Berechtigungen und Rollen

Storage Transfer Service verwendet Berechtigungen und Rollen von Identity and Access Management (IAM), um festzulegen, wer auf Storage Transfer Service-Ressourcen Zugriff hat. Die Haupttypen der im Storage Transfer Service verfügbaren Ressourcen sind Jobs, Vorgänge und Agent-Pools. In der IAM-Richtlinienhierarchie sind Jobs untergeordnete Ressourcen von Projekten und Vorgänge sind untergeordnete Ressourcen von Jobs.

Um Zugriff auf eine Ressource zu gewähren, weisen Sie einem Nutzer, einer Gruppe oder einem Dienstkonto eine oder mehrere Berechtigungen oder Rollen zu.

Berechtigungen

Sie können die folgenden Storage Transfer Service-Berechtigungen erteilen:

Berechtigung für das Übertragungsprojekt

Berechtigung Beschreibung
storagetransfer.projects.getServiceAccount Kann den GoogleServiceAccount lesen, der von dem Storage Transfer Service verwendet wird, um auf Cloud Storage-Buckets zuzugreifen.

Berechtigungen für die Übertragung von Jobs

In der folgenden Tabelle werden Berechtigungen für Storage Transfer Service-Jobs beschrieben:

Berechtigung Beschreibung
storagetransfer.jobs.create Kann neue Übertragungsjobs erstellen.
storagetransfer.jobs.delete Kann bestehende Übertragungsjobs löschen.

Übertragungsjobs werden durch Aufruf der Patch-Funktion gelöscht. Nutzer müssen jedoch diese Berechtigung beim Löschen von Übertragungsjobs haben, um Berechtigungsfehler zu vermeiden.
storagetransfer.jobs.get Kann bestimmte Jobs abrufen.
storagetransfer.jobs.list Kann alle Übertragungsjobs auflisten.
storagetransfer.jobs.run Kann alle Übertragungsjobs ausführen.
storagetransfer.jobs.update Kann Übertragungsjobkonfigurationen aktualisieren, ohne sie zu löschen.

Berechtigungen für Übertragungsvorgänge

In der folgenden Tabelle werden Berechtigungen für Storage Transfer Service-Vorgänge beschrieben:

Berechtigung Beschreibung
storagetransfer.operations.assign Wird von Übertragungs-Agents verwendet, um Vorgänge zuzuweisen. In benutzerdefinierten Rollen nicht unterstützt. Weisen Sie stattdessen die vordefinierte Rolle roles/storagetransfer.transferAgent zu.
storagetransfer.operations.cancel Kann Übertragungsvorgänge abbrechen.
storagetransfer.operations.get Kann Details zu Übertragungsvorgängen sehen.
storagetransfer.operations.list Kann alle Übertragungsjobvorgänge auflisten.
storagetransfer.operations.pause Kann Übertragungsvorgänge anhalten.
storagetransfer.operations.report Wird von Übertragungs-Agents verwendet, um den Vorgangsstatus zu melden. In benutzerdefinierten Rollen nicht unterstützt. Weisen Sie stattdessen die vordefinierte Rolle roles/storagetransfer.transferAgent zu.
storagetransfer.operations.resume Kann angehaltene Übertragungsvorgänge fortsetzen.

Berechtigungen für Transfer-Agent-Pool

In der folgenden Tabelle werden Berechtigungen für Übertragungs-Agent-Pools beschrieben:

Berechtigung Beschreibung
storagetransfer.agentpools.create Kann Agent-Pools erstellen und Bandbreitenlimits konfigurieren.
storagetransfer.agentpools.update Kann Agentenpools und Bandbreitenlimits aktualisieren.
storagetransfer.agentpools.delete Kann Agent-Pools löschen.
storagetransfer.agentpools.get Kann Informationen und Bandbreitenlimits für bestimmte Agent-Pools abrufen.
storagetransfer.agentpools.list Kann Informationen und Bandbreitenlimits für alle Agent-Pools im Projekt auflisten.
storagetransfer.agentpools.report Wird von Übertragungs-Agents verwendet, um den Status zu melden. In benutzerdefinierten Rollen nicht unterstützt. Weisen Sie stattdessen die vordefinierte Rolle roles/storagetransfer.transferAgent zu.

Vordefinierte Rollen

In diesem Abschnitt werden die vordefinierten Rollen für Storage Transfer Service beschrieben. IAMs sind die bevorzugte Methode zum Festlegen von IAM-Berechtigungen.

Rollenvergleich

Sie können Hauptkonten die folgenden vordefinierten Storage Transfer Service-Rollen zuweisen:

Funktion Storage Transfer-Administrator
(roles/storagetransfer.admin)		 Storage Transfer-Nutzer
(roles/storagetransfer.user)		 Storage Transfer-Betrachter
(roles/storagetransfer.viewer)
Jobs auflisten und abrufen
Jobs erstellen und konfigurieren
Jobs ausführen und aktualisieren
Jobs löschen
Übertragungsvorgänge auflisten und abrufen
Übertragungsvorgänge pausieren, fortsetzen und abbrechen
Details zum Storage Transfer Service-Dienstkonto lesen
Agent-Pools auflisten und abrufen
Agentenpools erstellen und aktualisieren
Agent-Pools löschen
Bandbreitenlimits für Agent-Pools festlegen

Rollendetails

In der folgenden Tabelle werden die vordefinierten Rollen für den Storage Transfer Service ausführlich beschrieben:

Rolle Beschreibung Enthaltene Berechtigungen
Storage Transfer-Administrator
(roles/storagetransfer.admin)

Bietet vollständigen Administratorzugriff auf alle Storage Transfer Service-Ressourcen, einschließlich des Erstellens, Aktualisierens, Ausführens und Löschens von Übertragungsjobs und Agent-Pools.

  • resourcemanager.projects.get
  • resourcemanager.projects.list
  • storagetransfer.*
Storage Transfer-Nutzer
(roles/storagetransfer.user)

Berechtigungen zum Erstellen, Abrufen, Aktualisieren und Ausführen von Übertragungsjobs und Agent-Pools innerhalb des Projekts. Übertragungsjobs oder Agent-Pools können nicht gelöscht werden, sodass ein vollständiger Audit-Datensatz früherer Übertragungen erhalten bleibt.

  • resourcemanager.projects.get
  • resourcemanager.projects.list
  • storagetransfer.agentpools.create
  • storagetransfer.agentpools.get
  • storagetransfer.agentpools.list
  • storagetransfer.agentpools.report
  • storagetransfer.agentpools.update
  • storagetransfer.jobs.create
  • storagetransfer.jobs.get
  • storagetransfer.jobs.list
  • storagetransfer.jobs.run
  • storagetransfer.jobs.update
  • storagetransfer.operations.*
  • storagetransfer.projects.getServiceAccount
Storage Transfer-Betrachter
(roles/storagetransfer.viewer)

Bietet Lesezugriff zum Aufrufen und Auflisten von Übertragungsjobs, Vorgängen und Agent-Pools im Projekt. Übertragungen können nicht erstellt, ausgeführt, aktualisiert oder gelöscht werden.

  • resourcemanager.projects.get
  • resourcemanager.projects.list
  • storagetransfer.agentpools.get
  • storagetransfer.agentpools.list
  • storagetransfer.jobs.get
  • storagetransfer.jobs.list
  • storagetransfer.operations.get
  • storagetransfer.operations.list
  • storagetransfer.projects.getServiceAccount
Storage Transfer-Agent (roles/storagetransfer.transferAgent)

Gewährt Übertragungs-Agents die Berechtigungen des Storage Transfer Service, die zum Abschließen einer Übertragung erforderlich sind.

Ab dem 1. Mai 2024 sind die Berechtigungen pubsub nicht mehr erforderlich.

Weisen Sie diese Rolle dem Nutzer oder Dienstkonto zu, das von Agents verwendet wird.

  • logging.logEntries.create
  • monitoring.timeSeries.create
  • pubsub.subscriptions.consume
  • pubsub.subscriptions.create
  • pubsub.subscriptions.delete
  • pubsub.subscriptions.get
  • pubsub.topics.attachSubscription
  • pubsub.topics.create
  • pubsub.topics.get
  • pubsub.topics.list
  • pubsub.topics.publish
  • storagetransfer.agentpools.report
  • storagetransfer.operations.assign
  • storagetransfer.operations.get
  • storagetransfer.operations.report
Storage Transfer Service-Agent (roles/storagetransfer.serviceAgent)

Gewährt dem Storage Transfer Service-Dienst-Agent die Berechtigungen, die zum Erstellen und Ändern von Pub/Sub-Themen erforderlich sind, um die Kommunikation zwischen Google Cloud und Übertragungs-Agents zu ermöglichen.

Weisen Sie diese Rolle dem Storage Transfer Service-Dienst-Agenten zu.

  • pubsub.subscriptions.consume
  • pubsub.subscriptions.create
  • pubsub.subscriptions.delete
  • pubsub.subscriptions.get
  • pubsub.subscriptions.update
  • pubsub.topics.attachSubscription
  • pubsub.topics.create
  • pubsub.topics.delete
  • pubsub.topics.get
  • pubsub.topics.publish
  • pubsub.topics.update

Benutzerdefinierte Rollen

Sie können benutzerdefinierte IAM-Rollen erstellen und anwenden, um die Zugriffsanforderungen Ihrer Organisation zu erfüllen.

Beim Erstellen von benutzerdefinierten Rollen empfehlen wir eine Kombination aus vordefinierten Rollen, damit die richtigen Berechtigungen enthalten sind.

Die Google Cloud Console funktioniert nicht ordnungsgemäß, wenn der benutzerdefinierten Rolle die erforderlichen Berechtigungen fehlen. Einige Teile der Google Cloud Console gehen beispielsweise davon aus, dass die Rolle Lesezugriff hat, um ein Element anzuzeigen, bevor es bearbeitet wird. Bei einer Rolle, die nur eine Schreibberechtigungen hat, wird also die Anzeige der Google Cloud Console nicht funktionieren.