Permisos de IAM para Migrate for Compute Engine

En este tema, se enumeran las funciones de administración de identidades y accesos (IAM) necesarias para los usuarios que configuran y usan Migrate for Compute Engine en Google Cloud, así como para los componentes de Migrate for Compute Engine que realizan acciones de migración en el entorno de ejecución.

Asignas funciones y permisos para realizar las siguientes acciones:

Para obtener una lista de los permisos otorgados con cada función, consulta Información sobre las funciones.

Para obtener información general sobre cómo otorgar funciones, consulta Otorga, cambia y revoca el acceso a los recursos.

Funciones necesarias para crear cuentas de servicio

Para crear cuentas de servicio, el usuario con el que accediste debe tener las siguientes funciones:

Función Permisos Descripción
roles/resourcemanager.organizationAdmin Administrar todos los recursos que pertenecen a la organización. Permite a los usuarios crear una cuenta de servicio en un proyecto dentro de una organización.
roles/iam.serviceAccountAdmin Crear y administrar cuentas de servicio.

Permite a los usuarios crear una cuenta de servicio para la extensión de Cloud de Migrate for Compute Engine o Migrate for Compute Engine Manager en un proyecto dentro de una organización o un proyecto independiente.

Asigna estas funciones al proyecto de infraestructura que creaste cuando configuraste Migrate for Compute Engine en Google Cloud.
roles/resourcemanager.projectIamAdmin Administrar políticas de IAM en los proyectos

Funciones necesarias para implementar el administrador de Migrate for Compute Engine

Mediante estas funciones, un usuario puede implementar o usar Migrate for Compute Engine Manager.

Funciones necesarias para implementar Migrate for Compute Engine Manager

Función Permisos Descripción
roles/compute.instanceAdmin

Crear, modificar y borrar instancias de máquinas virtuales.

Permite a los usuarios implementar Migrate for Compute Engine Manager y realizar migraciones.

Asigna estas funciones cuando configures Migrate for Compute Engine Manager.
roles/iam.serviceAccountUser

Ejecutar operaciones con la cuenta de servicio.
roles/vmmigration.admin

Implementar instancias nuevas de Migrate for Compute Engine Manager y obtener información sobre ellas.

Permite a los usuarios implementar Migrate for Compute Engine Manager y realizar migraciones.

Funciones necesarias para usar Migrate for Compute Engine Manager a fin de migrar VM

Función Permisos Descripción
roles/vmmigration.viewer

Enumerar las implementaciones de Migrate for Compute Engine Manager y obtener información sobre ellas.

 Permite a los usuarios recuperar información sobre instancias de Migrate for Compute Engine Manager implementadas o verla en la consola de Google Cloud. Destinado a los usuarios que realizarán migraciones, pero no configurarán el sistema.

Funciones necesarias para migrar VM

A través de estas funciones, los componentes de Migrate for Compute Engine tienen el acceso necesario para realizar acciones de migración en el entorno de ejecución. Estas acciones incluyen la creación de los recursos de Google Cloud y el acceso a ellos, y la administración del almacenamiento de VM.

Cuando configuras Migrate for Compute Engine Manager, estas funciones se asignan de forma automática a las cuentas de servicio que creas en ese proceso. También puedes crear estas cuentas de servicio de forma manual y, luego, especificar las cuentas de servicio que creas cuando configuras Migrate for Compute Engine Manager.

Para asignar estas funciones debes agregarlas a las cuentas de servicio que luego asignas a los componentes de Migrate for Compute Engine cuando las configuras en Google Cloud.

Función Permisos Descripción
roles/cloudmigration.inframanager Crear y administrar VM para ejecutar la infraestructura de Migrate for Compute Engine. Permite que Migrate for Compute Engine cree y establezca los recursos necesarios para configurar el sistema y realizar migraciones.
roles/cloudmigration.storageaccess Acceder al almacenamiento de migración. Permite que la extensión de Cloud para Migrate for Compute Engine administre el almacenamiento necesario durante la migración.

Cuentas de servicio asignadas a las instancias de Migrate for Compute Engine

A través de estas cuentas de servicio que creas, los componentes de Migrate for Compute Engine tienen el acceso que necesitan en el entorno de ejecución para crear y usar Google Cloud.

Cuando configuras Google Cloud como destino, seleccionas o creas estas cuentas de servicio.

En la siguiente tabla, se describen las cuentas de servicio y se enumeran las funciones que tienen asignadas. Para obtener información específica sobre las funciones asignadas a estas cuentas de servicio, consulta Funciones de migración de VM.

Cuenta de servicio (nombre sugerido) Funciones requeridas Descripción
Administrador de migraciones roles/cloudmigration.inframanager
roles/iam.serviceAccountUser
roles/logging.logWriter
roles/monitoring.metricWriter
roles/monitoring.viewer
roles/iam.serviceAccountTokenCreator
 La usa Migrate for Compute Engine Manager a fin de organizar migraciones, implementar extensiones de Cloud y crear instancias en tu entorno para VM migradas.
Extensión de Cloud roles/cloudmigration.storageaccess
roles/logging.logWriter
roles/monitoring.metricWriter
 La usan los nodos de las extensiones de Cloud para acceder a los recursos de almacenamiento.

¿Qué sigue?