Erforderliche Nutzerberechtigungen

Zum Erstellen, Verwalten oder Überwachen von Übertragungen mit dem Storage Transfer Service sind IAM-Berechtigungen und -Rollen für Ihr Nutzerkonto, Ihr Automatisierungstool oder Ihr Dienstkonto erforderlich.

Diese Berechtigungen gelten sowohl für agentenlose als auch für agentenbasierte Übertragungen. Allgemeine Informationen zum Zuweisen von IAM-Rollen finden Sie unter Zugriff auf Ressourcen erteilen, ändern und entziehen.

Erforderliche Berechtigungen für den Storage Transfer Service

Wenn Sie mit dem Storage Transfer Service interagieren möchten, müssen Sie Ihrem Nutzerkonto, Ihrer Gruppe oder Ihrem Dienstkonto im Google Cloud-Projekt, in dem die Übertragung erstellt wird, eine der folgenden vordefinierten Rollen oder entsprechende benutzerdefinierte Berechtigungen zuweisen:

Rolle Hauptmerkmale
Storage Transfer-Administrator
(roles/storagetransfer.admin) 		Vollständige Kontrolle über Storage Transfer Service-Ressourcen:
  • Übertragungsjobs erstellen, ausführen, bearbeiten und löschen.
  • Transfer-Agent-Pools erstellen, konfigurieren und löschen.
  • Projektweite Bandbreitenlimits konfigurieren.
  • Alle Übertragungsvorgänge, Status und Logs ansehen.
Storage Transfer-Nutzer
(roles/storagetransfer.user) 		Übertragungsjobs und Agent-Pools ohne Löschberechtigungen erstellen, aktualisieren und ausführen:
  • Übertragungsjobs erstellen, abrufen, aktualisieren und auflisten.
  • Agent-Pools erstellen, abrufen, aktualisieren und auflisten.
  • Projektweite Bandbreitenlimits konfigurieren.
  • Übertragungsvorgänge ausführen, pausieren und fortsetzen.
  • Übertragungsjobs oder Agent-Pools können nicht gelöscht werden.
Storage Transfer Viewer
(roles/storagetransfer.viewer) 		Lesezugriff zum Prüfen von Übertragungsjobs, Vorgängen und Agent-Pools. Empfohlen für Monitoring und Auditing.

Eine detaillierte Liste der einzelnen Berechtigungen in den einzelnen Rollen finden Sie in der Rollen- und Berechtigungsreferenz. Wenn Sie einen Übertragungsjob so konfigurieren, dass Berechtigungen an ein nutzerverwaltetes Dienstkonto delegiert werden, muss Ihr Nutzerkonto auch die Rolle Dienstkontonutzer (roles/iam.serviceAccountUser) für dieses Dienstkonto haben. Weitere Informationen finden Sie unter Dienstagent-Berechtigungen an ein nutzerverwaltetes Dienstkonto delegieren.

Storage Transfer Service-Rolle für Ihr Projekt zuweisen

Console

  1. Rufen Sie in der Google Cloud Console die Seite IAM auf.

    IAM aufrufen

  2. Achten Sie darauf, dass Ihr Übertragungsprojekt ausgewählt ist, und klicken Sie dann auf Zugriff gewähren.

  3. Geben Sie im Feld Neue Hauptkonten die E-Mail-Adresse Ihres Nutzerkontos oder Dienstkontos ein.

  4. Suchen Sie in der Drop-down-Liste Rolle auswählen nach Storage Transfer Admin, Storage Transfer User oder Storage Transfer Viewer und wählen Sie die entsprechende Rolle aus.

  5. Optional: So erlauben Sie der Google Cloud Console, nach fehlenden Dienst-Agent-Berechtigungen zu suchen und Sie während der Übertragungserstellung aufzufordern, diese automatisch zu gewähren:

    1. Klicken Sie auf + Weitere Rolle hinzufügen.
    2. Suchen Sie nach Rollenbetrachter (roles/iam.roleViewer) und wählen Sie diese Rolle aus. Sie gewährt resourcemanager.projects.getIamPolicy.

  6. Klicken Sie auf Speichern.

gcloud

  1. Weisen Sie die Rolle „Storage Transfer Service“ zu:

    gcloud projects add-iam-policy-binding PROJECT_ID \
   --member="PRINCIPAL" \
   --role="roles/storagetransfer.ROLE"

    Ersetzen Sie:

    • PROJECT_ID: Das Projekt, in dem Sie Übertragungen ausführen.
    • PRINCIPAL: Ihr Konto im Format user:EMAIL für ein Nutzerkonto oder serviceAccount:SA_EMAIL für ein Dienstkonto.
    • ROLE: Entweder admin, user oder viewer.

  2. Optional: Wenn Sie der Google Cloud Console erlauben möchten, nach fehlenden Dienst-Agent-Berechtigungen zu suchen und Sie aufzufordern, diese während der Übertragungserstellung automatisch zu gewähren, weisen Sie die Rolle Rollenbetrachter zu:

    gcloud projects add-iam-policy-binding PROJECT_ID \
   --member="PRINCIPAL" \
   --role="roles/iam.roleViewer"

Erforderliche Cloud Storage-Berechtigungen

Wenn Sie eine Übertragung konfigurieren möchten, die Cloud Storage-Buckets als Quelle, Senke oder Zwischenspeicherort verwendet, muss Ihr Konto die Berechtigung zum Aufrufen und Ändern der IAM-Richtlinie des Buckets haben. So können Sie dem Dienst-Agent- oder Übertragungs-Agent-Konto des Storage Transfer Service die erforderlichen Rollen zuweisen.

Für Ihr Konto ist Folgendes erforderlich:

  • storage.buckets.getIamPolicy
  • storage.buckets.setIamPolicy

Diese Berechtigungen werden durch eine der folgenden vordefinierten Rollen gewährt:

  • Storage-Administrator (roles/storage.admin)
  • Inhaber von Legacy-Storage-Buckets (roles/storage.legacyBucketOwner)

Cloud Storage-Rolle für einen Bucket zuweisen

Console

  1. Wechseln Sie in der Google Cloud Console unter „Cloud Storage“ zur Seite Buckets.

    Buckets aufrufen

  2. Klicken Sie auf das Dreipunkt-Menü () des Buckets und wählen Sie Zugriff bearbeiten aus.
  3. Klicken Sie auf + Hauptkonto hinzufügen.
  4. Geben Sie im Feld Neue Hauptkonten die E-Mail-Adresse Ihres Nutzerkontos oder Dienstkontos ein.
  5. Suchen Sie in der Drop-down-Liste Rolle auswählen nach Storage Admin und wählen Sie diese Rolle aus.
  6. Klicken Sie auf Speichern.

gcloud

Führen Sie gcloud storage buckets add-iam-policy-binding aus.

gcloud storage buckets add-iam-policy-binding gs://BUCKET_NAME \
    --member="PRINCIPAL" \
    --role="roles/storage.admin"

Ersetzen Sie:

  • BUCKET_NAME: Der Name des Quell-, Senken- oder Zwischen-Buckets.
  • PRINCIPAL: Ihr Konto im Format user:EMAIL für ein Nutzerkonto oder serviceAccount:SA_EMAIL für ein Dienstkonto.

Nächste Schritte

Die nächsten Schritte hängen davon ab, ob für die Übertragung Übertragungs-Agents erforderlich sind: