向用户代管式服务账号委派服务代理权限

对于无代理传输，Storage Transfer Service 默认使用服务代理在源和目标之间传输数据。您向服务代理授予 Cloud Storage 存储分区的访问权限。

由于项目中的所有转移都使用相同的 Storage Transfer Service 服务代理，因此该代理必须对每项转移涉及的所有存储分区拥有权限。

或者，您也可以改为向多个用户代管式服务账号分配存储桶权限。这些用户代管式服务账号会被授予对特定源存储分区和目标存储分区的权限，并且也仅限于特定用户账号（创建或触发转移作业的账号）。

场景示例

以下场景演示了使用服务代理和用户代管式服务账号的不同权限选项。

展开每个部分即可查看详细信息。

实现概览

实现如下所示：

• 您可以创建用户代管式服务账号，也可以使用现有服务账号。
• 您授予的权限：
  • 允许用户访问用户代管式服务账号。
  • 供服务代理从用户代管式服务账号生成访问令牌。
  • 为用户代管式服务账号授予对您的存储分区的访问权限。
• 用户创建一个转移作业，其中指定了用户代管式服务账号。
• Storage Transfer Service 会检查用户是否对服务账号拥有正确的权限。如果未授予正确的权限，则创建转移作业将失败。
• 服务代理代表用户管理的服务账号生成 OAuth 令牌。借助 OAuth 令牌，Storage Transfer Service 可以访问转移中涉及的存储分区。
• 转移作业会执行。
• OAuth 令牌是短期有效的，会过期。如果令牌在转移作业进行时过期，Storage Transfer Service 会生成新的令牌并继续转移。

设置权限委托

按照相关说明将服务代理的访问权限委托给用户管理的服务账号。

要求

• 如需创建新的用户代管式服务账号，您需要拥有项目的“Create Service Accounts”(roles/iam.serviceAccountCreator) 角色。
• 如需向用户和服务代理授予对用户管理的服务账号的访问权限，您需要拥有用户代管式服务账号或项目的 Service Account Admin (roles/iam.serviceAccountAdmin) 角色。

创建或指定用户代管式服务账号

您可以创建新的用户代管式服务账号，也可以使用现有服务账号。

• 如需创建用户代管式服务账号，请按照创建服务账号中的说明操作。

• 如需使用现有的用户代管式服务账号，您需要其电子邮件地址，该地址采用以下格式：

  SERVICE_ACCOUNT_NAME@PROJECT_ID.iam.gserviceaccount.com

如果服务账号与转移作业位于不同的项目中，请参阅允许跨项目关联服务账号。

向用户授予访问权限

向用户账号授予对新用户代管式服务账号的访问权限，并分配 Service Account User 角色 (roles/iam.serviceAccountUser)。用户账号是用于创建或更新转移作业的账号。

gcloud iam service-accounts add-iam-policy-binding USER_MANAGED_SERVICE_ACCOUNT_EMAIL \
  --member=PRINCIPAL --role=roles/iam.serviceAccountUser

向服务代理授予访问权限

如需让服务代理能够从用户代管式服务账号生成访问令牌，请向服务代理授予对用户代管式服务账号的访问权限，并分配 Service Account Token Creator 角色 (roles/iam.serviceAccountTokenCreator)。

您需要知道服务代理的电子邮件地址才能授予访问权限。如需查找服务代理的电子邮件地址，请执行以下操作：

1. 前往 googleServiceAccounts.get 参考页面。

   系统会打开标题为试用此方法的交互式面板。

2. 在该面板的请求参数下，输入您的项目 ID。您在此处指定的项目必须是您用于管理 Storage Transfer Service 的项目。

3. 点击执行。

   服务代理的电子邮件地址会作为 accountEmail 的值返回。其格式为 project-PROJECT_NUMBER@storage-transfer-service.iam.gserviceaccount.com。

然后，如需向服务代理授予对用户代管式服务账号的访问权限，请执行以下操作：

gcloud iam service-accounts add-iam-policy-binding USER_MANAGED_SERVICE_ACCOUNT_EMAIL \
  --member=serviceAccount:SERVICE_AGENT_EMAIL --role=roles/iam.serviceAccountTokenCreator

向用户代管式服务账号授予存储桶权限

向用户代管式服务账号（而非服务代理）授予Google 代管式服务代理权限中列出的权限。

使用用户代管式服务账号创建转移作业

授予正确的权限后，您可以在创建新的转移作业时指定用户管理的服务账号。

POST https://storagetransfer.googleapis.com/v1/transferJobs
{
"description": "A transfer using a user-managed service account for bucket permissions",
"status": "ENABLED",
"projectId": "PROJECT_ID",
"serviceAccount": "projects/-/serviceAccounts/SERVICE_ACCOUNT_NAME@PROJECT_ID.iam.gserviceaccount.com",
"transferSpec": {
    ...
  }
}