Storage 移轉服務使用身分與存取權管理 (IAM) 權限和角色,控制可以存取 Storage 移轉服務資源的人員。Storage 移轉服務中提供的主要資源類型為工作、作業和代理程式集區。在 IAM 政策階層中,工作為專案的子項資源,而作業是工作的子項資源。
如要授予資源的存取權,請將一或多個權限或角色指派給使用者、群組或服務帳戶。
權限
您可以授予下列 Storage 移轉服務權限:
轉移專案權限
權限 | 說明 |
---|---|
storagetransfer.projects.getServiceAccount |
可以讀取 Storage 移轉服務用來存取 Cloud Storage 值區的 GoogleServiceAccount。 |
轉移工作權限
下表說明 Storage 移轉服務工作所需的權限:
權限 | 說明 |
---|---|
storagetransfer.jobs.create |
可以建立新的轉移工作。 |
storagetransfer.jobs.delete |
可以刪除現有的移轉工作。 藉由呼叫 patch 函式,刪除移轉工作。然而,使用者在刪除工作時必須擁有此權限,才能避免權限錯誤。 |
storagetransfer.jobs.get |
可擷取特定工作。 |
storagetransfer.jobs.list |
可以列出所有移轉工作。 |
storagetransfer.jobs.run |
可執行所有移轉工作。 |
storagetransfer.jobs.update |
可以更新移轉工作設定而不刪除這些設定。 |
轉移作業權限
下表說明 Storage 移轉服務作業的權限:
權限 | 說明 |
---|---|
storagetransfer.operations.assign |
轉移代理程式用來指派作業。 |
storagetransfer.operations.cancel |
可以取消移轉作業。 |
storagetransfer.operations.get |
可以取得移轉作業的詳細資料。 |
storagetransfer.operations.list |
可以列出所有移轉工作作業。 |
storagetransfer.operations.pause |
可以暫停移轉作業。 |
storagetransfer.operations.report |
移轉代理程式用於回報作業狀態。 |
storagetransfer.operations.resume |
可以繼續先前暫停的移轉作業。 |
轉移代理程式集區權限
下表說明檔案系統轉移代理程式資源池的權限:
權限 | 說明 |
---|---|
storagetransfer.agentpools.create |
可以建立代理程式集區。 |
storagetransfer.agentpools.update |
可以更新代理集區。 |
storagetransfer.agentpools.delete |
可刪除服務專員集區。 |
storagetransfer.agentpools.get |
可取得特定服務專員集區的資訊。 |
storagetransfer.agentpools.list |
可列出專案中所有代理程式集區的資訊。 |
storagetransfer.agentpools.report |
轉移代理程式用於回報狀態。 |
預先定義的角色
本節將說明 Storage 移轉服務的預先定義角色。設定 IAM 權限時,建議使用角色。
角色比較
您可以指派下列專案角色或 Storage 移轉服務預先定義角色:
功能 | 編輯器 (roles/editor ) |
Storage Transfer (roles/storagetransfer. )
|
||
---|---|---|---|---|
管理員 (admin ) |
使用者 (user ) |
檢視者 (viewer ) |
||
列出/取得工作 | ||||
建立工作 | ||||
執行工作 | ||||
更新工作 | ||||
刪除工作 | ||||
列出/取得移轉作業 | ||||
暫停/繼續移轉作業 | ||||
請參閱 Storage 移轉服務所使用的 Google 服務帳戶詳細資料,存取 Cloud Storage 值區。 | ||||
列出代理程式集區 | ||||
建立代理程式集區 | ||||
更新代理程式集區 | ||||
刪除代理集區 | ||||
取得代理程式集區 | ||||
讀取或設定專案頻寬 |
角色詳細資料
下表將詳細說明 Storage 移轉服務的預先定義角色:
角色 | 說明 | 包含的權限 |
---|---|---|
儲存空間轉移管理員 ( roles/storagetransfer. )
|
提供所有 Storage 移轉服務權限,包括刪除工作。 說明:這是具備最大職權的最高階角色,是支援同事執行移轉作業的超級使用者。此角色最適合負責管理移轉的人員,例如 IT 管理員。 |
|
Storage 移轉使用者 ( roles/storagetransfer. )
|
提供使用者所需權限,以建立、取得、更新和列出專案中的工作。不過,使用者無法刪除自己的工作。 說明:這個角色可區隔建立和維護作業以及刪除工作。這個角色最適合負責執行移轉的使用者,例如員工。此角色不允許刪除移轉,因為稽核人員或安全性人員可以檢視完整保存的歷史移轉記錄。 |
|
Storage Transfer Viewer ( roles/storagetransfer. )
|
提供可列出及取得專案內工作和轉移作業的權限。使用者無法排程、更新或刪除工作。 說明:檢視者的角色專為唯讀存取設立,只可檢視移轉工作和作業。這個角色可區隔報告和稽核工作,以及建立和維護工作。此角色最適合讓使用者或內部小組稽核移轉使用量,例如安全性、法規遵循或業務單位主管。 |
|
儲存空間傳輸代理程式 (roles/storagetransfer.transferAgent )
|
可授予轉移代理程式完成轉移作業所需的 Storage 移轉服務權限。 自 2024 年 5 月 1 日起,您將不再需要使用 `pubsub` 權限。 將這個角色授予服務帳戶或使用者,以便服務帳戶或使用者使用服務帳戶。 |
|
Storage 移轉服務代理程式 (roles/storagetransfer.serviceAgent )
|
授予 Storage 移轉服務服務代理建立及修改 Pub/Sub 主題的必要權限,以便從 Google Cloud 傳輸代理程式通訊。 將這個角色授予 Storage 移轉服務服務代理。 |
|
自訂角色
您可以建立並套用自訂 IAM 角色,以符合貴機構的存取權需求。
建立自訂角色時,建議您同時使用預先定義的角色,確保能同時納入正確的權限。
如果自訂角色缺乏必要權限, Google Cloud 主控台將無法正常運作。舉例來說, Google Cloud 控制台的某些部分會假設角色具備讀取權限,可在編輯項目前先顯示該項目,因此只有寫入權限的角色可能會遇到 Google Cloud 控制台畫面無法運作的狀況。