El Servicio de transferencia de almacenamiento utiliza los permisos y roles de administración de identidades y accesos (IAM) para controlar quién puede acceder a los recursos del Servicio de transferencia de almacenamiento. Los tipos de recursos principales disponibles en el Servicio de transferencia de almacenamiento son trabajos, operaciones y grupos de agentes. En la jerarquía de políticas de IAM, los trabajos son recursos secundarios de los proyectos y las operaciones son recursos secundarios de los trabajos.
Para otorgar acceso a un recurso, usted asigna uno o más permisos o roles a un usuario, grupo o una cuenta de servicio.
Permisos
Puede otorgar los siguientes permisos del Servicio de transferencia de almacenamiento:
Permisos de proyectos de transferencia
| Permiso | Descripción |
|---|---|
storagetransfer.projects.getServiceAccount |
Puede leer la cuenta de servicio de Google (GoogleServiceAccount) que usa el Servicio de transferencia de almacenamiento para acceder a los depósitos de Cloud Storage. |
Permisos de trabajos de transferencia
En la siguiente tabla, se describen los permisos para los trabajos del Servicio de transferencia de almacenamiento:
| Permiso | Descripción |
|---|---|
storagetransfer.jobs.create |
Puede crear nuevos trabajos de transferencia. |
storagetransfer.jobs.delete |
Puede eliminar trabajos de transferencia existentes. Los trabajos de transferencia se eliminan llamando a la función parche. Sin embargo, los usuarios deben tener este permiso al eliminar trabajos de transferencia para evitar errores de permisos. |
storagetransfer.jobs.get |
Puede recuperar trabajos específicos. |
storagetransfer.jobs.list |
Puede enumerar todos los trabajos de transferencia. |
storagetransfer.jobs.run |
Puede ejecutar todos los trabajos de transferencia. |
storagetransfer.jobs.update |
Puede actualizar las configuraciones de trabajo de transferencia sin eliminarlas. |
Permisos de operaciones de transferencia
La siguiente tabla describe los permisos para las operaciones del Servicio de transferencia de almacenamiento:
| Permiso | Descripción |
|---|---|
storagetransfer.operations.assign |
Los agentes de transferencia lo usan para asignar operaciones. No se admite en roles personalizados. En su lugar, otorga el rol predefinido roles/storagetransfer.transferAgent. |
storagetransfer.operations.cancel |
Puede cancelar las operaciones de transferencia. |
storagetransfer.operations.get |
Puede obtener detalles de las operaciones de transferencia. |
storagetransfer.operations.list |
Puede enumerar todas las operaciones de trabajo de transferencia. |
storagetransfer.operations.pause |
Puede pausar las operaciones de transferencia. |
storagetransfer.operations.report |
Los agentes de transferencia lo usan para informar el estado de la operación. No se admite en roles personalizados. En su lugar, otorga el rol predefinido roles/storagetransfer.transferAgent. |
storagetransfer.operations.resume |
Puede reanudar las operaciones de transferencia en pausa. |
Permisos de grupo de agentes de transferencia
En la siguiente tabla, se describen los permisos para los grupos de agentes de transferencia:
| Permiso | Descripción |
|---|---|
storagetransfer.agentpools.create |
Puede crear grupos de agentes y configurar límites de ancho de banda. |
storagetransfer.agentpools.update |
Puede actualizar los grupos de agentes y los límites de ancho de banda. |
storagetransfer.agentpools.delete |
Puede borrar grupos de agentes. |
storagetransfer.agentpools.get |
Puede obtener información y límites de ancho de banda para grupos de agentes específicos. |
storagetransfer.agentpools.list |
Puede enumerar la información y los límites de ancho de banda de todos los grupos de agentes del proyecto. |
storagetransfer.agentpools.report |
Los agentes de transferencia lo usan para informar el estado. No se admite en roles personalizados. En su lugar, otorga el rol predefinido roles/storagetransfer.transferAgent. |
Roles predefinidos
En esta sección, se describen los roles predefinidos del Servicio de transferencia de almacenamiento. Los roles son la forma preferida de configurar los permisos de IAM.
Comparación de roles
Puedes asignar los siguientes roles predefinidos del Servicio de transferencia de almacenamiento a las principales:
| Función | Administrador de Storage Transfer ( roles/storagetransfer.admin) |
Usuario de Storage Transfer ( roles/storagetransfer.user) |
Visualizador de Storage Transfer ( roles/storagetransfer.viewer) |
|---|---|---|---|
| Enumera y obtén trabajos | |||
| Crea y configura trabajos | |||
| Ejecuta y actualiza trabajos | |||
| Borrar trabajos | |||
| Enumera y obtén operaciones de transferencia | |||
| Pausa, reanuda y cancela operaciones de transferencia | |||
| Lee los detalles de la cuenta de servicio del Servicio de transferencia de almacenamiento | |||
| Enumera y obtén grupos de agentes | |||
| Crea y actualiza grupos de agentes | |||
| Borrar grupos de agentes | |||
| Establece límites de ancho de banda para el grupo de agentes |
Detalles de la función
La siguiente tabla describe en detalle los roles predefinidos para el Servicio de transferencia de almacenamiento:
| Función | Descripción | Permisos incluidos |
|---|---|---|
|
Administrador de transferencia de almacenamiento ( roles/storagetransfer.admin)
|
Proporciona acceso de administrador completo a todos los recursos del Servicio de transferencia de almacenamiento, lo que incluye crear, actualizar, ejecutar y borrar trabajos de transferencia y grupos de agentes. |
|
|
Usuario de transferencia de almacenamiento ( roles/storagetransfer.user)
|
Proporciona permisos para crear, obtener, actualizar y ejecutar trabajos de transferencia y grupos de agentes dentro del proyecto. No se pueden borrar los trabajos de transferencia ni los grupos de agentes, lo que conserva un registro de auditoría completo de las transferencias anteriores. |
|
| Visualizador de transferencia de almacenamiento ( roles/storagetransfer.viewer) |
Proporciona acceso de solo lectura para ver y enumerar trabajos de transferencia, operaciones y grupos de agentes dentro del proyecto. No puede crear, ejecutar, actualizar ni borrar transferencias. |
|
Agente de transferencia de almacenamiento (roles/storagetransfer.transferAgent) |
Otorga a los agentes de transferencia los permisos del Servicio de transferencia de almacenamiento necesarios para completar una transferencia. A partir del 1 de mayo de 2024, ya no se requieren los permisos de Otorga este rol al usuario o la cuenta de servicio que usan los agentes. |
|
Agente del Servicio de transferencia de almacenamiento
(roles/storagetransfer.serviceAgent)
|
Otorga al agente de servicio del Servicio de transferencia de almacenamiento los permisos necesarios para crear y modificar temas de Pub/Sub con el objetivo de comunicarse desde Google Cloud con los agentes de transferencia. Otorga este rol al agente de servicio del Servicio de transferencia de almacenamiento. |
|
Funciones personalizadas
Puedes crear y aplicar roles de IAM personalizados para cumplir con los requisitos de acceso de tu organización.
Cuando crees roles personalizados, te recomendamos usar una combinación de roles predefinidos para garantizar que los permisos correctos se incluyan juntos.
La consola de Google Cloud no funcionará correctamente si el rol personalizado no tiene los permisos necesarios. Por ejemplo, algunas partes de la consola de Google Cloud suponen que el rol tiene acceso de lectura para mostrar un elemento antes de editarlo, por lo que un rol con permisos de escritura se encontrará con pantallas de la consola de Google Cloud que no funcionan.