Cloud Storage へのカスタムイメージのエクスポート

Linux VM Windows VM

Compute Engine ブートディスクのデータを Compute Engine プロジェクトの外部に移動する必要がある場合は、ブートディスクイメージを tar.gz ファイルとして Cloud Storage にエクスポートできます。Compute Engine で新しい永続ディスクを作成するときに使用する永続ディスクイメージを作成する必要がある場合は、カスタムイメージを作成するをご覧ください。

Cloud Storage にイメージをエクスポートすることで、カスタムイメージのバックアップや共有が可能になります。この方法は、イメージにアクセスできないプロジェクトと個々のイメージを共有する場合に最適です。また、イメージまたはイメージを含むプロジェクトに Compute Engine イメージユーザーロールを付与することで、イメージを共有することもできます。

次の図は、カスタムイメージの作成と再利用の一般的なワークフローを示しています。

始める前に

このガイドのコマンドラインの例を使用する場合、以下を行ってください。
1. gcloud コマンドラインツールの最新バージョンをインストールするか、最新バージョンに更新します。
2. デフォルトのリージョンとゾーンを設定します。
このガイドの API の例を使用する場合、API アクセスを設定します。
イメージのページを参照してください。
イメージのエクスポート元のプロジェクトに信頼できるイメージのポリシーが定義されている場合は、パブリッシャーの許可リストに projects/compute-image-tools を追加します。

Cloud Build API を有効にする

イメージエクスポートツールでは Cloud Build を使用します。

ほとんどの場合、gcloud compute images export はこれらの権限を Cloud Build サービスアカウントに付与しようとします。ただし、これらの権限を手動で付与して、必要な権限が有効になるようにすることもできます。

Console

Google Cloud Console で Cloud Build API を有効にします。
Cloud Build API を有効にする

Console から Cloud Build API を有効にすると、Compute Engine は Cloud Build サービスアカウントに次のロールを付与し、Cloud Build サービスが Compute Engine からインスタンスをエクスポートできるようにします。
- roles/iam.serviceAccountTokenCreator
- roles/compute.admin
- roles/iam.serviceAccountUser
エクスポートツールでは、デフォルトの Compute Engine サービスアカウントも使用されます。デフォルトで、Compute Engine サービスアカウントには IAM プロジェクト編集者のロールが付与されています。このロールを削除すると、エクスポートプロセスが失敗することがあります。ロールをサービスアカウントに再び追加するには、アクセス権の付与をご覧ください。Compute Engine のデフォルトのサービスアカウントについて詳しくは、Compute Engine のデフォルトのサービスアカウントをご覧ください。

gcloud

gcloud コマンドラインツールを使用して Cloud Build サービスを設定する手順は次のとおりです。

gcloud コマンドラインツールを使用して、Cloud Build を有効にします。
```
gcloud services enable cloudbuild.googleapis.com
```
エクスポートツールでは、デフォルトの Compute Engine サービスアカウントも使用されます。デフォルトで、Compute Engine サービスアカウントには IAM プロジェクト編集者のロールが付与されています。このロールを削除すると、エクスポートプロセスが失敗することがあります。ロールをサービスアカウントに再び追加するには、アクセス権の付与をご覧ください。Compute Engine のデフォルトのサービスアカウントについて詳しくは、Compute Engine のデフォルトのサービスアカウントをご覧ください。

Cloud Build API のサービスアカウントに compute.admin 役割を追加します。

gcloud projects add-iam-policy-binding PROJECT_ID \
   --member serviceAccount:PROJECT_NUM@cloudbuild.gserviceaccount.com \
   --role roles/compute.admin

Cloud Build API のサービスアカウントに iam.serviceAccountUser 役割を追加します。

gcloud projects add-iam-policy-binding PROJECT_ID \
   --member serviceAccount:PROJECT_NUM@cloudbuild.gserviceaccount.com \
   --role roles/iam.serviceAccountUser

Cloud Build API のサービスアカウントに iam.serviceAccountTokenCreator 役割を追加します。
```
gcloud projects add-iam-policy-binding PROJECT_ID \
   --member serviceAccount:PROJECT_NUM@cloudbuild.gserviceaccount.com \
   --role roles/iam.serviceAccountTokenCreator
```
以下を置き換えます。
- PROJECT_ID: プロジェクトのプロジェクト ID。
- PROJECT_NUM: プロジェクトのプロジェクト番号

制限事項

VPC Service Controls で保護されているプロジェクトの場合、手動メソッドのみがサポートされます。

1 つのコマンドでのイメージのエクスポート

仮想ディスクは、Google Cloud Console または gcloud コマンドラインツールのいずれかを使用するか、Cloud Build API を使用してエクスポートできます。

Console

Google Cloud Console で、[イメージ] ページに移動します。

[イメージ] に移動
エクスポートするイメージの名前をクリックして、詳細ページに移動します。Google が提供する公開イメージはエクスポートできません。エクスポートできるのは、以前に作成またはインポートしたイメージのみです。
イメージの詳細ページで [エクスポート] をクリックし、[イメージのエクスポート] ページを開きます。
[イメージのエクスポート] ページで、イメージの [エクスポート形式] を選択します。
[参照] をクリックして、イメージをエクスポートする Cloud Storage の場所を選択します。
既存の Cloud Storage の場所を選択して、イメージをエクスポートします。または、指示に従って新しい Cloud Storage バケットを作成し、新しい Cloud Storage バケットの名前を入力します。
Cloud Storage を選択したら、エクスポートしたイメージのファイル名を選択します。デフォルトのファイル名を使用することも、独自のファイル名を使用することもできます。
Cloud Storage を選択し、イメージのファイル名を入力したら、[選択] をクリックします。
[イメージのエクスポート] ページで [エクスポート] をクリックします。[エクスポート] を選択すると、Cloud Console にイメージエクスポートの履歴が表示され、イメージのエクスポートプロセスを確認できます。イメージエクスポートプロセスの詳細を確認するには、[Cloud Build ID] をクリックして [イメージのエクスポートの詳細] ページに移動すると、イメージエクスポートログを表示、ダウンロードできます。
[ストレージ] ページに移動して、エクスポートしたイメージにアクセスします。

[ストレージ] に移動

gcloud

イメージを Cloud Storage にエクスポートするには、gcloud compute images export コマンドを使用することをおすすめします。このコマンドでは、Daisy を使用して、イメージをエクスポートするために必要な複数のステップが連結されています。これは gcloud compute images create コマンドを使用するなどして、すでにイメージを作成していることが前提です。

gcloud コマンドラインツールを使用して、次のコマンドを実行します。

gcloud compute images export \
    --destination-uri DESTINATION_URI \
    --image IMAGE_NAME

以下を置き換えます。

DESTINATION_URI: エクスポートされる仮想ディスクファイルの Cloud Storage URI の宛先。
IMAGE_NAME: エクスポートするディスクイメージの名前。

例

たとえば、次のコマンドでは、my-image という名前のイメージが my-project から my-bucket という名前の Cloud Storage バケットにエクスポートされます。デフォルトでは、イメージは disk.raw ファイルとしてエクスポートされ、tar.gz ファイル形式に圧縮されます。

gcloud compute images export \
    --destination-uri gs://my-bucket/my-image.tar.gz \
    --image my-image \
    --project my-project

フラグについては、gcloud compute images export リファレンスドキュメントをご覧ください。

API

API で、Cloud Build API に対する POST リクエストを作成します。

注: timeout の値は 2 つ必要です。これらのデフォルト値は、次のサンプルリクエストに示されています。デフォルト値は、ほとんどのシナリオで機能します。ただし、これらの値を調整する必要がある場合は、Cloud Build のタイムアウトが、引数（args）セクションで指定されたタイムアウト値より少なくとも 3% 大きいことを確認してください。

POST https://cloudbuild.googleapis.com/v1/projects/PROJECT_ID/builds
{
  "timeout": "7200s",
  "steps":[
    {
      "args":[
        "-timeout=7000s",
        "-source_image=SOURCE_IMAGE",
        "-client_id=api",
        "-format=IMAGE_FORMAT",
        "-destination_uri=DESTINATION_URI"
      ],
      "name":"gcr.io/compute-image-tools/gce_vm_image_export:release",
      "env":[
        "BUILD_ID=$BUILD_ID"
      ]
    }
  ],
  "tags":[
    "gce-daisy",
    "gce-daisy-image-export"
  ]
}

以下を置き換えます。

PROJECT_ID: エクスポートするイメージを含むプロジェクトのプロジェクト ID。
SOURCE_IMAGE: エクスポートするイメージの名前。
IMAGE_FORMAT: エクスポートするイメージの形式。有効な形式は、vmdk、vhdx、vpc、vdi、qcow2 です。
DESTINATION_URI: 仮想ディスクファイルのエクスポート先となる Cloud Storage URI の場所。例: gs://my-bucket/my-exported-image.vmdk。

