Storage 移轉服務使用身分與存取權管理 (IAM) 權限和角色，控制可以存取 Storage 移轉服務資源的人員。Storage 移轉服務提供的主要資源類型包括工作、作業和代理程式集區。在 IAM 政策階層中，工作是專案的子資源，作業則是工作的子資源。
如要授予資源存取權，請將一或多個權限或角色指派給使用者、群組或服務帳戶。
權限
您可以授予下列 Storage 移轉服務權限：
轉移專案權限
| 權限 | 說明 |
|---|---|
storagetransfer.projects.getServiceAccount |
可以讀取 Storage 移轉服務用來存取 Cloud Storage 值區的 GoogleServiceAccount。 |
移轉工作權限
下表說明 Storage 移轉服務工作的權限：
| 權限 | 說明 |
|---|---|
storagetransfer.jobs.create |
可建立新的移轉工作。 |
storagetransfer.jobs.delete |
可以刪除現有的移轉工作。 呼叫 patch 函式即可刪除轉移工作。不過，使用者必須具備這項權限，才能刪除移轉工作，以免發生權限錯誤。 |
storagetransfer.jobs.get |
可擷取特定工作。 |
storagetransfer.jobs.list |
可以列出所有移轉工作。 |
storagetransfer.jobs.run |
可執行所有移轉工作。 |
storagetransfer.jobs.update |
可以更新移轉工作設定而不刪除這些設定。 |
轉移作業權限
下表說明 Storage 移轉服務作業的權限：
| 權限 | 說明 |
|---|---|
storagetransfer.operations.assign |
移轉代理會使用這個角色指派作業。不支援自訂角色，請改為授予預先定義的 roles/storagetransfer.transferAgent 角色。 |
storagetransfer.operations.cancel |
可以取消移轉作業。 |
storagetransfer.operations.get |
可以取得移轉作業的詳細資料。 |
storagetransfer.operations.list |
可以列出所有移轉工作作業。 |
storagetransfer.operations.pause |
可以暫停移轉作業。 |
storagetransfer.operations.report |
供移轉代理回報作業狀態。不支援自訂角色，請改為授予預先定義的 roles/storagetransfer.transferAgent 角色。 |
storagetransfer.operations.resume |
可以繼續先前暫停的移轉作業。 |
移轉代理程式集區權限
下表說明移轉代理集區的權限：
| 權限 | 說明 |
|---|---|
storagetransfer.agentpools.create |
可建立代理程式集區及設定頻寬限制。 |
storagetransfer.agentpools.update |
可更新代理程式集區和頻寬限制。 |
storagetransfer.agentpools.delete |
可刪除代理集區。 |
storagetransfer.agentpools.get |
可取得特定代理程式集區的資訊和頻寬限制。 |
storagetransfer.agentpools.list |
可列出專案中所有代理程式集區的資訊和頻寬限制。 |
storagetransfer.agentpools.report |
轉移代理程式會使用這個欄位回報狀態。不支援自訂角色，請改為授予預先定義的 roles/storagetransfer.transferAgent 角色。 |
預先定義的角色
本節說明 Storage 移轉服務的預先定義角色。角色是設定 IAM 權限的首選方式。
角色比較
您可以將下列 Storage 移轉服務預先定義的角色指派給主體：
| 功能 | Storage 移轉管理員 ( roles/storagetransfer.admin) |
Storage 移轉使用者 ( roles/storagetransfer.user) |
Storage 移轉檢視者 ( roles/storagetransfer.viewer) |
|---|---|---|---|
| 列出及取得工作 | |||
| 建立及設定工作 | |||
| 執行及更新工作 | |||
| 刪除工作 | |||
| 列出及取得轉移作業 | |||
| 暫停、繼續及取消移轉作業 | |||
| 讀取 Storage 移轉服務的服務帳戶詳細資料 | |||
| 列出及取得代理程式集區 | |||
| 建立及更新代理程式集區 | |||
| 刪除代理集區 | |||
| 設定代理程式集區頻寬限制 |
角色詳細資料
下表詳細說明 Storage 移轉服務的預先定義角色：
| 角色 | 說明 | 包含的權限 |
|---|---|---|
|
Storage 移轉管理員 ( roles/storagetransfer.admin)
|
提供所有 Storage 移轉服務資源的完整管理員權限，包括建立、更新、執行及刪除移轉工作和代理集區。 |
|
|
Storage 移轉使用者 ( roles/storagetransfer.user)
|
可建立、取得、更新及執行專案中的移轉工作和代理程式集區。無法刪除移轉工作或代理程式集區，保留過去移轉作業的完整稽核記錄。 |
|
|
Storage 移轉檢視者 ( roles/storagetransfer.viewer)
|
具備唯讀存取權，可查看及列出專案中的移轉工作、作業和代理程式集區。無法建立、執行、更新或刪除移轉作業。 |
|
Storage 移轉代理程式 (roles/storagetransfer.transferAgent) |
可授予移轉代理程式完成移轉作業所需的 Storage 移轉服務權限。 自 2024 年 5 月 1 日起，不再需要 請將這個角色授予代理使用的使用者或服務帳戶。 |
|
Storage 移轉服務代理 (roles/storagetransfer.serviceAgent) |
授予 Storage 移轉服務代理建立及修改 Pub/Sub 主題所需的權限，以便從 Google Cloud 與移轉代理通訊。 將這個角色授予 Storage 移轉服務代理。 |
|
自訂角色
您可以建立及套用自訂 IAM 角色，滿足組織的存取權需求。
建立自訂角色時，建議您結合使用預先定義的角色，確保一併納入正確的權限。
如果自訂角色缺少必要權限， Google Cloud 控制台將無法正常運作。舉例來說， Google Cloud 控制台的某些部分會假設角色具有讀取權限，可先顯示項目再進行編輯，因此只有寫入權限的角色可能會遇到 Google Cloud 控制台畫面無法運作的情況。