VM イメージのインポートとエクスポートの前提条件

Linux Windows

このドキュメントでは、Compute Engine でイメージをインポートおよびエクスポートするための前提条件について説明します。

Cloud Storage からイメージをインポートまたはエクスポートすることで、他のクラウド環境またはオンプレミス環境から仮想マシン（VM）インスタンス、仮想ディスクファイル、マシンイメージを共有できます。次のチェックリストは、イメージをインポートまたはエクスポートする際の前提条件をまとめたものです。

Cloud Storage バケットへのアクセスを設定する
必要なロールをユーザーアカウントに付与する
必要なロールを Cloud Build サービスアカウントに付与する
必要なロールを Compute Engine サービスアカウントに付与する

始める前に

まだ設定していない場合は、認証を設定します。認証とは、Google Cloud サービスと API にアクセスするために ID を確認するプロセスです。ローカル開発環境からコードまたはサンプルを実行するには、次のように Compute Engine に対する認証を行います。

Select the tab for how you plan to use the samples on this page:
Console

When you use the Google Cloud console to access Google Cloud services and APIs, you don't need to set up authentication.
gcloud
1. Install the Google Cloud CLI, then initialize it by running the following command:
  gcloud init
  Note: If you installed the gcloud CLI previously, make sure you have the latest version by running gcloud components update.
2. Set a default region and zone.

Cloud Storage バケットへのアクセスを設定する

インポートツールまたはエクスポートツールで使用できる Cloud Storage バケットにアクセスできる必要があります。Cloud Storage バケットがない場合は、Cloud Storage バケットの作成をご覧ください。

Cloud Storage バケットへのアクセスを設定するには、必要なロールをアカウントに付与すると Compute Engine サービスアカウントをご覧ください。

イメージをエクスポートすると、エクスポートツールによって Cloud Storage バケットにイメージがアップロードされます。
イメージをインポートする場合は、最初にイメージを Cloud Storage バケットにアップロードする必要があります。インポートツールは、Cloud Storage バケットから Compute Engine にファイルをダウンロードし、そのディスクファイルから Compute Engine にイメージを作成します。

必要な IAM ロールを付与する

VM イメージのインポートツールとエクスポートツールには、ユーザーに代わって処理を実行するため、以下のアカウントが必要になります。

ユーザーアカウント。インポートコマンドとエクスポートコマンドを実行するアカウント。
Cloud Build サービスアカウント。デフォルトの Cloud Build サービスアカウントは、インポートツールまたはエクスポートツールで Cloud Build API を有効にするときに作成されます。
Compute Engine サービスアカウント。インポートとエクスポートのワークフローに必要なデフォルトまたはカスタムの Compute Engine サービスアカウント。

必要なロールをユーザーアカウントに付与する

イメージをインポートまたはエクスポートするには、ユーザーアカウントに次のロールが必要です。

ストレージ管理者のロール（roles/storage.admin）
閲覧者のロール（roles/viewer）
プロジェクト IAM 管理者のロール（roles/resourcemanager.projectIamAdmin）
Cloud Build 編集者のロール（roles/cloudbuild.builds.editor）

コンソール

プロジェクトまたは組織の [IAM と管理] ページに移動します。

[IAM と管理] に移動
アカウントを見つけて、[ 編集] をクリックします。
[ロールを選択] リストで、次のロールを選択します。
- Cloud Storage > ストレージ管理者
- プロジェクト > 閲覧者
- Resource Manager > プロジェクト IAM 管理者
- Cloud Build > Cloud Build 編集者
変更を保存します。

gcloud

次の手順では、gcloud projects add-iam-policy-binding コマンドを使用して、プロジェクトレベルで必要なロールを付与します。

roles/storage.admin ロールを付与します。
```
gcloud projects add-iam-policy-binding PROJECT_ID \
  --member='MEMBER' \
  --role='roles/storage.admin'
```
次のように置き換えます。
- PROJECT_ID: プロジェクトの Google Cloud プロジェクト ID。
- MEMBER: インポートとエクスポートコマンドを実行するアカウント（例: user:export-user@gmail.com）

roles/viewer ロールを付与します。

gcloud projects add-iam-policy-binding PROJECT_ID \
  --member='MEMBER' \
  --role='roles/viewer'

roles/resourcemanager.projectIamAdmin ロールを付与します。

gcloud projects add-iam-policy-binding PROJECT_ID \
  --member='MEMBER' \
  --role='roles/resourcemanager.projectIamAdmin'

roles/cloudbuild.builds.editor ロールを付与します。

gcloud projects add-iam-policy-binding PROJECT_ID \
  --member='MEMBER' \
  --role='roles/cloudbuild.builds.editor'

REST

リソースの getIamPolicy メソッドを使用して、既存のポリシーを読み取ります。プロジェクトの場合は、projects.getIamPolicy メソッドを使用します。
```
POST https://cloudresourcemanager.googleapis.com/v1/projects/PROJECT_ID:getIamPolicy
```
PROJECT_ID は、プロジェクト ID に置き換えます（例: my-project-1）。

アカウントに必要なロールを付与するには、テキストエディタでポリシーを編集します。

たとえば、必要なロールをアカウント user:export-user@gmail.com に付与するには、次のバインディングをポリシーに追加します。

{
   {
     "role":"roles/storage.admin",
     "member":[
       "user:export-user@gmail.com"
     ]
   }
   {
     "roles":"roles/viewer",
     "member":[
       "user:export-user@gmail.com"
     ]
   }
   {
     "roles":"roles/resourcemanager.projectIamAdmin",
     "member":[
       "user:export-user@gmail.com"
     ]
   }
   {
     "roles":"roles/cloudbuild.builds.editor",
     "member":[
       "user:export-user@gmail.com"
     ]
   }
}

更新されたポリシーを書き込むには、setIamPolicy メソッドを使用します。

たとえば、ポリシーをプロジェクトレベルで設定するには、project.setIamPolicy メソッドを使用します。リクエストの本文で、前のステップで更新した IAM ポリシーを指定します。
```
POST https://cloudresourcemanager.googleapis.com/v1/projects/PROJECT_ID:setIamPolicy
```

必要なロールを Cloud Build サービスアカウントに付与する

Google Cloud コンソールまたは gcloud CLI を使用して初めてイメージをインポートまたはエクスポートするときに、ツールが Cloud Build API を有効にし、次の必要なロールを Cloud Build サービスアカウントに付与しようとします。

サービスアカウントトークン作成者のロール（roles/iam.serviceAccountTokenCreator）
サービスアカウントユーザーロール（roles/iam.serviceAccountUser）
Compute 管理者のロール（roles/compute.admin）
Compute 管理者のロールが付与されないようにするには、次の Compute Engine IAM 権限でカスタムロールを作成して、Cloud Build サービスアカウントに付与します。
カスタムロールに必要な権限

Cloud Build サービスアカウントには、次の権限が必要です。
- compute.disks.create
- compute.disks.delete
- compute.disks.get
- compute.disks.getIamPolicy
- compute.disks.list
- compute.disks.resize
- compute.disks.setLabels
- compute.disks.use
- compute.disks.useReadOnly
- compute.images.create
- compute.images.get
- compute.images.getFromFamily
- compute.images.getIamPolicy
- compute.images.list
- compute.images.useReadOnly
- compute.instances.attachDisk
- compute.instances.create
- compute.instances.delete
- compute.instances.detachDisk
- compute.instances.get
- compute.instances.getSerialPortOutput
- compute.instances.list
- compute.instances.setLabels
- compute.instances.setMetadata
- compute.instances.setServiceAccount
- compute.machineTypes.list
- compute.networks.list
- compute.projects.get
- compute.subnetworks.list
- compute.subnetworks.use
- compute.subnetworks.useExternalIp
- compute.zoneOperations.get
- compute.zones.list
Compute ネットワークユーザーのロール（roles/compute.networkUser）
このロールは、共有 VPC を使用するイメージをインポートまたはエクスポートする場合にのみ必要です。

共有 VPC プロジェクトで、イメージのインポートまたはエクスポートを行うプロジェクトにある Cloud Build サービスアカウントに Compute ネットワークユーザーのロールを付与します。

ただし、これらのロールを手動で付与して、必要な権限を有効にすることもできます。

コンソール

Cloud Build API を有効にしたら、プロジェクトまたは組織の [IAM と管理] ページに移動します。

[IAM と管理] に移動
Cloud Build サービスアカウントを見つけて、[ 編集] をクリックします。
必要なロールが表示されていない場合は、次の手順を行います。
1. [ 別のロールを追加] をクリックします。
2. [ロールを選択] リストで、必要なロールを選択します。
  - サービスアカウント > サービスアカウントトークン作成者
  - サービスアカウント > サービスアカウントユーザー
  - Compute Engine > Compute 管理者
    
    また、カスタムロールを選択することもできます。前述のカスタムロールに必要な権限をご覧ください。
3. [保存] をクリックして変更を保存します。
省略可: 共有 VPC を使用するイメージをインポートまたはエクスポートする場合は、共有 VPC プロジェクトで Compute ネットワークユーザーのロールを選択します。
1. コンソールの上部にあるプロジェクトセレクタで、共有 VPC ホストプロジェクトを選択します。
2. [IAM と管理] ページで、[アクセス権を付与] をクリックします。
3. [新しいプリンシパル] フィールドに、Cloud Build サービスアカウントのメールアドレスを入力します。
```
 PROJECT_NUMBER@cloudbuild.gserviceaccount.com'
 
```
  PROJECT_NUMBER は、イメージをインポートまたはエクスポートするプロジェクトの一意の番号に置き換えてください。
4. [ロールを選択] リストで、[Compute Engine] > [Compute ネットワークユーザー] ロールを選択します。
5. [保存] をクリックして変更を保存します。

gcloud

次の手順では、gcloud projects add-iam-policy-binding コマンドを使用して、プロジェクトレベルで必要なロールを付与します。

Cloud Build サービスアカウントに roles/compute.admin ロールを付与します。roles/compute.admin ロールが付与されないようにするには、必要な権限を持つカスタムロールを作成して、Cloud Build サービスアカウントに付与します。前述のカスタムロールに必要な権限をご覧ください。
```
gcloud projects add-iam-policy-binding PROJECT_ID \
   --member='serviceAccount:PROJECT_NUMBER@cloudbuild.gserviceaccount.com' \
   --role='roles/compute.admin'
```
次のように置き換えます。
- PROJECT_ID: プロジェクトの Google Cloud プロジェクト ID
- PROJECT_NUMBER: プロジェクトの Google Cloud プロジェクト番号

roles/iam.serviceAccountUser ロールを付与します。

gcloud projects add-iam-policy-binding PROJECT_ID \
   --member='serviceAccount:PROJECT_NUMBER@cloudbuild.gserviceaccount.com' \
   --role='roles/iam.serviceAccountUser'

roles/iam.serviceAccountTokenCreator ロールを付与します。

gcloud projects add-iam-policy-binding PROJECT_ID \
   --member='serviceAccount:PROJECT_NUMBER@cloudbuild.gserviceaccount.com' \
   --role='roles/iam.serviceAccountTokenCreator'

省略可: 共有 VPC を使用するイメージをエクスポートまたはインポートする場合は、roles/compute.networkUser ロールを付与します。
```
gcloud projects add-iam-policy-binding HOST_PROJECT_ID \
   --member='serviceAccount:PROJECT_NUMBER@cloudbuild.gserviceaccount.com' \
   --role='roles/compute.networkUser'
```
次のように置き換えます。
- HOST_PROJECT_ID: 共有 VPC が配置されているホストプロジェクトの ID
- PROJECT_NUMBER: イメージをインポートまたはエクスポートする一意のプロジェクト番号

