필수 사용자 권한

Storage Transfer Service를 사용하여 전송을 만들거나 관리하거나 모니터링하려면 사용자 계정, 자동화 도구 또는 서비스 계정에 IAM 권한 및 역할이 필요합니다.

이러한 권한은 에이전트 없는 전송과 에이전트 기반 전송 모두에 적용됩니다. IAM 역할 부여에 대한 일반적인 내용은 리소스에 대한 액세스 권한 부여, 변경, 취소를 참조하세요.

필수 Storage Transfer Service 권한

Storage Transfer Service와 상호작용하려면 전송을 만드는 Google Cloud 프로젝트의 사용자 계정, 그룹 또는 서비스 계정에 다음 사전 정의된 역할 또는 이에 상응하는 커스텀 권한 중 하나를 부여해야 합니다.

역할 주요 기능
스토리지 전송 관리자
(roles/storagetransfer.admin) 		Storage Transfer Service 리소스에 대한 전체 제어:
  • 전송 작업을 생성, 실행, 수정, 삭제합니다.
  • 전송 에이전트 풀을 만들고 구성하고 삭제합니다.
  • 프로젝트 전체 대역폭 한도를 구성합니다.
  • 모든 전송 작업, 상태, 로그를 확인합니다.
스토리지 전송 사용자
(roles/storagetransfer.user) 		삭제 권한 없이 전송 작업 및 에이전트 풀을 만들고 업데이트하고 실행합니다.
  • 전송 작업을 만들고, 가져오고, 업데이트하고, 나열합니다.
  • 에이전트 풀을 만들고, 가져오고, 업데이트하고, 나열합니다.
  • 프로젝트 전체 대역폭 한도를 구성합니다.
  • 전송 작업을 실행, 일시중지, 재개합니다.
  • 전송 작업 또는 에이전트 풀을 삭제할 수 없습니다.
스토리지 전송 뷰어
(roles/storagetransfer.viewer) 		전송 작업, 작업, 에이전트 풀을 검사할 수 있는 읽기 전용 액세스 권한입니다. 모니터링 및 감사에 권장됩니다.

각 역할의 개별 권한에 대한 자세한 목록은 역할 및 권한 참조를 확인하세요. 사용자 관리 서비스 계정에 권한을 위임하도록 전송 작업을 구성하는 경우 사용자 계정에도 해당 서비스 계정에 대한 서비스 계정 사용자(roles/iam.serviceAccountUser) 역할이 있어야 합니다. 사용자 관리 서비스 계정에 서비스 에이전트 권한 위임을 참조하세요.

프로젝트에 Storage Transfer Service 역할 부여

콘솔

  1. Google Cloud 콘솔에서 IAM 페이지로 이동합니다.

    IAM으로 이동

  2. 전송 프로젝트가 선택되어 있는지 확인한 다음 액세스 권한 부여를 클릭합니다.

  3. 새 주 구성원 필드에 사용자 계정 이메일 또는 서비스 계정을 입력합니다.

  4. 역할 선택 드롭다운 목록에서 Storage Transfer Admin, Storage Transfer User 또는 Storage Transfer Viewer를 검색하여 선택합니다.

  5. 선택사항: Google Cloud 콘솔에서 누락된 서비스 에이전트 권한을 확인하고 전송 생성 중에 자동으로 부여하라는 메시지를 표시하도록 하려면 다음 안내를 따르세요.

    1. + 다른 역할 추가를 클릭합니다.
    2. resourcemanager.projects.getIamPolicy를 부여하는 역할 뷰어(roles/iam.roleViewer)를 검색하여 선택합니다.

  6. 저장을 클릭합니다.

gcloud

  1. Storage Transfer Service 역할을 부여합니다.

    gcloud projects add-iam-policy-binding PROJECT_ID \
   --member="PRINCIPAL" \
   --role="roles/storagetransfer.ROLE"

    다음과 같이 바꿉니다.

    • PROJECT_ID: 전송을 실행할 프로젝트입니다.
    • PRINCIPAL: 사용자 계정의 경우 user:EMAIL, 서비스 계정의 경우 serviceAccount:SA_EMAIL 형식의 계정입니다.
    • ROLE: admin, user, viewer 중 하나입니다.

  2. 선택사항: Google Cloud 콘솔에서 누락된 서비스 에이전트 권한을 확인하고 전송 생성 중에 자동으로 부여하라는 메시지를 표시하도록 허용하려면 역할 뷰어 역할을 부여합니다.

    gcloud projects add-iam-policy-binding PROJECT_ID \
   --member="PRINCIPAL" \
   --role="roles/iam.roleViewer"

필요한 Cloud Storage 권한

Cloud Storage 버킷을 소스, 싱크 또는 중간 스테이징 위치로 사용하는 전송을 구성하려면 Storage Transfer Service 서비스 에이전트 또는 전송 에이전트 계정에 필요한 역할을 부여할 수 있도록 계정에 버킷의 IAM 정책을 보고 수정할 수 있는 권한이 있어야 합니다.

계정에 다음이 필요합니다.

  • storage.buckets.getIamPolicy
  • storage.buckets.setIamPolicy

다음 사전 정의된 역할 중 하나가 이러한 권한을 부여합니다.

  • 스토리지 관리자(roles/storage.admin)
  • 스토리지 기존 버킷 소유자 (roles/storage.legacyBucketOwner)

버킷에 Cloud Storage 역할 부여

콘솔

  1. Google Cloud 콘솔에서 Cloud Storage 버킷 페이지로 이동합니다.

    버킷으로 이동

  2. 버킷의 버킷 더보기 메뉴()를 클릭하고 액세스 수정을 선택합니다.
  3. + 주 구성원 추가를 클릭합니다.
  4. 새 주 구성원 필드에 사용자 계정 이메일 또는 서비스 계정을 입력합니다.
  5. 역할 선택 드롭다운 목록에서 Storage Admin를 검색하여 선택합니다.
  6. 저장을 클릭합니다.

gcloud

gcloud storage buckets add-iam-policy-binding를 실행합니다.

gcloud storage buckets add-iam-policy-binding gs://BUCKET_NAME \
    --member="PRINCIPAL" \
    --role="roles/storage.admin"

다음과 같이 바꿉니다.

  • BUCKET_NAME: 소스, 싱크 또는 중간 버킷의 이름입니다.
  • PRINCIPAL: 사용자 계정의 경우 user:EMAIL, 서비스 계정의 경우 serviceAccount:SA_EMAIL 형식의 계정입니다.

다음 단계

다음 단계는 전송에 전송 에이전트가 필요한지 여부에 따라 달라집니다.