VM イメージのインポートとエクスポートの前提条件

Linux Windows

---

Compute Engine のイメージ インポート機能は Migrate to Virtual Machines に移行されています。仮想ディスクを Google Cloud にインポートするには、Migrate to Virtual Machines の新しいイメージ インポート機能を使用することをおすすめします。

このドキュメントでは、Compute Engine でイメージをインポートおよびエクスポートするための前提条件について説明します。

Cloud Storage からイメージをインポートまたはエクスポートすることで、他のクラウド環境またはオンプレミス環境から仮想マシン（VM）インスタンス、仮想ディスク ファイル、マシンイメージを共有できます。次のチェックリストは、イメージをインポートまたはエクスポートする際の前提条件をまとめたものです。

1. Cloud Storage バケットへのアクセスを設定する
2. 必要なロールをユーザー アカウントに付与する
3. 必要なロールを Cloud Build サービス アカウントに付与する
4. 必要なロールを Compute Engine サービス アカウントに付与する

始める前に

• まだ設定していない場合は、認証を設定します。認証とは、Google Cloud サービスと API にアクセスするために ID を確認するプロセスです。ローカル開発環境からコードまたはサンプルを実行するには、次のように Compute Engine に対する認証を行います。
  

  このページのサンプルをどのように使うかに応じて、タブを選択してください。

  コンソール

  Google Cloud コンソールを使用して Google Cloud サービスと API にアクセスする場合、認証を設定する必要はありません。

  gcloud

  1. Install the Google Cloud CLI, then initialize it by running the following command:

     gcloud init

     Note: If you installed the gcloud CLI previously, make sure you have the latest version by running gcloud components update.
  2. デフォルトのリージョンとゾーンを設定します。

  REST

  このページの REST API サンプルをローカル開発環境で使用するには、gcloud CLI に指定した認証情報を使用します。

  Install the Google Cloud CLI, then initialize it by running the following command:

  gcloud init

Cloud Storage バケットへのアクセスを設定する

インポート ツールまたはエクスポート ツールで使用できる Cloud Storage バケットにアクセスできる必要があります。Cloud Storage バケットがない場合は、Cloud Storage バケットの作成をご覧ください。

Cloud Storage バケットへのアクセスを設定するには、必要なロールをアカウントに付与すると Compute Engine サービス アカウントをご覧ください。

• イメージをエクスポートすると、エクスポート ツールによって Cloud Storage バケットにイメージがアップロードされます。

• イメージをインポートする場合は、最初にイメージを Cloud Storage バケットにアップロードする必要があります。インポート ツールは、Cloud Storage バケットから Compute Engine にファイルをダウンロードし、そのディスク ファイルから Compute Engine にイメージを作成します。

必要な IAM ロールを付与する

VM イメージのインポート ツールとエクスポート ツールには、ユーザーに代わって処理を実行するため、以下のアカウントが必要になります。

• ユーザー アカウント。インポート コマンドとエクスポート コマンドを実行するアカウント。
• Cloud Build サービス アカウント。デフォルトの Cloud Build サービス アカウントは、インポート ツールまたはエクスポート ツールで Cloud Build API を有効にするときに作成されます。
• Compute Engine サービス アカウント。インポートとエクスポートのワークフローに必要なデフォルトまたはカスタムの Compute Engine サービス アカウント。

必要なロールをユーザー アカウントに付与する

イメージをインポートまたはエクスポートするには、ユーザー アカウントに次のロールが必要です。

• ストレージ管理者のロール（roles/storage.admin）
• 閲覧者のロール（roles/viewer）
• プロジェクト IAM 管理者のロール（roles/resourcemanager.projectIamAdmin）
• Cloud Build 編集者のロール（roles/cloudbuild.builds.editor）

コンソール

1. プロジェクトまたは組織の [IAM と管理] ページに移動します。

   [IAM と管理] に移動

2. アカウントを見つけて、[ 編集] をクリックします。

3. [ロールを選択] リストで、次のロールを選択します。

   • Cloud Storage > ストレージ管理者
   • プロジェクト > 閲覧者
   • Resource Manager > プロジェクト IAM 管理者
   • Cloud Build > Cloud Build 編集者

4. 変更を保存します。

gcloud

次の手順では、gcloud projects add-iam-policy-binding コマンドを使用して、プロジェクト レベルで必要なロールを付与します。

1. roles/storage.admin ロールを付与します。

   gcloud projects add-iam-policy-binding PROJECT_ID \
     --member='MEMBER' \
     --role='roles/storage.admin'
   

   次のように置き換えます。

   • PROJECT_ID: プロジェクトの Google Cloud プロジェクト ID。
   • MEMBER: インポートとエクスポート コマンドを実行するアカウント（例: user:[e-mail]）

2. roles/viewer ロールを付与します。

   gcloud projects add-iam-policy-binding PROJECT_ID \
     --member='MEMBER' \
     --role='roles/viewer'
   

3. roles/resourcemanager.projectIamAdmin ロールを付与します。

   gcloud projects add-iam-policy-binding PROJECT_ID \
     --member='MEMBER' \
     --role='roles/resourcemanager.projectIamAdmin'
   

4. roles/cloudbuild.builds.editor ロールを付与します。

   gcloud projects add-iam-policy-binding PROJECT_ID \
     --member='MEMBER' \
     --role='roles/cloudbuild.builds.editor'
   

REST

1. リソースの getIamPolicy メソッドを使用して、既存のポリシーを読み取ります。プロジェクトの場合は、projects.getIamPolicy メソッドを使用します。

   POST https://cloudresourcemanager.googleapis.com/v1/projects/PROJECT_ID:getIamPolicy
   

   PROJECT_ID は、プロジェクト ID に置き換えます（例: my-project-1）。

2. アカウントに必要なロールを付与するには、テキスト エディタでポリシーを編集します。

   たとえば、必要なロールをアカウント user:[e-mail] に付与するには、次のバインディングをポリシーに追加します。

   {
      {
        "role":"roles/storage.admin",
        "member":[
          "user:[e-mail]"
        ]
      }
      {
        "roles":"roles/viewer",
        "member":[
          "user:[e-mail]"
        ]
      }
      {
        "roles":"roles/resourcemanager.projectIamAdmin",
        "member":[
          "user:[e-mail]"
        ]
      }
      {
        "roles":"roles/cloudbuild.builds.editor",
        "member":[
          "user:[e-mail]"
        ]
      }
   }
   

3. 更新されたポリシーを書き込むには、setIamPolicy メソッドを使用します。

   たとえば、ポリシーをプロジェクト レベルで設定するには、project.setIamPolicy メソッドを使用します。リクエストの本文で、前のステップで更新した IAM ポリシーを指定します。

   POST https://cloudresourcemanager.googleapis.com/v1/projects/PROJECT_ID:setIamPolicy
   

必要なロールを Cloud Build サービス アカウントに付与する

Google Cloud コンソールまたは gcloud CLI を使用して初めてイメージをインポートまたはエクスポートするときに、ツールが Cloud Build API を有効にし、次の必要なロールを Cloud Build サービス アカウントに付与しようとします。

• サービス アカウント トークン作成者のロール（roles/iam.serviceAccountTokenCreator）
• サービス アカウント ユーザーロール（roles/iam.serviceAccountUser）
• Compute 管理者のロール（roles/compute.admin）

  Compute 管理者のロールが付与されないようにするには、次の Compute Engine IAM 権限でカスタムロールを作成して、Cloud Build サービス アカウントに付与します。

  カスタムロールに必要な権限

  Cloud Build サービス アカウントには、次の権限が必要です。

  • compute.disks.create
  • compute.disks.delete
  • compute.disks.get
  • compute.disks.getIamPolicy
  • compute.disks.list
  • compute.disks.resize
  • compute.disks.setLabels
  • compute.disks.use
  • compute.disks.useReadOnly
  • compute.images.create
  • compute.images.get
  • compute.images.getFromFamily
  • compute.images.getIamPolicy
  • compute.images.list
  • compute.images.useReadOnly
  • compute.instances.attachDisk
  • compute.instances.create
  • compute.instances.delete
  • compute.instances.detachDisk
  • compute.instances.get
  • compute.instances.getSerialPortOutput
  • compute.instances.list
  • compute.instances.setLabels
  • compute.instances.setMetadata
  • compute.instances.setServiceAccount
  • compute.machineTypes.list
  • compute.networks.list
  • compute.projects.get
  • compute.subnetworks.list
  • compute.subnetworks.use
  • compute.subnetworks.useExternalIp
  • compute.zoneOperations.get
  • compute.zones.list

