבאים תלויים בשאלה אם ההעברה דורשת סוכני העברה: