Google は AI 技術を使用して、コンテンツをご希望の言語に翻訳しています。AI 翻訳には誤りが含まれる場合があります。

送信元へのアクセスを構成する: Cloud Storage

Storage Transfer Service は、次の 2 つの転送タイプで Cloud Storage ソースバケットを使用できます。

エージェントレス転送: Cloud Storage から Cloud Storage、Cloud Storage から AWS S3、Cloud Storage から Azure Blob Storage などのクラウド間転送。権限は Storage Transfer Service サービスエージェントに付与されます。
エージェント駆動型の転送: 転送エージェントとエージェントプールを使用するファイルシステムまたはオンプレミスストレージに関連する転送。権限は、サービスエージェントと転送エージェントアカウントの両方に付与する必要があります。

Google Cloud コンソールでの権限の自動付与

Google Cloud コンソールを使用してエージェントレス転送を作成し、必要なユーザー権限がある場合、サービスエージェントには、ソースバケットに必要な権限が自動的に付与されます。

このページの手順はスキップできます。必要に応じて、宛先へのアクセスを構成してから、転送を作成します。

前提条件

ユーザーアカウントの権限: このページに記載されている必要な IAM ロールを付与するには、ユーザーアカウント（またはユーザー管理のサービスアカウント）に、ソースバケットとエージェントプールプロジェクトの IAM ポリシーを変更する権限が必要です。ユーザーアカウントの要件の詳細については、ユーザーアカウントの権限をご覧ください。
エージェントベースの転送プロジェクトの権限: エージェントベースの転送の場合は、サービスエージェントと転送エージェントアカウントに必要なプロジェクトレベルのロールが構成されていることを確認します。エージェントベースのプロジェクトレベルの権限をご覧ください。

サービスエージェントのメールアドレスを確認する

サービスエージェントは、転送ジョブを初めて作成するとき、gcloud transfer 設定コマンドを実行するとき、Google Cloud コンソールの [Storage Transfer] ページにアクセスするとき、または googleServiceAccounts.get を呼び出すときに自動的に作成されます。

Storage Transfer Service コマンドでサービスエージェントを識別するために使用されるサービスエージェントのメールアドレスを取得するには:

googleServiceAccounts.get リファレンスページに移動します。[Try this method] というインタラクティブパネルが開きます。
パネルの [Request parameters] にプロジェクト ID を入力します。
[実行] をクリックします。

accountEmail の値をコピーします。project-PROJECT_NUMBER@storage-transfer-service. の形式を使用します。

必要な権限を付与する

転送タイプを選択して、アクセス権を付与する手順を確認します。

エージェントレス転送

次の事前定義ロールは、ソースバケットに必要な権限をサービスエージェントに付与します。

Storage レガシーバケット読み取り（roles/storage.legacyBucketReader）
さらに、次のいずれか:
- Storage オブジェクト閲覧者（roles/storage.objectViewer）。ソースオブジェクトが保持される場合。
- Storage オブジェクトユーザー（roles/storage.objectUser）。転送後にソースオブジェクトを削除する場合（deleteObjectsFromSourceAfterTransfer）。
- ストレージオブジェクト管理者（roles/storage.objectAdmin）: オブジェクト ACL（ACL_PRESERVE）を保持する場合。転送後のソースオブジェクトの削除もサポートします。

サービスエージェントをソースバケットの IAM ポリシーに追加します。

コンソール

Google Cloud コンソールで Cloud Storage の [バケット] ページに移動します。
[バケット] に移動
ソースバケットの [バケットオーバーフロー] メニュー（）をクリックします。
[アクセス権を編集] を選択します。
[+ プリンシパルを追加] をクリックします。
[新しいプリンシパル] に、サービスエージェントのメールアドレスを入力します。
[ロールの選択] プルダウンメニューから Storage Legacy Bucket Reader を選択します。
[別のロールを追加] をクリックし、次のいずれかを選択します。
- Storage Object Viewer
- Storage Object User
- Storage Object Admin
[保存] をクリックします。

gcloud

次の gcloud storage コマンドを実行します。

gcloud storage buckets add-iam-policy-binding gs://BUCKET_NAME \
--member=serviceAccount:SERVICE_AGENT_EMAIL --role=roles/storage.legacyBucketReader

gcloud storage buckets add-iam-policy-binding gs://BUCKET_NAME \
--member=serviceAccount:SERVICE_AGENT_EMAIL --role=roles/storage.OBJECT_ROLE

次のように置き換えます。

BUCKET_NAME: ソースバケットの名前。
SERVICE_AGENT_EMAIL: サービスエージェントのメールアドレス。
OBJECT_ROLE: 転送オプションに応じて、次のいずれかを選択します。
objectViewer: ソースオブジェクトを保持する場合。
objectUser: 転送後にソースオブジェクトを削除する場合。
objectAdmin: オブジェクト ACL を保持する場合。転送後のソースオブジェクトの削除もサポートしています。

REST API

リクエストを認証するためのアクセストークンを生成します。gcloud CLI を使用している場合は、次のコマンドを実行します。
```
gcloud auth print-access-token
```
既存のバケット IAM ポリシー（GET https://storage./storage/v1/b/<var>BUCKET_NAME</var>/iam）を取得し、次のバインディングを bindings 配列に追加して、統合されたポリシーを source_policy.json として保存します。
```
{
"bindings": [
  {
    "role": "roles/storage.legacyBucketReader",
    "members": ["serviceAccount:SERVICE_AGENT_EMAIL"]
  },
  {
    "role": "roles/storage.OBJECT_ROLE",
    "members": ["serviceAccount:SERVICE_AGENT_EMAIL"]
  }
]
}
```
次のように置き換えます。
- SERVICE_AGENT_EMAIL: サービスエージェントのメールアドレス。
- OBJECT_ROLE: ソースオブジェクトを保持する場合は objectViewer、ソースオブジェクトを削除する場合は objectUser、オブジェクト ACL を保持する場合は objectAdmin を選択します。
curl を使用して PUT リクエストを送信します。
```
curl -X PUT --data-binary @source_policy.json \
  -H "Authorization: Bearer OAUTH2_TOKEN" \
  -H "Content-Type: application/json" \
  "https://storage./storage/v1/b/BUCKET_NAME/iam"
```
次のように置き換えます。
- OAUTH2_TOKEN: ステップ 1 で生成された OAuth 2.0 アクセストークン。
- BUCKET_NAME: ソースバケットの名前。

エージェント主導の転送

次の事前定義ロールは、サービスエージェントにソースバケットに対する必要なアクセス権を付与します。

Storage レガシーバケット読み取り（roles/storage.legacyBucketReader）
Storage オブジェクト作成者（roles/storage.objectCreator）

次のロールは、転送エージェントアカウントに転送元バケットに対する必要なアクセス権を付与します。

ソースオブジェクトを保持する場合はStorage オブジェクト閲覧者（roles/storage.objectViewer）、転送後にソースオブジェクトを削除する場合はStorage オブジェクトユーザー（roles/storage.objectUser）。

これらのロールをソースバケットに付与します。

コンソール

Google Cloud コンソールで Cloud Storage の [バケット] ページに移動します。
[バケット] に移動
ソースバケットのバケットオーバーフロー メニュー（）をクリックし、[編集権限] を選択します。
[+ プリンシパルを追加] をクリックします。
[新しいプリンシパル] に、サービスエージェントのメールアドレスを入力します。
[ロールの選択] プルダウンメニューから Storage Legacy Bucket Reader と Storage Object Creator を選択します。
もう一度 [+ プリンシパルを追加] をクリックします。
転送エージェントアカウントのメールアドレスを入力します。これは、転送エージェントのインストール時に使用されるユーザーアカウントまたはサービスアカウントです。たとえば、my-agent-sa@PROJECT_ID. や user@example.com です。
転送元オブジェクトを保持する場合は Storage Object Viewer を選択し、転送後に転送元オブジェクトを削除する場合は Storage Object User を選択します。
[保存] をクリックします。

gcloud

サービスエージェントに、バケットメタデータの読み取りロールと転送ログの書き込みロールを付与します。

gcloud storage buckets add-iam-policy-binding gs://BUCKET_NAME \
    --member=serviceAccount:SERVICE_AGENT_EMAIL --role=roles/storage.legacyBucketReader

gcloud storage buckets add-iam-policy-binding gs://BUCKET_NAME \
    --member=serviceAccount:SERVICE_AGENT_EMAIL --role=roles/storage.objectCreator

