Permissões no nível do projeto baseadas em agente

As transferências baseadas em agente exigem permissões do IAM para envolvidos no projeto para duas entidades distintas: um agente de serviço e uma conta de agente de transferência.

Configure as permissões nesta página somente se a transferência envolver um sistema de arquivos, HDFS ou armazenamento compatível com S3. Se a transferência for sem agente, não configure os papéis nesta página. Prossiga diretamente para Configurar o acesso à origem e ao destino.

As transferências baseadas em agente usam as seguintes identidades:

  • Agente de serviço: uma conta serviço gerenciado pelo Google usada pelo Serviço de transferência do Cloud Storage para coordenar tarefas com agentes de transferência.
  • Conta do agente de transferência: a conta de usuário do Google Cloud ou a conta de serviço gerenciado pelo usuário usada para autenticar e executar agentes de transferência nas máquinas ou instâncias do cliente.

Para informações gerais sobre como conceder papéis do IAM, consulte Como conceder, alterar e revogar o acesso a recursos.

Permissões do agente de serviço

O Serviço de transferência do Cloud Storage usa um agente de serviço para coordenar transferências orientadas por agentes.

Para permitir que o Serviço de transferência do Cloud Storage coordene o trabalho entre o Google Cloud e seus agentes de transferência, conceda o seguinte papel ao agente de serviço no projeto que executa o Serviço de transferência do Cloud Storage:

  • Agente do Serviço de transferência do Cloud Storage (roles/storagetransfer.serviceAgent)

Encontrar o endereço de e-mail do agente de serviço

Para conceder um papel ao agente de serviço, é necessário o identificador de endereço de e-mail dele. O agente de serviço é criado automaticamente quando você cria um job de transferência pela primeira vez, executa comandos de configuração do gcloud transfer, acessa a página Storage Transfer no console do Google Cloud ou chama googleServiceAccounts.get.

Para receber o endereço de e-mail do agente de serviço:

  1. Acesse a página de referência de googleServiceAccounts.get. Você verá um painel interativo com o título Testar este método.
  2. Em Parâmetros de solicitação, insira o ID do projeto.
  3. Clique em Executar.

Copie o valor de accountEmail. O endereço de e-mail usa o seguinte formato: project-PROJECT_NUMBER@storage-transfer-service..

Conceder o papel de agente de serviço

Para conceder o papel de Agente do Serviço de transferência do Cloud Storage:

Console do Google Cloud

  1. No console do Google Cloud , acesse a página IAM do projeto que executa o Serviço de transferência do Cloud Storage.

    Acessar IAM

  2. Clique em Conceder acesso.

  3. No campo Novos principais, insira o endereço de e-mail do agente de serviço.

  4. Na lista suspensa Selecionar um papel, pesquise e selecione Agente do Serviço de transferência do Cloud Storage (roles/storagetransfer.serviceAgent).

  5. Clique em Salvar.

gcloud

Execute gcloud projects add-iam-policy-binding:

gcloud projects add-iam-policy-binding PROJECT_ID \
--member="serviceAccount:SERVICE_AGENT_EMAIL" \
--role="roles/storagetransfer.serviceAgent"

Substitua:

Permissões da conta de agente de transferência

Os agentes de transferência são executados nas máquinas clientes usando as credenciais de uma conta de usuário ou de uma conta serviço gerenciado pelo usuário:

  • Uma conta de usuário usa as credenciais de um usuário autenticado.
  • Uma conta de serviço gerenciado pelo usuário usa chaves de conta de serviço ou federação de identidade. Para criar uma conta de serviço, consulte Criar e gerenciar contas de serviço.

Para autorizar os agentes de transferência a se conectarem ao Serviço de transferência do Cloud Storage, receberem tarefas e registrarem o status, atribua o seguinte papel no projeto na nuvem do Google Cloud que hospeda o pool de agentes:

  • Agente do Serviço de transferência do Cloud Storage (roles/storagetransfer.transferAgent)

Para conceder esse papel:

Console do Google Cloud

  1. No console do Google Cloud , acesse a página IAM.

    Acessar IAM

  2. Verifique se você selecionou o projeto que contém o pool de agentes.

  3. Clique em Conceder acesso.

  4. No campo Novos principais, insira o endereço de e-mail da sua conta de usuário ou da conta serviço gerenciado pelo usuário.

  5. Na lista suspensa Selecionar um papel, pesquise e selecione Agente do Storage Transfer (roles/storagetransfer.transferAgent).

  6. Clique em Salvar.

gcloud

Execute gcloud projects add-iam-policy-binding:

gcloud projects add-iam-policy-binding AGENT_POOL_PROJECT_ID \
--member="serviceAccount_OR_user:TRANSFER_AGENT_ACCOUNT" \
--role="roles/storagetransfer.transferAgent"

Substitua:

  • AGENT_POOL_PROJECT_ID: o projeto que contém o pool de agentes.
  • serviceAccount_OR_user: especifique serviceAccount se a conta do agente de transferência for uma conta de serviço ou user se os agentes tiverem sido instalados com uma conta de usuário.
  • TRANSFER_AGENT_ACCOUNT: o endereço de e-mail da conta que executa os agentes de transferência.

A seguir

Depois de configurar as permissões do projeto, siga estas etapas de configuração:

  1. Criar um pool de agentes.
  2. Instale agentes de transferência no pool.
  3. Configure as permissões de acesso para seus sistemas de armazenamento:
  4. Consulte a Referência de permissões e papéis completa.