提供できる追加の args 値については、VM イメージのエクスポートに関する GitHub のページのオプションのフラグセクションを参照してください。

レスポンスの例

次のレスポンスのサンプルは、返される出力に似ています。

{
"name": "operations/build/myproject-12345/operation-1578608233418",
"metadata": {
 "@type": "type.googleapis.com/google.devtools.cloudbuild.v1.BuildOperationMetadata",
 "build": {
  "id": "3a2055bc-ccbd-4101-9434-d376b88b8940",
  "status": "QUEUED",
  "createTime": "2019-10-02T18:59:13.393492020Z",
  "steps": [
   {
    "name": "gcr.io/compute-image-tools/gce_vm_image_export:release",
    "env": [
     "BUILD_ID=3a2055bc-ccbd-4101-9434-d376b88b8940"
    ],
    "args": [
     "-timeout=7056s",
     "-source_image=my-image",
     "-client_id=api",
     "-format=vmdk",
     "-destination_uri=gs://my-bucket/my-exported-image.vmdk"
    ]
   }
  ],
  "timeout": "7200s",
  "projectId": "myproject-12345",
  "logsBucket": "gs://123456.cloudbuild-logs.googleusercontent.com",
  "options": {
   "logging": "LEGACY"
  },
  "logUrl": "https://console.cloud.google.com/gcr/builds/3a2055bc-ccbd-4101-9434-d376b88b8940?project=123456"
 }
 }

ビルドをモニタリングする方法はいくつかあります。

返される build-id を使用して、projects.builds.get リクエストを実行します。
指定された logUrl でホストされているログを確認します。

カスタム Compute Engine サービスアカウントを使用してプロジェクトからイメージをエクスポートする

イメージのエクスポート中に、一時的な仮想マシン（VM）インスタンスがプロジェクトに作成されます。この一時 VM 上のイメージエクスポートツールを認証する必要があります。

サービスアカウントは VM に関連付けられている ID です。サービスアカウントのアクセストークンは、インスタンスメタデータサーバーからアクセスでき、VM 上のイメージエクスポートツールの認証に使用できます。

デフォルトでは、エクスポートプロセスには、プロジェクトのデフォルトの Compute Engine System サービスアカウントが使用されます。ただし、プロジェクトでデフォルトの Compute Engine サービスアカウントが無効になっている場合や、カスタム Compute Engine サービスアカウントを使用する場合は、サービスアカウントを作成してエクスポートプロセスで指定する必要があります。

gcloud

サービスアカウントを作成して最小限のロールを割り当てます。サービスアカウントの作成に関する詳細については、サービスアカウントの作成と管理をご覧ください。

少なくとも、指定した Compute Engine サービスアカウントには次のロールが割り当てられている必要があります。
- roles/compute.storageAdmin
- roles/storage.objectAdmin
gcloud compute images export コマンドを使用してイメージをエクスポートします。
```
gcloud compute images export \
    --destination-uri DESTINATION_URI \
    --image IMAGE_NAME \
    --service-account SERVICE_ACCOUNT_EMAIL
```
以下を置き換えます。
- DESTINATION_URI: エクスポートされる仮想ディスクファイルの Cloud Storage URI の宛先。
- IMAGE_NAME: エクスポートするディスクイメージの名前。
- SERVICE_ACCOUNT_EMAIL: 前のステップで作成した Compute Engine サービスアカウントに関連付けられているメールアドレス。

例

たとえば、次のコマンドは、my-image という名前のイメージを my-project から my-bucket という名前の Cloud Storage バケットに、メールアドレス image-export-service-account@proj-12345.iam.gserviceaccount.com を持つサービスアカウントでエクスポートします。デフォルトでは、イメージは disk.raw ファイルとしてエクスポートされ、tar.gz ファイル形式に圧縮されます。

gcloud compute images export \
    --destination-uri gs://my-bucket/my-image.tar.gz \
    --image my-image \
    --project my-project \
    --service-account image-export-service-account@proj-12345.iam.gserviceaccount.com

フラグについては、gcloud compute images export リファレンスドキュメントをご覧ください。

API

サービスアカウントを作成して最小限のロールを割り当てます。サービスアカウントの作成に関する詳細については、サービスアカウントの作成と管理をご覧ください。

少なくとも、指定した Compute Engine サービスアカウントには次のロールが割り当てられている必要があります。
- roles/compute.storageAdmin
- roles/storage.objectAdmin
API で、Cloud Build API に対する POST リクエストを作成します。