転送エージェントアカウントにオブジェクトアクセスロールを付与します。
```
gcloud storage buckets add-iam-policy-binding gs://BUCKET_NAME \
    --member=serviceAccount_OR_user:TRANSFER_AGENT_ACCOUNT --role=roles/storage.OBJECT_ROLE
```
次のように置き換えます。
- BUCKET_NAME: ソースバケットの名前。
- SERVICE_AGENT_EMAIL: サービスエージェントのメールアドレス。
- serviceAccount_OR_user: 転送エージェントアカウントがサービスアカウントの場合は serviceAccount を指定します。エージェントがユーザーアカウントでインストールされている場合は user を指定します。
- TRANSFER_AGENT_ACCOUNT: 転送エージェントをインストールしたアカウントのメールアドレス。例: my-agent-sa@PROJECT_ID.、user@example.com
- OBJECT_ROLE: ソースオブジェクトを保持する場合は objectViewer を指定し、転送後にソースオブジェクトを削除する場合は objectUser を指定します。

REST API

リクエストを認証するためのアクセストークンを生成します。gcloud CLI を使用している場合は、次のコマンドを実行します。
```
gcloud auth print-access-token
```
既存のバケット IAM ポリシー（GET https://storage./storage/v1/b/<var>BUCKET_NAME</var>/iam）を取得し、次のバインディングを bindings 配列に追加して、統合されたポリシーを agent_source_policy.json として保存します。
```
{
  "bindings": [
    {
      "role": "roles/storage.legacyBucketReader",
      "members": ["serviceAccount:SERVICE_AGENT_EMAIL"]
    },
    {
      "role": "roles/storage.objectCreator",
      "members": ["serviceAccount:SERVICE_AGENT_EMAIL"]
    },
    {
      "role": "roles/storage.OBJECT_ROLE",
      "members": ["serviceAccount_OR_user:TRANSFER_AGENT_ACCOUNT"]
    }
  ]
}
```
次のように置き換えます。
- SERVICE_AGENT_EMAIL: サービスエージェントのメールアドレス。
- serviceAccount_OR_user: 転送エージェントアカウントがサービスアカウントの場合は serviceAccount を指定します。エージェントがユーザーアカウントでインストールされている場合は user を指定します。
- TRANSFER_AGENT_ACCOUNT: 転送エージェントをインストールしたアカウントのメールアドレス。例: my-agent-sa@PROJECT_ID.、user@example.com
- OBJECT_ROLE: ソースオブジェクトを保持する場合は objectViewer を指定し、転送後にソースオブジェクトを削除する場合は objectUser を指定します。
curl を使用してバケットポリシーを更新します。
```
curl -X PUT --data-binary @agent_source_policy.json \
    -H "Authorization: Bearer OAUTH2_TOKEN" \
    -H "Content-Type: application/json" \
    "https://storage./storage/v1/b/BUCKET_NAME/iam"
```
次のように置き換えます。
- OAUTH2_TOKEN: ステップ 1 で生成された OAuth 2.0 アクセストークン。
- BUCKET_NAME: ソースバケットの名前。

プロジェクト間の Cloud Storage 転送

異なる Google Cloud プロジェクトの Cloud Storage バケット間でオブジェクトを転送するには、転送元バケットと転送先バケットの両方で、転送を作成するプロジェクトのサービスエージェントに権限を付与する必要があります。

転送を作成するユーザーアカウントまたはユーザー管理のサービスアカウントには、転送ジョブが作成されるプロジェクトに対する権限のみが必要です。

プロジェクト間の転送にロールを付与するには:

転送を実行するプロジェクトのサービスエージェントのメールアドレスを取得します。サービスエージェントのメールアドレスを確認するをご覧ください。
転送元バケットで、そのサービスエージェントに次のロールを付与します。
- Storage レガシーバケット読み取り（roles/storage.legacyBucketReader）
- さらに、次のいずれかのオブジェクトロール:
  - Storage オブジェクト閲覧者（roles/storage.objectViewer）。ソースオブジェクトを保持する場合。
  - Storage オブジェクトユーザー（roles/storage.objectUser）。転送後にソースオブジェクトを削除する場合（deleteObjectsFromSourceAfterTransfer）。
  - ストレージオブジェクト管理者（roles/storage.objectAdmin）: オブジェクト ACL（ACL_PRESERVE）を保持する場合。転送後のソースオブジェクトの削除もサポートします。
転送先バケットで、同じサービスエージェントに次のロールを付与します。
- Storage レガシーバケット読み取り（roles/storage.legacyBucketReader）
- Storage オブジェクトユーザー（roles/storage.objectUser）。オブジェクト ACL（ACL_PRESERVE）を保持する場合は Storage オブジェクト管理者（roles/storage.objectAdmin）。

