Izin dan peran

Storage Transfer Service menggunakan izin dan peran Identity and Access Management (IAM) untuk mengontrol siapa yang dapat mengakses resource Storage Transfer Service. Jenis resource utama yang tersedia di Storage Transfer Service adalah tugas, operasi, dan kumpulan agen. Dalam hierarki kebijakan IAM, tugas adalah resource turunan dari project, dan operasi adalah resource turunan dari tugas.

Untuk memberikan akses ke resource, Anda menetapkan satu atau beberapa izin atau peran ke pengguna, grup, atau akun layanan.

Izin

Anda dapat memberikan izin Storage Transfer Service berikut:

Izin transfer project

Izin Deskripsi
storagetransfer.projects.getServiceAccount Dapat membaca GoogleServiceAccount yang digunakan oleh Storage Transfer Service untuk mengakses bucket Cloud Storage.

Izin tugas transfer

Tabel berikut menjelaskan izin untuk tugas Storage Transfer Service:

Izin Deskripsi
storagetransfer.jobs.create Dapat membuat tugas transfer baru.
storagetransfer.jobs.delete Dapat menghapus tugas transfer yang ada.

Tugas transfer dihapus dengan memanggil fungsi patch. Namun, pengguna harus memiliki izin ini saat menghapus tugas transfer untuk menghindari error izin.
storagetransfer.jobs.get Dapat mengambil tugas tertentu.
storagetransfer.jobs.list Dapat mencantumkan semua tugas transfer.
storagetransfer.jobs.run Dapat menjalankan semua tugas transfer.
storagetransfer.jobs.update Dapat memperbarui konfigurasi tugas transfer tanpa menghapusnya.

Izin operasi transfer

Tabel berikut menjelaskan izin untuk operasi Storage Transfer Service:

Izin Deskripsi
storagetransfer.operations.assign Digunakan oleh agen transfer untuk menetapkan operasi. Tidak didukung dalam peran khusus; berikan peran roles/storagetransfer.transferAgent yang telah ditetapkan.
storagetransfer.operations.cancel Dapat membatalkan operasi transfer.
storagetransfer.operations.get Dapat memperoleh detail operasi transfer.
storagetransfer.operations.list Dapat mencantumkan semua operasi tugas transfer.
storagetransfer.operations.pause Dapat menjeda operasi transfer.
storagetransfer.operations.report Digunakan oleh agen transfer untuk melaporkan status operasi. Tidak didukung dalam peran khusus; berikan peran roles/storagetransfer.transferAgent yang telah ditetapkan.
storagetransfer.operations.resume Dapat melanjutkan operasi transfer yang dijeda.

Izin kumpulan agen transfer

Tabel berikut menjelaskan izin untuk kumpulan agen transfer:

Izin Deskripsi
storagetransfer.agentpools.create Dapat membuat kumpulan agen dan mengonfigurasi batas bandwidth.
storagetransfer.agentpools.update Dapat memperbarui kumpulan agen dan batas bandwidth.
storagetransfer.agentpools.delete Dapat menghapus kumpulan agen.
storagetransfer.agentpools.get Dapat memperoleh informasi dan batas bandwidth untuk pool agen tertentu.
storagetransfer.agentpools.list Dapat mencantumkan informasi dan batas bandwidth untuk semua kumpulan agen dalam project.
storagetransfer.agentpools.report Digunakan oleh agen transfer untuk melaporkan status. Tidak didukung dalam peran khusus; berikan peran roles/storagetransfer.transferAgent yang telah ditetapkan.

Peran yang telah ditetapkan

Bagian ini menjelaskan peran yang telah ditetapkan untuk Storage Transfer Service. Peran adalah cara yang direkomendasikan untuk menetapkan izin IAM.

Perbandingan peran

Anda dapat menetapkan peran bawaan Storage Transfer Service berikut kepada akun utama:

Kemampuan Storage Transfer Admin
(roles/storagetransfer.admin)		 Storage Transfer User
(roles/storagetransfer.user)		 Storage Transfer Viewer
(roles/storagetransfer.viewer)
Mencantumkan dan mendapatkan tugas
Membuat dan mengonfigurasi tugas
Menjalankan dan mengupdate tugas
Menghapus tugas
Mencantumkan dan mendapatkan operasi transfer
Menjeda, melanjutkan, dan membatalkan operasi transfer
Membaca detail akun layanan Storage Transfer Service
Mencantumkan dan mendapatkan kumpulan agen
Membuat dan mengupdate kumpulan agen
Menghapus kumpulan agen
Menetapkan batas bandwidth kumpulan agen

Detail peran

Tabel berikut menjelaskan secara mendetail peran yang telah ditetapkan untuk Storage Transfer Service:

Peran Deskripsi Izin yang Disertakan
Storage Transfer Admin
(roles/storagetransfer.admin)

Memberikan akses administratif penuh ke semua resource Storage Transfer Service, termasuk membuat, memperbarui, menjalankan, dan menghapus tugas transfer dan kumpulan agen.

