將服務代理人權限委派給使用者管理的服務帳戶

對於無代理程式傳輸作業，Storage 移轉服務預設會使用服務代理程式，在來源和目的地之間傳輸資料。您會授予服務代理存取 Cloud Storage 值區的權限。

由於專案中的所有轉移作業都使用相同的 Storage 移轉服務服務代理，因此該代理必須具備每個轉移作業涉及的「所有」值區的權限。

您也可以改為將資料夾權限指派給多個使用者自行管理的服務帳戶。這些使用者管理的服務帳戶會獲得特定來源和目標值區的權限，且會受到特定使用者帳戶 (建立或觸發轉移作業的帳戶) 的限制。

範例情境

以下情境說明使用服務代理程式和使用者代管的服務帳戶時，可使用的不同權限選項。

展開各個部分即可查看詳細資料。

導入總覽

實作方式如下：

• 您可以建立使用者管理的服務帳戶，也可以使用現有的服務帳戶。
• 您授予權限：
  • 使用者可存取使用者代管的服務帳戶。
  • 讓服務代理程式從使用者管理的服務帳戶產生存取權杖。
  • 讓使用者自行管理的服務帳戶存取資料夾。
• 使用者建立指定使用者代管服務帳戶的轉移作業。
• Storage 移轉服務會檢查使用者是否具備服務帳戶的正確權限。如果未授予正確的權限，轉移工作就會失敗。
• 服務代理會代表使用者管理的服務帳戶產生 OAuth 權杖。OAuth 權杖可讓 Storage 移轉服務存取轉移作業涉及的值區。
• 執行轉移工作。
• OAuth 權杖的有效期限很短，如果憑證過期時轉移工作仍在進行中，Storage 轉移服務會產生新的憑證，並繼續轉移作業。

設定權限委派

按照操作說明，將服務代理人存取權委派給使用者管理的服務帳戶。

需求條件

• 如要建立新的使用者管理服務帳戶，您必須擁有專案的「建立服務帳戶」(roles/iam.serviceAccountCreator) 角色。
• 如要將使用者和服務代理的存取權授予使用者管理的服務帳戶，您需要在使用者管理的服務帳戶或專案中，擁有「服務帳戶管理員」(roles/iam.serviceAccountAdmin) 角色。

建立或識別使用者代管的服務帳戶

您可以建立新的使用者管理服務帳戶，也可以使用現有帳戶。

• 如要建立使用者管理的服務帳戶，請按照「建立服務帳戶」一文中的操作說明進行。

• 如要使用現有的使用者代管服務帳戶，您需要該帳戶的電子郵件地址，其格式如下：

  SERVICE_ACCOUNT_NAME@PROJECT_ID.iam.gserviceaccount.com

如果服務帳戶位於與轉移工作不同的專案中，請參閱啟用服務帳戶跨專案附加功能。

將存取權授予使用者

授予使用者帳戶存取新使用者自行管理的服務帳戶的權限，並指派「服務帳戶使用者」角色 (roles/iam.serviceAccountUser)。使用者帳戶是用來建立或更新轉移工作時所使用的帳戶。

gcloud iam service-accounts add-iam-policy-binding USER_MANAGED_SERVICE_ACCOUNT_EMAIL \
  --member=PRINCIPAL --role=roles/iam.serviceAccountUser

授予服務代理的存取權

如要讓服務代理程式從使用者管理的服務帳戶產生存取權杖，請授予服務代理程式使用者管理的服務帳戶存取權，並指派服務帳戶憑證建立者角色 (roles/iam.serviceAccountTokenCreator)。

您需要服務專員的電子郵件地址才能授予存取權。如要查看服務專員的電子郵件地址，請按照下列步驟操作：

1. 前往 googleServiceAccounts.get 參考資料頁面。

   系統會開啟名為「試試這個方法」的互動式面板。

2. 在面板的「Request parameters」下方，輸入專案 ID。您在此處指定的專案必須是用於管理 Storage 移轉服務的專案。

3. 按一下 [Execute] (執行)。

   系統會將服務專員的電子郵件地址傳回做為 accountEmail 的值。採用的格式為 project-PROJECT_NUMBER@storage-transfer-service.iam.gserviceaccount.com。

接著，如要將使用者管理的服務帳戶存取權授予服務專員，請按照下列步驟操作：

gcloud iam service-accounts add-iam-policy-binding USER_MANAGED_SERVICE_ACCOUNT_EMAIL \
  --member=serviceAccount:SERVICE_AGENT_EMAIL --role=roles/iam.serviceAccountTokenCreator

將 bucket 權限授予使用者管理的服務帳戶

將 Google 管理的服務代理權限中列出的權限授予使用者管理的服務帳戶，而非服務代理。

使用使用者管理的服務帳戶建立移轉工作

授予正確權限後，您可以在建立新的轉移工作時指定使用者管理的服務帳戶。

POST https://storagetransfer.googleapis.com/v1/transferJobs
{
"description": "A transfer using a user-managed service account for bucket permissions",
"status": "ENABLED",
"projectId": "PROJECT_ID",
"serviceAccount": "projects/-/serviceAccounts/SERVICE_ACCOUNT_NAME@PROJECT_ID.iam.gserviceaccount.com",
"transferSpec": {
    ...
  }
}