Autorizzazioni utente richieste

La creazione, la gestione o il monitoraggio dei trasferimenti con Storage Transfer Service richiede autorizzazioni e ruoli IAM per il tuo account utente, lo strumento di automazione o il account di servizio.

Queste autorizzazioni si applicano ai trasferimenti sia con agenti sia senza agenti. Per informazioni generali sulla concessione dei ruoli IAM, consulta Concessione, modifica e revoca dell'accesso alle risorse.

Autorizzazioni Storage Transfer Service richieste

Per interagire con Storage Transfer Service, devi concedere uno dei seguenti ruoli predefiniti o autorizzazioni personalizzate equivalenti al tuo account utente, gruppo o account di servizio nel progetto Google Cloud che crea il trasferimento:

Ruolo Funzionalità chiave
Storage Transfer Admin
(roles/storagetransfer.admin) 		Controllo completo sulle risorse di Storage Transfer Service:
  • Creare, eseguire, modificare ed eliminare i job di trasferimento.
  • Creare, configurare ed eliminare i pool di agenti di trasferimento.
  • Configura i limiti di larghezza di banda a livello di progetto.
  • Visualizza tutte le operazioni di trasferimento, lo stato e i log.
Storage Transfer User
(roles/storagetransfer.user) 		Crea, aggiorna ed esegui job di trasferimento e pool di agenti senza autorizzazioni di eliminazione:
  • Creare, recuperare, aggiornare ed elencare i job di trasferimento.
  • Crea, ottiene, aggiorna ed elenca i pool di agenti.
  • Configura i limiti di larghezza di banda a livello di progetto.
  • Eseguire, mettere in pausa e riprendere le operazioni di trasferimento.
  • Non è possibile eliminare i job di trasferimento o i pool di agenti.
Storage Transfer Viewer
(roles/storagetransfer.viewer) 		Accesso in sola lettura per ispezionare i job di trasferimento, le operazioni e i pool di agenti. Consigliato per il monitoraggio e l'audit.

Per un elenco dettagliato delle singole autorizzazioni in ogni ruolo, consulta il Riferimento a ruoli e autorizzazioni. Se configuri un job di trasferimento per delegare le autorizzazioni a un account di servizio gestito dall'utente, il tuo account utente deve avere anche il ruolo Service Account User (roles/iam.serviceAccountUser) su quel account di servizio; consulta Delega le autorizzazioni dell'agente di servizio a un service account gestito dall'utente.

Concedi un ruolo Storage Transfer Service per il tuo progetto

Console

  1. Nella console Google Cloud vai alla pagina IAM.

    Vai a IAM

  2. Assicurati che il progetto di trasferimento sia selezionato, quindi fai clic su Concedi l'accesso.

  3. Nel campo Nuove entità, inserisci l'indirizzo email del tuo account utente o account di servizio.

  4. Nell'elenco a discesa Seleziona un ruolo, cerca e seleziona Storage Transfer Admin, Storage Transfer User o Storage Transfer Viewer.

  5. (Facoltativo) Per consentire alla console Google Cloud di verificare la presenza di autorizzazioni degli agenti di servizio mancanti e di chiederti di concederle automaticamente durante la creazione del trasferimento:

    1. Fai clic su + Aggiungi un altro ruolo.
    2. Cerca e seleziona Visualizzatore ruoli (roles/iam.roleViewer), che concede resourcemanager.projects.getIamPolicy.

  6. Fai clic su Salva.

gcloud

  1. Concedi il ruolo Storage Transfer Service:

    gcloud projects add-iam-policy-binding PROJECT_ID \
   --member="PRINCIPAL" \
   --role="roles/storagetransfer.ROLE"

    Sostituisci:

    • PROJECT_ID: il progetto in cui eseguirai i trasferimenti.
    • PRINCIPAL: il tuo account formattato come user:EMAIL per un account utente o serviceAccount:SA_EMAIL per un account di servizio.
    • ROLE: uno dei valori admin, user o viewer.

  2. (Facoltativo) Per consentire alla console Google Cloud di verificare la presenza di autorizzazioni degli agenti di servizio mancanti e di chiederti di concederle automaticamente durante la creazione del trasferimento, concedi il ruolo Visualizzatore ruoli:

    gcloud projects add-iam-policy-binding PROJECT_ID \
   --member="PRINCIPAL" \
   --role="roles/iam.roleViewer"

Autorizzazioni Cloud Storage richieste

Per configurare un trasferimento che utilizza i bucket Cloud Storage come origine, sink o località di gestione temporanea intermedia, il tuo account deve disporre dell'autorizzazione per visualizzare e modificare la policy IAM del bucket in modo da poter concedere i ruoli richiesti all'agente di servizio Storage Transfer Service o all'account dell'agente di trasferimento.

Il tuo account richiede:

  • storage.buckets.getIamPolicy
  • storage.buckets.setIamPolicy

Uno dei seguenti ruoli predefiniti concede queste autorizzazioni:

  • Storage Admin (roles/storage.admin)
  • Storage Legacy Bucket Owner (roles/storage.legacyBucketOwner)

Concedi un ruolo Cloud Storage su un bucket

Console

  1. Nella console Google Cloud , vai alla pagina Bucket in Cloud Storage.

    Vai a Bucket

  2. Fai clic sul menu Extra bucket () per il bucket e seleziona accesso in modifica.
  3. Fai clic su + Aggiungi entità.
  4. Nel campo Nuove entità, inserisci l'indirizzo email del tuo account utente o service account.
  5. Nell'elenco a discesa Seleziona un ruolo, cerca e seleziona Storage Admin.
  6. Fai clic su Salva.

gcloud

Esegui gcloud storage buckets add-iam-policy-binding:

gcloud storage buckets add-iam-policy-binding gs://BUCKET_NAME \
    --member="PRINCIPAL" \
    --role="roles/storage.admin"

Sostituisci:

  • BUCKET_NAME: il nome del bucket di origine, sink o intermedio.
  • PRINCIPAL: il tuo account formattato come user:EMAIL per un account utente o serviceAccount:SA_EMAIL per un account di servizio.

Passaggi successivi

I passaggi successivi dipendono dal fatto che il trasferimento richieda o meno agenti di trasferimento: