IAM によるアクセス制御

プロジェクト内または組織内のユーザーのアクセスを制限するには、Database Migration Service（Oracle から AlloyDB for PostgreSQL への移行）と関連する移行先データベース プロダクトで Identity and Access Management（IAM）のロールを使用します。 Google Cloud プロジェクト全体に対する閲覧者、編集者、オーナーのロールを付与するのではなく、Database Migration Service（Oracle から AlloyDB for PostgreSQL への移行）関連リソースへのアクセスのみを制御できます。

このページでは、Database Migration Service を使用した異種の AlloyDB for PostgreSQL 移行中にユーザー アカウントとサービス アカウントに必要なすべてのロールについて詳しく説明します。移行プロセス中にこれらの権限を使用するタイミングについては、 Oracle データベースを AlloyDB for PostgreSQL に移行するをご覧ください。

移行ジョブの実行に関係するアカウント

Database Migration Service で実行されるデータ移行には、次の 2 つのアカウントが関係します。

移行を実行するユーザー アカウント
これは、接続プロファイルの作成、Cloud Storage ストレージへのバックアップ ファイルのアップロード、移行ジョブの作成と実行を行うためにログインする Google アカウントです。
Database Migration Service サービス アカウント
これは、Database Migration Service API を有効にしたときに自動的に作成されるサービス アカウントです。このサービス アカウントに関連付けられたメールアドレスは自動的に生成され、変更できません。このメールアドレスの形式は次のとおりです。
service-PROJECT_NUMBER@gcp-sa-datamigration.

データ移行プロセスに関与する各アカウントには、異なるロールと権限のセットが必要です。

権限とロール

Database Migration Service を使用して異種の Oracle 移行を実行するために必要な権限を取得するには、プロジェクトに対する必要な IAM ロールを付与するよう管理者に依頼してください。

ロールの付与の詳細については、Identity and Access Management のドキュメントの アクセスを管理するをご覧ください。

これらの事前定義ロールには、Database Migration Service を使用して異種の Oracle 移行を実行するために必要な権限が含まれています。必要とされる正確な権限については、「必要な権限」セクションを開いてご確認ください。

必要な権限

Database Migration Service を使用して異種 Oracle 移行を実行するには、次の権限が必要です。

  • datamigration.*

  • cloudaicompanion.entitlements.get

    この権限は、roles/datamigration.admin のロールに含まれています。これは、 Gemini 拡張コンバージョン機能に必要です。

  • alloydb.clusters.create
  • alloydb.clusters.get
  • alloydb.clusters.list
  • alloydb.clusters.update
  • alloydb.clusters.delete
  • alloydb.instances.create
  • alloydb.instances.get
  • alloydb.instances.list
  • alloydb.instances.update
  • alloydb.instances.delete
  • alloydb.operations.get
  • alloydb.users.list
  • alloydb.users.get
  • alloydb.users.create
  • alloydb.users.update
  • alloydb.users.delete

カスタムロールや他の 事前定義ロールを使用して、これらの権限を取得することもできます。