• Compute ネットワーク ユーザーのロール（roles/compute.networkUser）

  このロールは、共有 VPC を使用するイメージをインポートまたはエクスポートする場合にのみ必要です。

  共有 VPC プロジェクトで、イメージのインポートまたはエクスポートを行うプロジェクトにある Cloud Build サービス アカウントに Compute ネットワーク ユーザーのロールを付与します。

ただし、これらのロールを手動で付与して、必要な権限を有効にすることもできます。

コンソール

1. Cloud Build API を有効にしたら、プロジェクトまたは組織の [IAM と管理] ページに移動します。

   [IAM と管理] に移動

2. Cloud Build サービス アカウントを見つけて、[ 編集] をクリックします。

3. 必要なロールが表示されていない場合は、次の手順を行います。

   1. [ 別のロールを追加] をクリックします。

   2. [ロールを選択] リストで、必要なロールを選択します。

      • サービス アカウント > サービス アカウント トークン作成者
      • サービス アカウント > サービス アカウント ユーザー

      • Compute Engine > Compute 管理者

        また、カスタムロールを選択することもできます。前述のカスタムロールに必要な権限をご覧ください。

   3. [保存] をクリックして変更を保存します。

4. 省略可: 共有 VPC を使用するイメージをインポートまたはエクスポートする場合は、共有 VPC プロジェクトで Compute ネットワーク ユーザーのロールを選択します。

   1. コンソールの上部にあるプロジェクト セレクタで、共有 VPC ホスト プロジェクトを選択します。
   2. [IAM と管理] ページで、[アクセス権を付与] をクリックします。
   3. [新しいプリンシパル] フィールドに、Cloud Build サービス アカウントのメールアドレスを入力します。

       [e-mail]'
       

      PROJECT_NUMBER は、イメージをインポートまたはエクスポートする一意のプロジェクト番号に置き換えます。
   4. [ロールを選択] リストで、[Compute Engine] > [Compute ネットワーク ユーザー] ロールを選択します。
   5. [保存] をクリックして変更を保存します。

gcloud

次の手順では、gcloud projects add-iam-policy-binding コマンドを使用して、プロジェクト レベルで必要なロールを付与します。

1. Cloud Build サービス アカウントに roles/compute.admin ロールを付与します。roles/compute.admin ロールが付与されないようにするには、必要な権限を持つカスタムロールを作成して、Cloud Build サービス アカウントに付与します。前述のカスタムロールに必要な権限をご覧ください。

   gcloud projects add-iam-policy-binding PROJECT_ID \
      --member='serviceAccount:[e-mail]' \
      --role='roles/compute.admin'
   

   次のように置き換えます。

   • PROJECT_ID: プロジェクトの Google Cloud プロジェクト ID
   • PROJECT_NUMBER: プロジェクトの Google Cloud プロジェクト番号

2. roles/iam.serviceAccountUser ロールを付与します。

   gcloud projects add-iam-policy-binding PROJECT_ID \
      --member='serviceAccount:[e-mail]' \
      --role='roles/iam.serviceAccountUser'
   

3. roles/iam.serviceAccountTokenCreator ロールを付与します。

   gcloud projects add-iam-policy-binding PROJECT_ID \
      --member='serviceAccount:[e-mail]' \
      --role='roles/iam.serviceAccountTokenCreator'
   

4. 省略可: 共有 VPC を使用するイメージをエクスポートまたはインポートする場合は、roles/compute.networkUser ロールを付与します。

   gcloud projects add-iam-policy-binding HOST_PROJECT_ID \
      --member='serviceAccount:[e-mail]' \
      --role='roles/compute.networkUser'
   

   次のように置き換えます。

   • HOST_PROJECT_ID: 共有 VPC が配置されているホスト プロジェクトの ID
   • PROJECT_NUMBER: イメージをインポートまたはエクスポートする一意のプロジェクト番号

REST

1. リソースの getIamPolicy メソッドを使用して、既存のポリシーを読み取ります。プロジェクトの場合は、projects.getIamPolicy メソッドを使用します。

   POST https://cloudresourcemanager.googleapis.com/v1/projects/PROJECT_ID:getIamPolicy
   

   PROJECT_ID は、プロジェクト ID に置き換えます（例: my-project-1）。

2. アカウントに必要なロールを付与するには、テキスト エディタでポリシーを編集します。

   たとえば、必要なロールを serviceAccount:[e-mail] に付与するには、次のバインディングをポリシーに追加します。

   {
      {
        "role":"roles/compute.admin",
        "member":[
          "serviceAccount:[e-mail]"
        ]
      }
      {
        "roles":"roles/iam.serviceAccountUser",
        "member":[
          "serviceAccount:[e-mail]"
        ]
      }
     {
        "roles":"roles/iam.serviceAccountTokenCreator",
        "member":[
          "serviceAccount:[e-mail]"
        ]
      }
   }
   

   roles/compute.admin ロールが付与されないようにするには、必要な権限を持つカスタムロールを作成して、Cloud Build サービス アカウントに付与します。前述のカスタムロールに必要な権限をご覧ください。

3. 省略可: 共有 VPC を使用するイメージをエクスポートまたはインポートする場合は、共有 VPC プロジェクトで roles/compute.networkUser ロールを付与します。

   POST https://cloudresourcemanager.googleapis.com/v1/projects/HOST_PROJECT_ID:getIamPolicy
   

   HOST_PROJECT_ID は、共有 VPC プロジェクトの ID に置き換えます。

   次の IAM バインディングを Cloud Build サービス アカウントに追加します。

   {
      {
        "roles":"roles/compute.networkUser",
        "member":[
          "serviceAccount:[e-mail]"
        ]
      }
   }
   

4. 更新されたポリシーを書き込むには、setIamPolicy メソッドを使用します。

   たとえば、ポリシーをプロジェクト レベルで設定するには、project.setIamPolicy メソッドを使用します。リクエストの本文で、前のステップで更新した IAM ポリシーを指定します。

   POST https://cloudresourcemanager.googleapis.com/v1/projects/PROJECT_ID:setIamPolicy
   

リソースのアクセス管理の詳細については、リソースへのアクセス権の付与、変更、取り消しをご覧ください。

注: デフォルトでは、Cloud Build API が有効になると、Cloud Build サービス アカウントのロール（roles/cloudbuild.builds.builder）が Cloud Build サービス アカウントに付与されます。このロールを削除すると、イメージのインポートとエクスポートに失敗することがあります。

必要なロールを Compute Engine サービス アカウントに付与する

Google Cloud コンソールまたは gcloud CLI を使用して初めてイメージをインポートまたはエクスポートするときに、ツールがデフォルトの Compute Engine サービス アカウントに、必要なロールを付与しようとします。

組織のポリシーの構成によっては、デフォルトのサービス アカウントにプロジェクトの編集者のロールが自動的に付与される場合があります。iam.automaticIamGrantsForDefaultServiceAccounts 組織ポリシー制約を適用して、自動的なロール付与を無効にすることを強くおすすめします。2024 年 5 月 3 日以降に組織を作成した場合、この制約はデフォルトで適用されます。

自動ロール付与を無効にする場合、デフォルトのサービス アカウントに付与するロールを決定し、これらのロールを付与する必要があります。

デフォルトのサービス アカウントにすでに編集者ロールが設定されている場合は、編集者ロールを権限の低いロールに置き換えることをおすすめします。サービス アカウントのロールを安全に変更するには、Policy Simulator を使用して変更の影響を確認してから、適切なロールを付与または取り消す操作を行います。

