Permissões de IAM para o Migrate for Compute Engine

Este tópico lista os papéis de gerenciamento de identidade e acesso (IAM) necessários para configuração de usuários e para uso do Migrate for Compute Engine no Google Cloud, assim como os componentes do Migrate for Compute Engine que executam ações de migração no ambiente de execução.

Você atribui papéis e permissões com os seguintes propósitos:

• Conceder acesso ao usuário para criar contas de serviço que os componentes do Migrate for Compute Engine usarão no ambiente de execução.
• Conceder acesso ao usuário para instalar e usar o Migrate for Compute Engine Manager. Especificamente, é possível conceder permissões para que os usuários implantem e usem instâncias do Migrate for Compute Engine Manager ou tenham acesso somente leitura para configuração de migração.
• Conceder aos componentes do Migrate for Compute Engine o acesso de que precisam para gerenciar recursos do Google Cloud no ambiente de execução, incluindo instâncias de VM do Compute Engine, o Cloud Storage e outros.

Para uma lista de permissões concedidas com cada papel, consulte Noções básicas sobre papéis.

Para informações gerais sobre a concessão de papéis, consulte Como conceder, alterar e revogar o acesso a recursos.

Papéis necessários para criar contas de serviço

Para criar contas de serviço, o usuário com que você fez login precisa ter os seguintes papéis:

Papel	Permissões	Descrição
roles/resourcemanager.organizationAdmin	Administrar todos os recursos pertencentes à organização.	Permite que os usuários criem uma conta de serviço em um projeto dentro de uma organização.
roles/iam.serviceAccountAdmin	Criar e gerenciar contas de serviço.	Permite que os usuários criem uma conta de serviço para o Migrate for Compute Engine Manager ou o Cloud Extensions para Migrate for Compute Engine em um projeto dentro de uma organização ou para um projeto independente. Atribua esses papéis no projeto de infraestrutura que você criou ao configurar o Migrate for Compute Engine no Google Cloud.
roles/resourcemanager.projectIamAdmin	Administrar políticas de IAM em projetos

Papéis necessários ao implantar o Migrate for Compute Engine Manager

Por meio destes papéis, um usuário pode implantar ou usar o Migrate for Compute Engine Manager.

Papéis necessários para implantar o Migrate for Compute Engine Manager

Papel	Permissões	Descrição
roles/compute.instanceAdmin	Criar, modificar e excluir instâncias de máquina virtual.	Permite que os usuários implantem o Migrate for Compute Engine Manager e realizem migrações. Atribua estes papéis ao configurar o Migrate for Compute Engine Manager.
roles/iam.serviceAccountUser	Executar operações como a conta de serviço.
roles/vmmigration.admin	Implantar novas instâncias do Migrate for Compute Engine Manager e conseguir informações sobre elas.	Permite que os usuários implantem o Migrate for Compute Engine Manager e realizem migrações.

Papéis necessários para usar o Migrate for Compute Engine Manager para migrar VMs

Papel	Permissões	Descrição
roles/vmmigration.viewer	Listar implantações do Migrate for Compute Engine Manager e conseguir informações sobre elas.	Permite que os usuários recuperem informações sobre as instâncias implantadas do Migrate for Compute Engine Manager ou as visualizem no Console do Google Cloud. Destinado a usuários que farão migrações, mas não configurarão o sistema.

Papéis necessários ao migrar VMs

Por meio destes papéis, os componentes do Migrate for Compute Engine têm acesso para executar ações de migração no ambiente de execução. Essas ações incluem a criação e o acesso aos recursos do Google Cloud e o gerenciamento do armazenamento das VMs.

Ao configurar o Migrate for Compute Engine Manager, estes papéis são atribuídos de maneira automática às contas de serviço criadas nesse processo. Também é possível criar essas contas de serviço manualmente e especificá-las ao configurar o Migrate for Compute Engine Manager.

Atribua estes papéis adicionando-os às contas de serviço atribuídas aos componentes do Migrate for Compute Engine ao configurá-los no Google Cloud.

Papel	Permissões	Descrição
roles/cloudmigration.inframanager	Criar e gerenciar VMs para executar a infraestrutura do Migrate for Compute Engine.	Permite que o Migrate for Compute Engine crie e configure os recursos necessários para configurar o sistema e realizar migrações.
roles/cloudmigration.storageaccess	Acessar o armazenamento de migração.	Permite que o Cloud Extensions para Migrate for Compute Engine gerencie o armazenamento necessário durante a migração.

Contas de serviço atribuídas às instâncias do Migrate for Compute Engine

Por meio destas contas de serviço que você cria, os componentes do Migrate for Compute Engine podem ser acessados no ambiente de execução para criar e usar o Google Cloud.

Ao configurar o Google Cloud como um destino, você seleciona ou cria estas contas de serviço.

A tabela a seguir descreve as contas de serviço e lista os papéis atribuídos a elas. Para informações específicas sobre os papéis atribuídos a estas contas de serviço, consulte Papéis de migração de VM.

Conta de serviço (nome sugerido)	Papéis necessários	Descrição
Gerente de migração	roles/cloudmigration.inframanager roles/iam.serviceAccountUser roles/logging.logWriter roles/monitoring.metricWriter roles/monitoring.viewer roles/iam.serviceAccountTokenCreator	Usado pelo Migrate for Compute Engine Manager para orquestrar migrações, implantar o Cloud Extensions e criar instâncias no seu ambiente para VMs migradas.
Extensão do Cloud Extensions	roles/cloudmigration.storageaccess roles/logging.logWriter roles/monitoring.metricWriter	Usado pelos nós do Cloud Extensions para acessar recursos de armazenamento.

A seguir

• Saiba mais sobre IAM.
• Conceda papéis de IAM a usuários.