注: timeout の値は 2 つ必要です。これらのデフォルト値は、次のサンプルリクエストに示されています。デフォルト値は、ほとんどのシナリオで機能します。ただし、これらの値を調整する必要がある場合は、Cloud Build のタイムアウトが、引数（args）セクションで指定されたタイムアウト値より少なくとも 3% 大きいことを確認してください。
```
POST https://cloudbuild.googleapis.com/v1/projects/PROJECT_ID/builds
{
  "timeout": "7200s",
  "steps":[
    {
      "args":[
        "-timeout=7000s",
        "-source_image=SOURCE_IMAGE",
        "-client_id=api",
        "-format=IMAGE_FORMAT",
        "-destination_uri=DESTINATION_URI",
        "-compute_service_account=SERVICE_ACCOUNT_EMAIL"
      ],
      "name":"gcr.io/compute-image-tools/gce_vm_image_export:release",
      "env":[
        "BUILD_ID=$BUILD_ID"
      ]
    }
  ],
  "tags":[
    "gce-daisy",
    "gce-daisy-image-export"
  ]
}
```
以下を置き換えます。
- PROJECT_ID: エクスポートするイメージを含むプロジェクトのプロジェクト ID。
- SOURCE_IMAGE: エクスポートするイメージの名前。
- IMAGE_FORMAT: エクスポートするイメージの形式。有効な形式は、vmdk、vhdx、vpc、vdi、qcow2 です。
- DESTINATION_URI: 仮想ディスクファイルのエクスポート先となる Cloud Storage URI の場所。例: gs://my-bucket/my-exported-image.vmdk。
- SERVICE_ACCOUNT_EMAIL: 前のステップで作成した Compute Engine サービスアカウントに関連付けられているメールアドレス。

提供できる追加の args 値については、VM イメージのエクスポートに関する GitHub のページのオプションのフラグセクションを参照してください。

手動でのイメージの作成およびエクスポート

gcloud compute images create および gcloud compute images export コマンドでは要件が満たされない場合は、手動でイメージを作成して Compute Engine インスタンスからエクスポートできます。この処理は、最初にイメージを作成し、次にイメージをエクスポートする別々のステップです。

次の例では、作成されるディスクの名前は image-disk です。

イメージを作成およびエクスポートするには:

必要に応じて、スナップショットを作成する前に、ディスクがアタッチされているインスタンスを停止します。インスタンスを停止すると、スナップショット内のディスクコンテンツの整合性が確保されます。DISK_NAME は、スナップショットの作成に使用するディスクの名前に置き換えます。
ディスクのスナップショットを作成します。スナップショットに image-snapshot という名前を付けます。
```
gcloud compute disks snapshot DISK_NAME \
    --snapshot-names image-snapshot
```
image-snapshot スナップショットを使用して image-disk という名前の新しいディスクを作成するには、次のコマンドを実行します。
```
gcloud compute disks create image-disk \
    --source-snapshot image-snapshot
```
tar ファイルを保持する temporary-disk という名前の一時ディスクを作成し、ディスクの SIZE をイメージディスクより 50% 以上大きく指定します。

後でディスクを接続解除および削除できます。
```
gcloud compute disks create temporary-disk \
    --size SIZE
```
ここで、SIZE は一時ディスクのサイズ（ギガバイト単位またはテラバイト単位）です。たとえば、100 GB のディスクを作成するには 100GB を指定します。
インスタンスを作成し、そのインスタンスで storage-rw スコープを有効にします。また、image-disk と temporary-disk を、特定の device-name 属性を持つセカンダリディスクとしてインスタンスに接続します。VM_NAME は、作成するインスタンスの名前に置き換えます。
```
gcloud compute instances create VM_NAME \
    --scopes storage-rw \
    --disk name=image-disk,device-name=image-disk \
    --disk name=temporary-disk,device-name=temporary-disk
```
後の手順で Google Cloud Storage にファイルをアップロードできるように、サービスアカウントスコープを渡していることに注意してください。