  • resourcemanager.projects.get
  • resourcemanager.projects.list
  • storagetransfer.*
Storage Transfer User
(roles/storagetransfer.user)

Memberikan izin untuk membuat, mendapatkan, memperbarui, dan menjalankan tugas transfer dan kumpulan agen dalam project. Tidak dapat menghapus tugas transfer atau kumpulan agen, sehingga mempertahankan catatan audit lengkap dari transfer sebelumnya.

  • resourcemanager.projects.get
  • resourcemanager.projects.list
  • storagetransfer.agentpools.create
  • storagetransfer.agentpools.get
  • storagetransfer.agentpools.list
  • storagetransfer.agentpools.report
  • storagetransfer.agentpools.update
  • storagetransfer.jobs.create
  • storagetransfer.jobs.get
  • storagetransfer.jobs.list
  • storagetransfer.jobs.run
  • storagetransfer.jobs.update
  • storagetransfer.operations.*
  • storagetransfer.projects.getServiceAccount
Storage Transfer Viewer
(roles/storagetransfer.viewer)

Memberikan akses hanya baca untuk melihat dan mencantumkan tugas transfer, operasi, dan kumpulan agen dalam project. Tidak dapat membuat, menjalankan, memperbarui, atau menghapus transfer.

  • resourcemanager.projects.get
  • resourcemanager.projects.list
  • storagetransfer.agentpools.get
  • storagetransfer.agentpools.list
  • storagetransfer.jobs.get
  • storagetransfer.jobs.list
  • storagetransfer.operations.get
  • storagetransfer.operations.list
  • storagetransfer.projects.getServiceAccount
Storage Transfer Agent (roles/storagetransfer.transferAgent)

Memberi agen transfer izin Storage Transfer Service yang diperlukan untuk menyelesaikan transfer.

Mulai 1 Mei 2024, izin pubsub tidak lagi diperlukan.

Berikan peran ini kepada pengguna atau akun layanan yang digunakan oleh agen.

  • logging.logEntries.create
  • monitoring.timeSeries.create
  • pubsub.subscriptions.consume
  • pubsub.subscriptions.create
  • pubsub.subscriptions.delete
  • pubsub.subscriptions.get
  • pubsub.topics.attachSubscription
  • pubsub.topics.create
  • pubsub.topics.get
  • pubsub.topics.list
  • pubsub.topics.publish
  • storagetransfer.agentpools.report
  • storagetransfer.operations.assign
  • storagetransfer.operations.get
  • storagetransfer.operations.report
Storage Transfer Service Agent (roles/storagetransfer.serviceAgent)

Memberi agen layanan Storage Transfer Service izin yang diperlukan untuk membuat dan mengubah topik Pub/Sub guna berkomunikasi dari Google Cloud ke agen transfer.

Berikan peran ini ke agen layanan Storage Transfer Service.

  • pubsub.subscriptions.consume
  • pubsub.subscriptions.create
  • pubsub.subscriptions.delete
  • pubsub.subscriptions.get
  • pubsub.subscriptions.update
  • pubsub.topics.attachSubscription
  • pubsub.topics.create
  • pubsub.topics.delete
  • pubsub.topics.get
  • pubsub.topics.publish
  • pubsub.topics.update

Peran khusus

Anda dapat membuat dan menerapkan peran IAM khusus untuk memenuhi persyaratan akses organisasi Anda.

Saat membuat peran khusus, sebaiknya gunakan kombinasi peran bawaan untuk memastikan bahwa izin yang benar disertakan bersama.

Konsol Google Cloud tidak akan berfungsi dengan baik jika peran khusus tidak memiliki izin yang diperlukan. Misalnya, beberapa bagian konsol Google Cloud mengasumsikan bahwa peran memiliki akses baca untuk menampilkan item sebelum mengeditnya, sehingga peran yang hanya memiliki izin tulis mungkin akan mengalami layar konsol Google Cloud yang tidak berfungsi.