REST

リソースの getIamPolicy メソッドを使用して、既存のポリシーを読み取ります。プロジェクトの場合は、projects.getIamPolicy メソッドを使用します。
```
POST https://cloudresourcemanager.googleapis.com/v1/projects/PROJECT_ID:getIamPolicy
```
PROJECT_ID は、プロジェクト ID に置き換えます（例: my-project-1）。
アカウントに必要なロールを付与するには、テキストエディタでポリシーを編集します。

たとえば、必要なロールを serviceAccount:12345@cloudbuild.gserviceaccount.com に付与するには、次のバインディングをポリシーに追加します。
```
{
   {
     "role":"roles/compute.admin",
     "member":[
       "serviceAccount:12345@cloudbuild.gserviceaccount.com"
     ]
   }
   {
     "roles":"roles/iam.serviceAccountUser",
     "member":[
       "serviceAccount:12345@cloudbuild.gserviceaccount.com"
     ]
   }
  {
     "roles":"roles/iam.serviceAccountTokenCreator",
     "member":[
       "serviceAccount:12345@cloudbuild.gserviceaccount.com"
     ]
   }
}
```
roles/compute.admin ロールが付与されないようにするには、必要な権限を持つカスタムロールを作成して、Cloud Build サービスアカウントに付与します。前述のカスタムロールに必要な権限をご覧ください。
省略可: 共有 VPC を使用するイメージをエクスポートまたはインポートする場合は、共有 VPC プロジェクトで roles/compute.networkUser ロールを付与します。
```
POST https://cloudresourcemanager.googleapis.com/v1/projects/HOST_PROJECT_ID:getIamPolicy
```
HOST_PROJECT_ID は、共有 VPC プロジェクトの ID に置き換えます。

次の IAM バインディングを Cloud Build サービスアカウントに追加します。
```
{
   {
     "roles":"roles/compute.networkUser",
     "member":[
       "serviceAccount:12345@cloudbuild.gserviceaccount.com"
     ]
   }
}
```
更新されたポリシーを書き込むには、setIamPolicy メソッドを使用します。

たとえば、ポリシーをプロジェクトレベルで設定するには、project.setIamPolicy メソッドを使用します。リクエストの本文で、前のステップで更新した IAM ポリシーを指定します。
```
POST https://cloudresourcemanager.googleapis.com/v1/projects/PROJECT_ID:setIamPolicy
```

リソースのアクセス管理の詳細については、リソースへのアクセス権の付与、変更、取り消しをご覧ください。

必要なロールを Compute Engine サービスアカウントに付与する

Google Cloud コンソールまたは gcloud CLI を使用して初めてイメージをインポートまたはエクスポートするときに、ツールがデフォルトの Compute Engine サービスアカウントに、必要なロールを付与しようとします。

組織のポリシーの構成によっては、デフォルトのサービスアカウントにプロジェクトの編集者のロールが自動的に付与される場合があります。iam.automaticIamGrantsForDefaultServiceAccounts 組織ポリシー制約を適用して、自動的なロール付与を無効にすることを強くおすすめします。2024 年 5 月 3 日以降に組織を作成した場合、この制約はデフォルトで適用されます。

自動ロール付与を無効にする場合、デフォルトのサービスアカウントに付与するロールを決定し、これらのロールを付与する必要があります。

デフォルトのサービスアカウントにすでに編集者ロールが設定されている場合は、編集者ロールを権限の低いロールに置き換えることをおすすめします。サービスアカウントのロールを安全に変更するには、Policy Simulator を使用して変更の影響を確認してから、適切なロールを付与または取り消す操作を行います。

Compute Engine サービスアカウントには次のロールが必要です。

Compute ストレージ管理者のロール（roles/compute.storageAdmin）: VM イメージのエクスポートとインポートに必要です。
ストレージオブジェクト閲覧者のロール（roles/storage.objectViewer）: VM イメージのインポートに必要です。
ストレージオブジェクト管理者のロール（roles/storage.objectAdmin）: VM イメージのエクスポートに必要です。

