ロールと権限のリファレンス

このドキュメントでは、Migrate to Virtual Machines に必要なさまざまなロールと権限について説明します。Google Cloud では通常、ロールと権限がサービスアカウントまたはユーザーアカウントに関連付けられます。

以下のセクションでは、これらのロールと権限を Migrate to Virtual Machines の主なコンポーネント別に説明します。

Google Cloud コンソールユーザーアカウント
Migrate to Virtual Machines のデフォルトのサービスアカウント
ターゲットプロジェクトのサービスアカウント

また、Cloud Identity and Access Management（IAM）には、組織内でユーザーのアクセス権の管理に使用できる事前定義ロールが 2 つあります。

ロール	タイトル	説明
roles/vmmigration.admin	VM Migration 管理者	新しい Migrate to Virtual Machines ソースの作成など、すべての移行操作を行うことができます。
roles/vmmigration.viewer	VM Migration 閲覧者	Google Cloud コンソールで Migrate to Virtual Machines に関する情報を取得できます。移行をモニタリングするだけで、移行は実施しないユーザーを対象としています。

たとえば、組織内のユーザーが移行に関する情報を確認できるようにする必要があるものの、移行を実行できないようにする場合は、roles/vmmigration.viewer ロールを割り当てます。

Google Cloud コンソールユーザーアカウント

Migrate to Virtual Machines のターゲットプロジェクトは、移行した VM を実行している Compute Engine インスタンスの宛先プロジェクトを定義します。Migrate to Virtual Machines のホストプロジェクトは、ターゲットプロジェクトとして使用できます。VM を他のプロジェクトに移行する場合は、これらの VM をターゲットプロジェクトとして Migrate to Virtual Machines に追加する必要があります。

ユーザーがターゲットプロジェクトを追加して、そのターゲットプロジェクトで Compute Engine インスタンスの詳細を構成する場合、そのユーザーには必須の Identity and Access Management（IAM）ロールと権限が必要です。

Google Cloud コンソールで操作を実行するため、これらの権限を必要とするユーザーアカウントは、Google Cloud コンソールへのログインに使用するアカウントになります。

ターゲットプロジェクトを Migrate to Virtual Machines に追加するには、Google Cloud コンソールへのログインに使用するユーザーアカウントには、ターゲットプロジェクトを追加する権限で説明されている権限が必要です。
ターゲットプロジェクトで実行されている Compute Engine インスタンスのターゲットの詳細を構成するには、Google Cloud コンソールへのログインに使用するユーザーアカウントに、ネットワーク、インスタンスタイプなど、ターゲットプロジェクトのデータにアクセスする権限が必要です。ターゲットインスタンスを構成する権限をご覧ください。

環境の IAM の構成方法に応じて、1 人のユーザーが両方の操作を実行できるようにするか、2 人のユーザーを別々に構成します。

ターゲットプロジェクトを追加する権限

ターゲットプロジェクトを追加するには、Google Cloud コンソールへのログインに使用するユーザーアカウントに次のものが必要です。

ホスト プロジェクトでのロール vmmigration.admin
ターゲット プロジェクトでのロール resourcemanager.projectIamAdmin

注: ターゲットプロジェクトでユーザーアカウントに resourcemanager.projectIamAdmin のロールがない場合や、セキュリティ上の理由からそのロールを追加できない場合でも、ターゲットプロジェクトは追加できます。ただし、プロジェクトを追加すると、プロジェクト名の横に警告アイコン（）が表示され、Compute Engine インスタンスをターゲットプロジェクトにデプロイできなくなります。

回避策として、ターゲットプロジェクトのセキュリティ管理者に連絡し、resourcemanager.projectIamAdmin ロールが構成されたユーザーアカウントを取得して、ターゲットプロジェクトを追加してみます。

あるいは、ターゲットプロジェクトを追加した後、ターゲットプロジェクトのロール vmmigration.serviceAgent を Migrate to Virtual Machines のデフォルトのサービスアカウントに割り当てます。

これらの権限の設定手順については、ホストプロジェクトのデフォルトサービスアカウントに権限を構成するをご覧ください。

Compute Engine インスタンスのターゲットの詳細を構成する権限

ターゲットプロジェクトで Compute Engine インスタンスのターゲットの詳細を構成するには、Google Cloud コンソールへのログインに使用するユーザーアカウントに次のものが必要です。

ターゲット プロジェクトでのロール roles/compute.viewer
注: ご利用の環境で共有 VPC を使用する場合、ユーザーアカウントには共有 VPC ホストプロジェクトに対するこの権限も必要です。

これらの権限の設定手順については、ホストプロジェクトのデフォルトサービスアカウントに権限を構成するをご覧ください。

Migrate to Virtual Machines のデフォルトのサービスアカウント

Migrate to Virtual Machines API を有効にすると、ホストプロジェクトにデフォルトのサービスアカウントが作成され、ロール vmmigration.serviceAgent が割り当てられます。Migrate to Virtual Machines は、このサービスアカウントを使用して、テストクローンの一部としてターゲットプロジェクトに Compute Engine インスタンスを作成し、カットオーバーします。