宛先バケットへのアクセス権を付与する手順ガイドについては、シンクへのアクセスを構成する: Cloud Storage をご覧ください。

組織内アクセス制限

組織に組織のポリシーの制約が適用されている場合は、プロジェクト間のサービスエージェントアクセスが許可されていることを確認します。

ドメイン制限付き共有（constraints/iam.allowedPolicyMemberDomains）: バケットをホストするプロジェクトのポリシーで、サービスエージェントを含むメンバードメインを許可する必要があります。ドメインの制限をご覧ください。
プロジェクト間サービスアカウントの使用の無効化（constraints/iam.disableCrossProjectServiceAccountUsage）: この制約によってプロジェクト間サービスアカウントへのアクセスがブロックされないようにします。サービスアカウントの制限をご覧ください。
VPC Service Controls: バケットが異なるサービス境界に属している場合は、転送通信を許可する上り（内向き）ルールと下り（外向き）ルールを構成します。クラウドオブジェクトストレージ転送用に VPC Service Controls を構成するをご覧ください。

きめ細かい権限のリファレンス

転送タイプを選択して、必要なロールと権限を確認します。

エージェントレス転送

エージェントレス転送の場合、Storage Transfer Service サービスエージェントに権限を付与する必要があります。

権限	説明
`storage.buckets.get`	サービスエージェントにバケットロケーションの取得を許可します。
`storage.objects.list`	サービスエージェントにバケット内のオブジェクトの一覧表示を許可します。
`storage.objects.get`	サービスエージェントにバケット内のオブジェクトの読み取りを許可します。
`storage.objects.delete`	サービスエージェントにバケット内のオブジェクトの削除を許可します。`deleteObjectsFromSourceAfterTransfer` が `true` の場合は必須です。
`storage.objects.getIamPolicy`	ソースオブジェクトの ACL の読み取りを許可します。オブジェクト ACL の保持（`ACL_PRESERVE`）が有効になっている場合は必須。
`storage.folders.list` `storage.folders.get`	フォルダの一覧表示と読み取りを許可します。階層型名前空間が有効になっているバケットから転送する場合に必要です。

エージェント主導の転送

Cloud Storage ソースからのエージェントドリブン転送の場合、権限は次の 2 つのプリンシパルに分割されます。

サービスエージェント: バケットのメタデータとロケーションを解決するためのバケットレベルの読み取りアクセス権と、エージェント転送ログを書き込むためのオブジェクト作成アクセス権が必要です。
転送エージェントアカウント: 転送エージェントの作成に使用されるサービスアカウントまたはユーザーアカウント。

サービスエージェントの権限

権限	説明
`storage.buckets.get`	サービスエージェントにバケットのメタデータとロケーションの検査を許可します。
`storage.objects.create`	Cloud Storage からファイルシステムに転送するときに、サービスエージェントがエージェント転送ログをソースバケットに書き込めるようにします。

転送エージェントアカウントの権限

権限	説明
`storage.objects.list`	エージェントがソースバケット内のオブジェクトを一覧表示できるようにします。
`storage.objects.get`	エージェントがソースバケットからオブジェクトを読み取れるようにします。
`storage.objects.delete`	`deleteObjectsFromSourceAfterTransfer` が有効になっている場合、エージェントがソースオブジェクトを削除できるようにします。
`storage.folders.list` `storage.folders.get`	階層型名前空間が有効になっているバケットから転送するときに、エージェントがフォルダを一覧表示して読み取れるようにします。

次のステップ

宛先へのアクセスを構成する必要があります。

送信元へのアクセスを構成する: Cloud Storage コレクションでコンテンツを整理 必要に応じて、コンテンツの保存と分類を行います。

Google Cloud コンソールでの権限の自動付与

前提条件

サービス エージェントのメールアドレスを確認する

必要な権限を付与する

エージェントレス転送

コンソール

gcloud

REST API

エージェント主導の転送

コンソール

gcloud

REST API

プロジェクト間の Cloud Storage 転送

組織内アクセス制限

きめ細かい権限のリファレンス

エージェントレス転送

エージェント主導の転送

サービス エージェントの権限

転送エージェント アカウントの権限

次のステップ

送信元へのアクセスを構成する: Cloud Storage

サービスエージェントのメールアドレスを確認する

サービスエージェントの権限

転送エージェントアカウントの権限