הרשאות ותפקידים

השירות Storage Transfer Service משתמש בהרשאות ובתפקידים של ניהול זהויות והרשאות גישה (IAM) כדי לקבוע למי יש גישה למשאבים של Storage Transfer Service. סוגי המשאבים העיקריים שזמינים ב-Storage Transfer Service הם משימות, פעולות ומאגרי נציגים. בהיררכיית המדיניות של IAM, משימות הן משאבי צאצא של פרויקטים, ופעולות הן משאבי צאצא של משימות.

כדי לתת גישה למשאב, מקצים הרשאה אחת או יותר או תפקיד אחד או יותר למשתמש, לקבוצה או ל חשבון שירות.

הרשאות

אפשר לתת את ההרשאות הבאות של Storage Transfer Service:

העברת הרשאת פרויקט

הרשאה	תיאור
storagetransfer.projects.getServiceAccount	יכול לקרוא את GoogleServiceAccount שמשמש את Storage Transfer Service כדי לגשת לקטגוריות של Cloud Storage.

העברת הרשאות למשימות

בטבלה הבאה מפורטות ההרשאות למשימות של Storage Transfer Service:

הרשאה	תיאור
storagetransfer.jobs.create	יכולים ליצור משימות העברה חדשות.
storagetransfer.jobs.delete	יכולים למחוק משימות העברה קיימות. כדי למחוק משימות העברה, צריך להפעיל את הפונקציה patch. עם זאת, כדי למחוק משימות העברה, המשתמשים צריכים את ההרשאה הזו כדי למנוע שגיאות הרשאה.
storagetransfer.jobs.get	יכול לאחזר משימות ספציפיות.
storagetransfer.jobs.list	יכול להציג את כל משימות ההעברה.
storagetransfer.jobs.run	יכול להריץ את כל משימות ההעברה.
storagetransfer.jobs.update	יכולים לעדכן את ההגדרות של משימות העברה בלי למחוק אותן.

הרשאות לפעולות העברה

בטבלה הבאה מפורטות ההרשאות לפעולות של Storage Transfer Service:

הרשאה	תיאור
storagetransfer.operations.assign	סוכני העברות משתמשים בהם כדי להקצות פעולות. לא נתמך בתפקידים בהתאמה אישית. במקום זאת, צריך להקצות את התפקיד המוגדר מראש roles/storagetransfer.transferAgent.
storagetransfer.operations.cancel	יכול לבטל פעולות העברה.
storagetransfer.operations.get	יכולים לקבל פרטים על פעולות העברה.
storagetransfer.operations.list	יכול להציג את כל הפעולות של משימות ההעברה.
storagetransfer.operations.pause	יכולים להשהות פעולות העברה.
storagetransfer.operations.report	משמש את סוכני ההעברות כדי לדווח על סטטוס הפעולה. לא נתמך בתפקידים בהתאמה אישית. במקום זאת, צריך להקצות את התפקיד המוגדר מראש roles/storagetransfer.transferAgent.
storagetransfer.operations.resume	יכול להמשיך פעולות העברה שהושהו.

העברת הרשאות למאגר נציגים

בטבלה הבאה מתוארות ההרשאות למאגרי סוכני העברה:

הרשאה	תיאור
storagetransfer.agentpools.create	יכולים ליצור מאגרי סוכנים ולהגדיר מגבלות על רוחב הפס.
storagetransfer.agentpools.update	יכולים לעדכן מאגרי סוכנים ומגבלות רוחב פס.
storagetransfer.agentpools.delete	יכולים למחוק מאגרי נציגים.
storagetransfer.agentpools.get	יכולים לקבל מידע ומגבלות רוחב פס למאגרי סוכנים ספציפיים.
storagetransfer.agentpools.list	יכול להציג מידע ומגבלות רוחב פס לכל מאגרי הנציגים בפרויקט.
storagetransfer.agentpools.report	משמש סוכני העברות לדיווח על סטטוס. לא נתמך בתפקידים בהתאמה אישית. במקום זאת, צריך להקצות את התפקיד המוגדר מראש roles/storagetransfer.transferAgent.

תפקידים מוגדרים מראש

בקטע הזה מתוארים התפקידים המוגדרים מראש של Storage Transfer Service. תפקידים הם הדרך המועדפת להגדרת הרשאות IAM.