コンソール

プロジェクトまたは組織の [IAM と管理] ページに移動します。

[IAM と管理] に移動
Compute Engine サービスアカウントを見つけて、[ 編集] をクリックします。
[ロールを選択] リストで、次のロールを選択します。
- Compute Engine > Compute ストレージ管理者
- Cloud Storage > ストレージオブジェクト閲覧者
- Cloud Storage > ストレージオブジェクト管理者
変更を保存します。

gcloud

次の手順では、gcloud projects add-iam-policy-binding コマンドを使用して、プロジェクトレベルで必要なロールを付与します。

roles/compute.storageAdmin ロールを付与します。

gcloud projects add-iam-policy-binding PROJECT_ID \
  --member='serviceAccount:PROJECT_NUMBER-compute@developer.gserviceaccount.com' \
  --role='roles/compute.storageAdmin'

イメージをインポートする場合は、roles/storage.objectViewer ロールを付与します。

gcloud projects add-iam-policy-binding PROJECT_ID \
  --member='serviceAccount:PROJECT_NUMBER-compute@developer.gserviceaccount.com' \
  --role='roles/storage.objectViewer'

イメージをエクスポートする場合は、roles/storage.objectAdmin ロールを付与します。

gcloud projects add-iam-policy-binding PROJECT_ID \
  --member='serviceAccount:PROJECT_NUMBER-compute@developer.gserviceaccount.com' \
  --role='roles/storage.objectAdmin'

REST

リソースの getIamPolicy メソッドを使用して、既存のポリシーを読み取ります。プロジェクトの場合は、projects.getIamPolicy メソッドを使用します。
```
POST https://cloudresourcemanager.googleapis.com/v1/projects/PROJECT_ID:getIamPolicy
```
PROJECT_ID は、プロジェクト ID に置き換えます（例: my-project-1）。
アカウントに必要なロールを付与するには、テキストエディタでポリシーを編集します。

たとえば、イメージのインポートで必要なロールを serviceAccount:12345-compute@developer.gserviceaccount.com に付与するには、次のバインディングをポリシーに追加します。
```
{
   {
     "role":"roles/compute.storageAdmin",
     "member":[
       "serviceAccount:12345-compute@developer.gserviceaccount.com"
     ]
   }
   {
     "roles":"roles/storage.objectViewer",
     "member":[
       "serviceAccount:12345-compute@developer.gserviceaccount.com"
     ]
   }
}
```
更新されたポリシーを書き込むには、setIamPolicy メソッドを使用します。

たとえば、ポリシーをプロジェクトレベルで設定するには、project.setIamPolicy メソッドを使用します。リクエストの本文で、前のステップで更新した IAM ポリシーを指定します。
```
POST https://cloudresourcemanager.googleapis.com/v1/projects/PROJECT_ID:setIamPolicy
```

デフォルトの Compute Engine サービスアカウントを使用しない場合は、gcloud のインポートコマンドとエクスポートコマンドで --compute-service-account フラグを使用して、ユーザー管理のサービスアカウントを指定できます。カスタム Compute Engine のサービスアカウントの使用に関する詳細については、次のリソースをご覧ください。

VM イメージのインポートとエクスポートの前提条件

始める前に

Console

gcloud

REST

Cloud Storage バケットへのアクセスを設定する

必要な IAM ロールを付与する

必要なロールをユーザー アカウントに付与する

コンソール

gcloud

REST

必要なロールを Cloud Build サービス アカウントに付与する

カスタムロールに必要な権限

コンソール

gcloud

REST

必要なロールを Compute Engine サービス アカウントに付与する

コンソール

gcloud

REST

次のステップ

必要なロールをユーザーアカウントに付与する

必要なロールを Cloud Build サービスアカウントに付与する

必要なロールを Compute Engine サービスアカウントに付与する