O Serviço de transferência do Cloud Storage usa as permissões e os papéis do gerenciamento de Identidade e Acesso (IAM, na sigla em inglês) para controlar quem pode acessar os recursos do Serviço de transferência do Cloud Storage. Os principais tipos de recursos disponíveis no Serviço de Transferência do Cloud Storage são: jobs, operações e pools de agentes. Na hierarquia de políticas do IAM, os jobs são recursos filhos de projetos e as operações são recursos filhos dos jobs.
Para conceder acesso a um recurso, atribua uma ou mais permissões ou papéis a um usuário, grupo ou conta de serviço.
Permissões
Você pode conceder as seguintes permissões do serviço de transferência do Cloud Storage:
Transferir permissão do projeto
| Permissão | Descrição |
|---|---|
storagetransfer.projects.getServiceAccount |
Pode ler a GoogleServiceAccount usada pelo Serviço de transferência do Cloud Storage para acessar buckets do Cloud Storage. |
Transferir permissões de job
A tabela a seguir descreve as permissões para jobs do Serviço de transferência do Cloud Storage:
| Permissão | Descrição |
|---|---|
storagetransfer.jobs.create |
Pode criar novos jobs de transferência. |
storagetransfer.jobs.delete |
Pode excluir jobs de transferência atuais. Os jobs de transferência são excluídos chamando a função patch. No entanto, os usuários precisam ter essa permissão ao excluir os jobs de transferência para evitar erros de permissão. |
storagetransfer.jobs.get |
Pode recuperar jobs específicos. |
storagetransfer.jobs.list |
Pode listar todos os jobs de transferência. |
storagetransfer.jobs.run |
Pode executar todos os jobs de transferência. |
storagetransfer.jobs.update |
Pode atualizar as configurações do job de transferência sem excluí-las. |
Transferir permissões de operações
A tabela a seguir descreve as permissões para operações do Serviço de transferência do Cloud Storage:
| Permissão | Descrição |
|---|---|
storagetransfer.operations.assign |
Usado por agentes de transferência para atribuir operações. Não é aceito em papéis personalizados. Conceda o papel predefinido roles/storagetransfer.transferAgent. |
storagetransfer.operations.cancel |
Pode cancelar operações de transferência. |
storagetransfer.operations.get |
Pode receber detalhes das operações de transferência. |
storagetransfer.operations.list |
Pode listar todas as operações de job de transferência. |
storagetransfer.operations.pause |
Pode pausar operações de transferência. |
storagetransfer.operations.report |
Usado pelos agentes de transferência para informar o status da operação. Não é aceito em papéis personalizados. Conceda o papel predefinido roles/storagetransfer.transferAgent. |
storagetransfer.operations.resume |
Pode retomar as operações de transferência pausadas. |
Permissões do pool de agentes de transferência
A tabela a seguir descreve as permissões para os pools de agentes de transferência:
| Permissão | Descrição |
|---|---|
storagetransfer.agentpools.create |
Pode criar pools de agentes e configurar limites de largura de banda. |
storagetransfer.agentpools.update |
Pode atualizar pools de agentes e limites de largura de banda. |
storagetransfer.agentpools.delete |
Pode excluir pools de agentes. |
storagetransfer.agentpools.get |
Pode receber informações e limites de largura de banda para pools de agentes específicos. |
storagetransfer.agentpools.list |
Pode listar informações e limites de largura de banda para todos os pools de agentes no projeto. |
storagetransfer.agentpools.report |
Usado pelos agentes de transferência para informar o status. Não é aceito em papéis personalizados. Conceda o papel predefinido roles/storagetransfer.transferAgent. |
Papéis predefinidos
Nesta seção, descrevemos os papéis predefinidos do Serviço de transferência do Cloud Storage. Os papéis são a maneira preferencial de definir permissões do IAM.
Comparação dos papéis
É possível atribuir os seguintes papéis predefinidos do Serviço de transferência do Cloud Storage aos principais:
| Capacidade | Administrador de transferências do Storage ( roles/storagetransfer.admin) |
Usuário de transferência do Storage ( roles/storagetransfer.user) |
Leitor de transferências do Storage ( roles/storagetransfer.viewer) |
|---|---|---|---|
| Listar e receber jobs | |||
| Criar e configurar jobs | |||
| Executar e atualizar jobs | |||
| Excluir jobs | |||
| Listar e receber operações de transferência | |||
| Pausar, retomar e cancelar operações de transferência | |||
| Ler detalhes da conta de serviço do Serviço de transferência do Cloud Storage | |||
| Listar e acessar pools de agentes | |||
| Criar e atualizar pools de agentes | |||
| Excluir pools de agentes | |||
| Definir limites de largura de banda do pool de agentes |
Detalhes da função
A tabela a seguir descreve detalhadamente os papéis predefinidos do Serviço de transferência do Cloud Storage:
| Papel | Descrição | Permissões incluídas |
|---|---|---|
|
Administrador de transferências do Storage ( roles/storagetransfer.admin)
|
Concede acesso administrativo total a todos os recursos do Serviço de transferência do Cloud Storage, incluindo a criação, atualização, execução e exclusão de jobs de transferência e pools de agentes. |
|
|
Usuário de transferência do Storage ( roles/storagetransfer.user)
|
Concede permissões para criar, receber, atualizar e executar jobs de transferência e pools de agentes no projeto. Não é possível excluir jobs de transferência ou pools de agentes, preservando um registro de auditoria completo das transferências anteriores. |
|
|
Leitor de transferências do Storage ( roles/storagetransfer.viewer)
|
Fornece acesso somente leitura para visualizar e listar jobs de transferência, operações e pools de agentes no projeto. Não é possível criar, executar, atualizar ou excluir transferências. |
|
Serviço de transferência do Cloud Storage
(roles/storagetransfer.transferAgent)
|
Concede aos agentes de transferência as permissões do Serviço de transferência do Cloud Storage necessárias para concluir uma transferência. A partir de 1º de maio de 2024, as permissões Conceda esse papel à conta de usuário ou de serviço que está sendo usada pelos agentes. |
|
Serviço de transferência do Cloud Storage
(roles/storagetransfer.serviceAgent)
|
Concede ao agente do serviço de transferência do Cloud Storage as permissões necessárias para criar e modificar tópicos do Pub/Sub para se comunicar do Google Cloud para agentes de transferência. Conceda esse papel ao agente de serviço do Serviço de transferência do Cloud Storage. |
|
Papéis personalizados
É possível criar e aplicar papéis de IAM personalizados para atender aos requisitos de acesso da sua organização.
Ao criar papéis personalizados, recomendamos o uso de uma combinação de papéis predefinidos para garantir que as permissões corretas sejam incluídas juntas.
O console do Google Cloud não vai funcionar corretamente se o papel personalizado não tiver as permissões necessárias. Por exemplo, algumas partes do console do Google Cloud supõem que o papel tenha acesso de leitura para exibir um item antes de editá-lo. Portanto, um papel com permissões somente de gravação não conseguirá acessar o console do Google Cloud da maneira apropriada.