השוואה בין תפקידים

אפשר להקצות לחשבונות המשתמשים את התפקידים המוגדרים מראש הבאים של Storage Transfer Service:

יכולת	אדמין ב-Storage Transfer (roles/storagetransfer.admin)	משתמש בהעברת אחסון (roles/storagetransfer.user)	צפייה ב-Storage Transfer (roles/storagetransfer.viewer)
הצגת רשימה וטעינה של משימות
יצירה והגדרה של משימות
הפעלה ועדכון של משימות
מחיקת משימות
הצגת רשימה וטעינה של פעולות העברה
השהיה, המשך וביטול של פעולות העברה
קריאת פרטי חשבון השירות של Storage Transfer Service
הצגת רשימה וטעינה של מאגרי נציגים
יצירה ועדכון של מאגרי סוכנים
מחיקת מאגרי נציגים
הגדרת מגבלות רוחב פס למאגר סוכנים

פרטי התפקיד

בטבלה הבאה מפורטים התפקידים המוגדרים מראש של Storage Transfer Service:

תפקיד	תיאור	ההרשאות הכלולות
אדמין של Storage Transfer (roles/storagetransfer.admin)	הרשאת אדמין מלאה לכל המשאבים של Storage Transfer Service, כולל יצירה, עדכון, הפעלה ומחיקה של משימות העברה ומאגרי סוכנים.	resourcemanager.projects.get resourcemanager.projects.list storagetransfer.*
Storage Transfer User (roles/storagetransfer.user)	התפקיד הזה מאפשר ליצור, לקבל, לעדכן ולהריץ משימות העברה ומאגרי סוכנים בפרויקט. אי אפשר למחוק משימות העברה או מאגרי נציגים, וכך נשמרת רשומת ביקורת מלאה של העברות קודמות.	resourcemanager.projects.get resourcemanager.projects.list storagetransfer.agentpools.create storagetransfer.agentpools.get storagetransfer.agentpools.list storagetransfer.agentpools.report storagetransfer.agentpools.update storagetransfer.jobs.create storagetransfer.jobs.get storagetransfer.jobs.list storagetransfer.jobs.run storagetransfer.jobs.update storagetransfer.operations.* storagetransfer.projects.getServiceAccount
צפייה בהעברת אחסון (roles/storagetransfer.viewer)	הרשאת קריאה בלבד לצפייה במשימות העברה, בפעולות ובמאגרי סוכנים בפרויקט, וליצירת רשימה שלהם. אי אפשר ליצור, להריץ, לעדכן או למחוק העברות.	resourcemanager.projects.get resourcemanager.projects.list storagetransfer.agentpools.get storagetransfer.agentpools.list storagetransfer.jobs.get storagetransfer.jobs.list storagetransfer.operations.get storagetransfer.operations.list storagetransfer.projects.getServiceAccount
Storage Transfer Agent (roles/storagetransfer.transferAgent)	נותן לסוכני ההעברה את ההרשאות של Storage Transfer Service שנדרשות כדי להשלים את ההעברה. החל מ-1 במאי 2024, לא צריך יותר את ההרשאות של pubsub. מקצים את התפקיד הזה למשתמש או לחשבון השירות שמשמש את הנציגים.	logging.logEntries.create monitoring.timeSeries.create pubsub.subscriptions.consume pubsub.subscriptions.create pubsub.subscriptions.delete pubsub.subscriptions.get pubsub.topics.attachSubscription pubsub.topics.create pubsub.topics.get pubsub.topics.list pubsub.topics.publish storagetransfer.agentpools.report storagetransfer.operations.assign storagetransfer.operations.get storagetransfer.operations.report
Storage Transfer Service Agent (roles/storagetransfer.serviceAgent)	נותנת לסוכן השירות של Storage Transfer Service את ההרשאות שנדרשות כדי ליצור ולשנות נושאי Pub/Sub, כדי לתקשר בין Google Cloud לבין סוכני ההעברה. מקצים את התפקיד הזה לסוכן השירות של Storage Transfer Service.	pubsub.subscriptions.consume pubsub.subscriptions.create pubsub.subscriptions.delete pubsub.subscriptions.get pubsub.subscriptions.update pubsub.topics.attachSubscription pubsub.topics.create pubsub.topics.delete pubsub.topics.get pubsub.topics.publish pubsub.topics.update

תפקידים בהתאמה אישית

אתם יכולים ליצור ולהחיל תפקידי IAM בהתאמה אישית כדי לעמוד בדרישות הגישה של הארגון.

כשיוצרים תפקידים בהתאמה אישית, מומלץ להשתמש בשילוב של תפקידים מוגדרים מראש כדי לוודא שההרשאות הנכונות נכללות יחד.

מסוף Google Cloud לא יפעל כמו שצריך אם בתפקיד בהתאמה אישית חסרות ההרשאות הנדרשות. לדוגמה, בחלקים מסוימים של מסוף Google Cloud , ההנחה היא שלתפקיד יש גישת קריאה כדי להציג פריט לפני העריכה שלו. לכן, בתפקיד עם הרשאות כתיבה בלבד, יכול להיות שיופיעו מסכים במסוף Google Cloud שלא פועלים.