環境によっては、デフォルトサービスアカウントの権限を編集する必要が生じることもあります。

ターゲットプロジェクトで共有 VPC を使用する場合の権限

共有 VPC にアクセスするターゲットプロジェクトに Compute Engine インスタンスをデプロイするには、Migrate to Virtual Machines のデフォルトサービスアカウントに compute.networkUser ロールを追加して、共有 VPC ホストプロジェクト内のサブネットワークへのアクセスを許可する必要があります。

これらの権限の設定手順については、共有 VPC の権限の構成をご覧ください。

ターゲットプロジェクトのサービスアカウント

デフォルトでは、移行した VM をターゲット Compute Engine インスタンスにデプロイする際、インスタンスにサービスアカウントは割り当てられません。

Compute Engine インスタンスに Google Cloud サービスと API へのアクセス権が必要な場合は、それらのサービスと API へのアクセスに必要な権限を持つターゲットプロジェクトでサービスアカウントを作成します。次に、ターゲットの詳細を構成する一環として、作成したサービスアカウントを Compute Engine インスタンスに接続します。

ただし、対象のサービスアカウントを Compute Engine インスタンスに接続するには、Migrate to Virtual Machines のデフォルトサービスアカウントにターゲットプロジェクトのサービスアカウントの権限の構成で説明されている権限が必要です。

AWS をソースとして構成する権限

このセクションでは、権限の JSON テンプレートのフィールドについて詳しく説明します。移行権限の実装方法については、AWS IAM ポリシーを作成するをご覧ください。

{
    "Version": "2012-10-17",
    "Statement": [
        {
            "Effect": "Allow",
            "Action": [
                "ec2:DescribeInstances",
                "ec2:DescribeVolumes",
                "ec2:DescribeInstanceTypes",
                "ec2:DescribeSnapshots",
                "ec2:CreateTags",
                "ec2:CreateSnapshots",
                "ec2:StopInstances"
            ],
            "Resource": "*"
        },
        {
            "Effect": "Allow",
            "Action": [
                "ebs:ListSnapshotBlocks",
                "ebs:ListChangedBlocks",
                "ebs:GetSnapshotBlock",
                "ec2:DeleteSnapshot",
                "ec2:DeleteTags"
            ],
            "Resource": "*",
            "Condition": {
                "StringEquals": {
                    "aws:ResourceTag/m2vm-resource": "snapshot"
                }
            }
        }
    ]
}

移行候補インスタンスのインベントリを表示できるように、Migrate to Virtual Machines に ec2:DescribeInstances、ec2:DescribeVolumes および ec2:DescribeInstanceTypes の権限を付与します。

Migrate to Virtual Machines で EC2 ボリュームを AWS から Google Cloud に移行するには、次の権限が必要です。

ボリュームのスナップショットを作成できるように、ec2:DescribeSnapshots、ec2:CreateSnapshots、ec2:CreateTags の権限を付与します。
データを Google Cloud にコピーできるように、ebs:ListSnapshotBlocks、ebs:ListChangedBlocks、ebs:GetSnapshotBlock の権限を付与します。
古いスナップショットを削除できるように、ec2:DeleteSnapshot と ec2:DeleteTags の権限を付与します。

カットオーバーができるように、Migrate to Virtual Machines に ec2:StopInstances の権限を付与します。

Azure をソースとして構成する権限

このセクションでは、権限の JSON テンプレートのフィールドについて詳しく説明します。移行権限の実装方法については、カスタムロールを作成するをご覧ください。

ソースに関連付けられたリソースグループの作成、その存在の確認、そこに含まれているリソースの一覧表示、ソース削除時のリソースグループの削除を行うには、次の権限が必要です。

"Microsoft.Resources/subscriptions/resourceGroups/write",
"Microsoft.Resources/subscriptions/resourceGroups/read",
"Microsoft.Resources/subscriptions/resourceGroups/delete"

インベントリリストを取得し、移行する VM の詳細を取得するには、次の権限が必要です。

"Microsoft.Compute/virtualMachines/read"

VM を Google Cloud VM にカットオーバーするときに割り当てを解除するには、次の権限が必要です。

"Microsoft.Compute/virtualMachines/deallocate/action"

移行する VM のスナップショットまたは復元ポイントを作成、一覧表示、削除するには、次の権限が必要です。

"Microsoft.Compute/restorePointCollections/read",
"Microsoft.Compute/restorePointCollections/write",
"Microsoft.Compute/restorePointCollections/delete",
"Microsoft.Compute/restorePointCollections/restorePoints/read",
"Microsoft.Compute/restorePointCollections/restorePoints/write",
"Microsoft.Compute/restorePointCollections/restorePoints/delete",
"Microsoft.Compute/snapshots/delete",
"Microsoft.Compute/snapshots/write",
"Microsoft.Compute/snapshots/read"

スナップショットまたは復元ポイントのデータを読み取るには、次の権限が必要です。

"Microsoft.Compute/restorePointCollections/restorePoints/diskRestorePoints/read",
"Microsoft.Compute/restorePointCollections/restorePoints/diskRestorePoints/beginGetAccess/action",
"Microsoft.Compute/restorePointCollections/restorePoints/diskRestorePoints/endGetAccess/action",
"Microsoft.Compute/snapshots/beginGetAccess/action",
"Microsoft.Compute/snapshots/endGetAccess/action"

ロールと権限のリファレンス

Google Cloud コンソール ユーザー アカウント

ターゲット プロジェクトを追加する権限