Agentenbasierte Berechtigungen auf Projektebene

Für agentenbasierte Übertragungen sind IAM-Berechtigungen auf Projektebene für zwei verschiedene Entitäten erforderlich: ein Dienst-Agent und ein Übertragungs-Agent-Konto.

Konfigurieren Sie die Berechtigungen auf dieser Seite nur, wenn Ihre Übertragung ein Dateisystem, HDFS oder S3-kompatiblen Speicher umfasst. Wenn Ihre Übertragung ohne Agenten ist, konfigurieren Sie die Rollen nicht auf dieser Seite. Fahren Sie direkt mit Zugriff auf Quelle und Ziel konfigurieren fort.

Bei agentbasierten Übertragungen werden die folgenden Identitäten verwendet:

  • Dienst-Agent: Ein von Google verwaltetes Dienstkonto, das von Storage Transfer Service verwendet wird, um Aufgaben mit Transfer-Agents zu koordinieren.
  • Transfer-Agent-Konto: Das Google Cloud-Nutzerkonto oder das nutzerverwaltete Dienstkonto, das zur Authentifizierung und Ausführung von Transfer-Agents auf Ihren Clientcomputern oder Instanzen verwendet wird.

Allgemeine Informationen zum Zuweisen von IAM-Rollen finden Sie unter Zugriff auf Ressourcen erteilen, ändern und entziehen.

Berechtigungen des Dienst-Agents

Storage Transfer Service verwendet einen Dienst-Agenten, um Agenten-gesteuerte Übertragungen zu koordinieren.

Damit der Storage Transfer Service die Arbeit zwischen Google Cloud und Ihren Übertragungs-Agents koordinieren kann, weisen Sie dem Dienst-Agenten im Projekt, in dem der Storage Transfer Service ausgeführt wird, die folgende Rolle zu:

  • Storage Transfer Service-Agent (roles/storagetransfer.serviceAgent)

E-Mail-Adresse des Dienst-Agents abrufen

Zum Zuweisen einer Rolle an den Dienst-Agent ist die E-Mail-Adresse des Dienst-Agents erforderlich. Der Dienst-Agent wird automatisch erstellt, wenn Sie zum ersten Mal einen Übertragungsjob erstellen, gcloud transfer-Einrichtungsbefehle ausführen, die Seite Storage Transfer in der Google Cloud Console aufrufen oder googleServiceAccounts.get aufrufen.

So rufen Sie die E-Mail-Adresse des Dienst-Agents ab:

  1. Rufen Sie die Referenzseite googleServiceAccounts.get auf. Es wird ein interaktives Steuerfeld mit dem Titel Diese Methode testen geöffnet.
  2. Geben Sie unter Anfrageparameter Ihre Projekt-ID ein.
  3. Klicken Sie auf Ausführen.

Kopieren Sie den Wert von accountEmail. Die E‑Mail-Adresse hat das folgende Format: project-PROJECT_NUMBER@storage-transfer-service..

Dienst-Agent-Rolle gewähren

So weisen Sie die Rolle Storage Transfer Service-Agent zu:

Google Cloud Console

  1. Rufen Sie in der Google Cloud Console die Seite IAM für das Projekt auf, in dem der Storage Transfer Service ausgeführt wird.

    IAM aufrufen

  2. Klicken Sie auf Zugriff erlauben.

  3. Geben Sie im Feld Neue Hauptkonten die E-Mail-Adresse des Dienst-Agents ein.

  4. Suchen Sie in der Drop-down-Liste Rolle auswählen nach Storage Transfer Service-Agent (roles/storagetransfer.serviceAgent) und wählen Sie diese Rolle aus.

  5. Klicken Sie auf Speichern.

gcloud

Führen Sie gcloud projects add-iam-policy-binding aus.

gcloud projects add-iam-policy-binding PROJECT_ID \
--member="serviceAccount:SERVICE_AGENT_EMAIL" \
--role="roles/storagetransfer.serviceAgent"

Ersetzen Sie Folgendes:

Berechtigungen für Transfer-Agent-Konto

Transfer-Agents werden auf Ihren Clientcomputern mit den Anmeldedaten eines Nutzerkontos oder eines nutzerverwalteten Dienstkontos ausgeführt:

  • Ein Nutzerkonto verwendet die Anmeldedaten eines authentifizierten Nutzers.
  • Ein nutzerverwaltetes Dienstkonto verwendet Dienstkontoschlüssel oder Identitätsföderation. Informationen zum Erstellen eines Dienstkontos finden Sie unter Dienstkonten erstellen und verwalten.

Weisen Sie dem Google Cloud-Projekt, das Ihren Agent-Pool hostet, die folgende Rolle zu, um Transfer-Agents zu autorisieren, eine Verbindung zum Storage Transfer Service herzustellen, Aufgaben zu empfangen und den Status zu protokollieren:

  • Storage Transfer-Agent (roles/storagetransfer.transferAgent)

So weisen Sie diese Rolle zu:

Google Cloud Console

  1. Rufen Sie in der Google Cloud Console die Seite IAM auf.

    IAM aufrufen

  2. Wählen Sie das Projekt aus, das Ihren Agent-Pool enthält.

  3. Klicken Sie auf Zugriff erlauben.

  4. Geben Sie im Feld Neue Hauptkonten die E-Mail-Adresse Ihres Nutzerkontos oder des nutzerverwalteten Dienstkontos ein.

  5. Suchen Sie in der Drop-down-Liste Rolle auswählen nach Storage Transfer Agent (roles/storagetransfer.transferAgent) und wählen Sie diese Rolle aus.

  6. Klicken Sie auf Speichern.

gcloud

Führen Sie gcloud projects add-iam-policy-binding aus.

gcloud projects add-iam-policy-binding AGENT_POOL_PROJECT_ID \
--member="serviceAccount_OR_user:TRANSFER_AGENT_ACCOUNT" \
--role="roles/storagetransfer.transferAgent"

Ersetzen Sie Folgendes:

  • AGENT_POOL_PROJECT_ID: Das Projekt, das Ihren Agent-Pool enthält.
  • serviceAccount_OR_user: Geben Sie entweder serviceAccount an, wenn Ihr Übertragungs-Agent-Konto ein Dienstkonto ist, oder user, wenn Ihre Agents mit einem Nutzerkonto installiert wurden.
  • TRANSFER_AGENT_ACCOUNT: Die E-Mail-Adresse des Kontos, auf dem die Übertragungs-Agents ausgeführt werden.

Nächste Schritte

Führen Sie nach dem Konfigurieren der Projektberechtigungen die folgenden Einrichtungsschritte in der angegebenen Reihenfolge aus:

  1. Agent-Pool erstellen.
  2. Installieren Sie Übertragungs-Agents in Ihrem Pool.
  3. Konfigurieren Sie die Zugriffsberechtigungen für Ihre Speichersysteme:
  4. Sehen Sie sich die vollständige Referenz zu Rollen und Berechtigungen an.