Compute Engine サービス アカウントには次のロールが必要です。

• Compute ストレージ管理者のロール（roles/compute.storageAdmin）: VM イメージのエクスポートとインポートに必要です。
• ストレージ オブジェクト閲覧者のロール（roles/storage.objectViewer）: VM イメージのインポートに必要です。
• ストレージ オブジェクト管理者のロール（roles/storage.objectAdmin）: VM イメージのエクスポートに必要です。

コンソール

1. プロジェクトまたは組織の [IAM と管理] ページに移動します。

   [IAM と管理] に移動

2. Compute Engine サービス アカウントを見つけて、[ 編集] をクリックします。

3. [ロールを選択] リストで、次のロールを選択します。

   • Compute Engine > Compute ストレージ管理者
   • Cloud Storage > ストレージ オブジェクト閲覧者
   • Cloud Storage > ストレージ オブジェクト管理者

4. 変更を保存します。

gcloud

次の手順では、gcloud projects add-iam-policy-binding コマンドを使用して、プロジェクト レベルで必要なロールを付与します。

1. roles/compute.storageAdmin ロールを付与します。

   gcloud projects add-iam-policy-binding PROJECT_ID \
     --member='serviceAccount:[e-mail]' \
     --role='roles/compute.storageAdmin'
   

2. イメージをインポートする場合は、roles/storage.objectViewer ロールを付与します。

   gcloud projects add-iam-policy-binding PROJECT_ID \
     --member='serviceAccount:[e-mail]' \
     --role='roles/storage.objectViewer'
   

3. イメージをエクスポートする場合は、roles/storage.objectAdmin ロールを付与します。

   gcloud projects add-iam-policy-binding PROJECT_ID \
     --member='serviceAccount:[e-mail]' \
     --role='roles/storage.objectAdmin'
   

REST

1. リソースの getIamPolicy メソッドを使用して、既存のポリシーを読み取ります。プロジェクトの場合は、projects.getIamPolicy メソッドを使用します。

   POST https://cloudresourcemanager.googleapis.com/v1/projects/PROJECT_ID:getIamPolicy
   

   PROJECT_ID は、プロジェクト ID に置き換えます（例: my-project-1）。

2. アカウントに必要なロールを付与するには、テキスト エディタでポリシーを編集します。

   たとえば、イメージのインポートで必要なロールを serviceAccount:[e-mail] に付与するには、次のバインディングをポリシーに追加します。

   {
      {
        "role":"roles/compute.storageAdmin",
        "member":[
          "serviceAccount:[e-mail]"
        ]
      }
      {
        "roles":"roles/storage.objectViewer",
        "member":[
          "serviceAccount:[e-mail]"
        ]
      }
   }
   

3. 更新されたポリシーを書き込むには、setIamPolicy メソッドを使用します。

   たとえば、ポリシーをプロジェクト レベルで設定するには、project.setIamPolicy メソッドを使用します。リクエストの本文で、前のステップで更新した IAM ポリシーを指定します。

   POST https://cloudresourcemanager.googleapis.com/v1/projects/PROJECT_ID:setIamPolicy
   

デフォルトの Compute Engine サービス アカウントを使用しない場合は、gcloud のインポート コマンドとエクスポート コマンドで --compute-service-account フラグを使用して、ユーザー管理のサービス アカウントを指定できます。カスタム Compute Engine のサービス アカウントの使用に関する詳細については、次のリソースをご覧ください。

• カスタム サービス アカウントを使用して仮想ディスクをインポートする
• カスタム サービス アカウントを使用して仮想アプライアンスをインポートする
• カスタム サービス アカウントを使用して仮想アプライアンスからマシンイメージをインポートする
• カスタム サービス アカウントを使用してカスタム イメージをエクスポートする

次のステップ

• カスタム イメージを Cloud Storage にエクスポートする。
• プロジェクト間でイメージを共有する。
• インポート方法を選択する。
• 仮想ディスクのインポート
• 仮想アプライアンスのインポート
• 仮想アプライアンスからのマシンイメージのインポート