必要に応じて、新規インスタンスの起動の詳細を確認します。
インスタンスに接続する。VM_NAME は、接続するインスタンスの名前に置き換えます。
```
gcloud compute ssh VM_NAME
```
一時ディスクをフォーマットし、マウントします。ディスクをフォーマットすると、一時ディスクのコンテンツが削除されます。
```
sudo mkdir /mnt/tmp
```
```
sudo mkfs.ext4 -F /dev/disk/by-id/google-temporary-disk
```
```
sudo mount -o discard,defaults /dev/disk/by-id/google-temporary-disk /mnt/tmp
```
必要に応じて、イメージディスクをマウントし、tar ファイルを作成する前に追加の変更を加えることができます。たとえば、既存のファイルをイメージの一部としない場合は、それらのファイルを /home ディレクトリから削除します。変更する必要のあるディスクパーティションをマウントし、変更する必要のあるディスク上のファイルを変更して、完了したらディスクをマウント解除します。
1. ディスクまたはパーティションをマウントできるディレクトリを作成します。
```
sudo mkdir /mnt/image-disk
```
2. ls コマンドを使用して、マウントする必要のあるディスクまたはディスクパーティションを判別します。
```
ls /dev/disk/by-id/
```
  コマンドでは、ディスク ID とパーティションのリストが出力されます。たとえば、次のディスクには 1 つのパーティションがあるパーティションテーブルがあります。google-image-disk ID は、イメージの作成元の完全なディスクを指します。google-image-disk-part1 ID は、このディスク上の最初のパーティションを指します。ディスクに変更を加える必要がある場合はパーティションをマウントし、完全なディスクからイメージを作成します。
```
google-image-disk
google-image-disk-part1
```
3. ディスクまたはパーティションをマウントします。ディスクにパーティションテーブルがある場合は、ディスクの個々のパーティションをマウントします。たとえば、google-image-disk-part1 をマウントします。
```
sudo mount /dev/disk/by-id/google-image-disk-part1 /mnt/image-disk
```
  または、ディスクが未加工形式でパーティションテーブルがない場合は、完全な google-image-disk ディスクをマウントします。
```
sudo mount /dev/disk/by-id/google-image-disk /mnt/image-disk
```
4. /mnt/image-disk ディレクトリ内のファイルを変更し、ディスク上のファイルを構成します。たとえば、/mnt/image-disk/home/[USER]/.ssh/authorized_keys ファイルを削除して、SSH 認証鍵が共有されないよう保護できます。
5. ファイルの変更後に、ディスクをマウント解除します。
```
sudo umount /mnt/image-disk/
```
イメージの tar ファイルを作成します。

イメージディスク上のファイルのカスタマイズが完了したら、一時ディスクに未加工ディスクファイルを作成します。未加工ディスクイメージの名前は「disk.raw」である必要があります。
```
 sudo dd if=/dev/disk/by-id/google-image-disk of=/mnt/tmp/disk.raw bs=4096
```
次に、このファイルに対して tar および gzip を実行します。
```
cd /mnt/tmp
```
```
sudo tar czvf myimage.tar.gz disk.raw
```
このコマンドにより、次の場所にインスタンスのイメージが作成されます。
```
/mnt/tmp/myimage.tar.gz
```
イメージを Cloud Storage にアップロードします。

tar ファイルを Cloud Storage にアップロードするには、インスタンスにプリインストールされている gsutil コマンドラインツールを使用します。
1. gsutil を使用してバケットを作成します。
  
  バケットを作成する前に、バケットと命名のガイドラインを確認します。確認したら、次のコマンドを使用してバケットを作成します。BUCKET_NAME は、作成するバケットの名前に置き換えます。
```
me@example-instance:~$ 
gsutil mb gs://BUCKET_NAME
```
2. ファイルを新しいバケットにコピーします。BUCKET_NAME は、ファイルをコピーするバケットの名前に置き換えます。
```
me@example-instance:~$ 
gsutil cp /mnt/tmp/myimage.tar.gz gs://BUCKET_NAME
```

ファイルが Cloud Storage にエクスポートされました。イメージを他の人と共有したり、tar ファイルを使用して Google Cloud Console プロジェクトに新規イメージを追加したりできます。

次のステップ

イメージユーザーのロールを使用してイメージを共有する。
Compute Engine で使用できるインポート方法を学習します。

Cloud Storage へのカスタム イメージのエクスポート

始める前に

Cloud Build API を有効にする

Console

gcloud

制限事項

1 つのコマンドでのイメージのエクスポート

Console

gcloud

API

カスタム Compute Engine サービス アカウントを使用してプロジェクトからイメージをエクスポートする

gcloud

API

手動でのイメージの作成およびエクスポート

次のステップ

Cloud Storage へのカスタムイメージのエクスポート

カスタム Compute Engine サービスアカウントを使用してプロジェクトからイメージをエクスポートする