Le service de transfert de stockage utilise les autorisations et rôles IAM (Identity and Access Management) pour contrôler qui peut accéder aux ressources du service. Les principaux types de ressources disponibles au sein du service de transfert de stockage sont les tâches, les opérations et les pools d'agents. Dans la hiérarchie des stratégies IAM, les tâches sont des ressources enfants de projets, tandis que les opérations sont des ressources enfants de tâches.
Pour accorder l'accès à une ressource, attribuez une ou plusieurs autorisations ou un ou plusieurs rôles à un utilisateur, un groupe ou un compte de service.
Autorisations
Dans le cadre du service de transfert de stockage, vous pouvez accorder les autorisations suivantes :
Autorisation liée au projet de transfert
| Autorisation | Description |
|---|---|
storagetransfer.projects.getServiceAccount |
Autorise à lire le compte de service Google utilisé par le service de transfert de stockage pour accéder aux buckets Cloud Storage. |
Autorisations liées aux tâches de transfert
Le tableau suivant décrit les autorisations liées aux tâches du service de transfert de stockage :
| Autorisation | Description |
|---|---|
storagetransfer.jobs.create |
Autorise à créer des tâches de transfert. |
storagetransfer.jobs.delete |
Autorise à supprimer des tâches de transfert existantes. Les tâches de transfert sont supprimées par un appel à la fonction patch. Toutefois, les utilisateurs doivent disposer de cette autorisation lors de la suppression de tâches de transfert afin d'éviter toute erreur d'autorisation. |
storagetransfer.jobs.get |
Autorise à récupérer des tâches spécifiques. |
storagetransfer.jobs.list |
Autorise à répertorier l'ensemble des tâches de transfert. |
storagetransfer.jobs.run |
Permet d'exécuter toutes les tâches de transfert. |
storagetransfer.jobs.update |
Autorise à mettre à jour les configurations de tâches de transfert sans les supprimer. |
Autorisations liées aux opérations de transfert
Le tableau suivant décrit les autorisations liées aux opérations du service de transfert de stockage :
| Autorisation | Description |
|---|---|
storagetransfer.operations.assign |
Utilisé par les agents de transfert pour attribuer des opérations. |
storagetransfer.operations.cancel |
Autorise à annuler des opérations de transfert. |
storagetransfer.operations.get |
Autorise à obtenir les détails des opérations de transfert. |
storagetransfer.operations.list |
Autorise à répertorier l'ensemble des opérations de transfert. |
storagetransfer.operations.pause |
Autorise à mettre en pause les opérations de transfert. |
storagetransfer.operations.report |
Utilisé par les agents de transfert pour signaler l'état de l'opération. |
storagetransfer.operations.resume |
Autorise à reprendre les opérations de transfert mises en pause. |
Autorisations liées au pool d'agents de transfert
Le tableau suivant décrit les autorisations pour les pools d'agents de transfert des systèmes de fichiers :
| Permission | Description |
|---|---|
storagetransfer.agentpools.create |
Peut créer des pools d'agents. |
storagetransfer.agentpools.update |
Peut mettre à jour les pools d'agents. |
storagetransfer.agentpools.delete |
Peut supprimer des pools d'agents. |
storagetransfer.agentpools.get |
Peut obtenir des informations sur des pools d'agents spécifiques. |
storagetransfer.agentpools.list |
Peut répertorier des informations pour tous les pools d'agents du projet. |
storagetransfer.agentpools.report |
Utilisé par les agents de transfert pour signaler l'état. |
Rôles prédéfinis
Cette section décrit les rôles prédéfinis pour le service de transfert de stockage. Les rôles sont les méthodes privilégiées pour définir des autorisations IAM.
Comparaison des rôles
Vous pouvez attribuer le rôle de projet suivant ou les rôles prédéfinis associés au service de transfert de stockage :
| Capacité | Éditeur (roles/editor) |
Transfert de stockage (roles/storagetransfer.) |
||
|---|---|---|---|---|
Administrateur (admin) |
Utilisateur (user) |
Lecteur (viewer) |
||
| Répertorier/obtenir des tâches | ||||
| Créer des jobs | ||||
| Exécuter des tâches | ||||
| Mettre à jour des tâches | ||||
| Supprimer des tâches | ||||
| Répertorier/obtenir des opérations de transfert | ||||
| Mettre en pause/reprendre des opérations de transfert | ||||
| Consulter les détails des comptes de service Google utilisés par le service de transfert de stockage pour accéder aux buckets Cloud Storage. | ||||
| Répertorier des agents | ||||
| Répertorier des pools d'agents | ||||
| Créer des pools d'agents | ||||
| Mettre à jour les pools d'agents | ||||
| Supprimer des pools d'agents | ||||
| Obtenir des pools d'agents | ||||
| Lire ou définir la bande passante du projet | ||||
Détails du rôle
Le tableau suivant décrit en détail les rôles prédéfinis pour le service de transfert de stockage :
| Rôle | Description | Autorisations associées |
|---|---|---|
| Administrateur du transfert de stockage ( roles/storagetransfer.) |
Fournit toutes les autorisations pour le service de transfert de stockage, y compris la suppression de tâches. Justification : Il s'agit du rôle de plus haut niveau possédant les responsabilités les plus étendues. Cela correspond au super-utilisateur qui est en appui de ses collègues lors des transferts. Ce rôle convient particulièrement aux personnes chargées d'administrer les transferts, typiquement les administrateurs informatiques. |
|
| Utilisateur du transfert de stockage ( roles/storagetransfer.) |
Fournit à l'utilisateur les autorisations permettant de créer, d'obtenir, de mettre à jour et de répertorier des tâches de transfert au sein du projet. Toutefois, l'utilisateur n'est pas autorisé à supprimer ses propres tâches. Justification : Ce rôle permet de séparer d'un côté la création et la maintenance de tâches, et de l'autre leur suppression. Ce rôle convient particulièrement aux utilisateurs qui doivent exécuter des transferts dans le cadre de leurs fonctions, par exemple un employé. Ce rôle ne permet pas de supprimer le transfert, de sorte que les auditeurs ou le personnel de sécurité puissent consulter un enregistrement des transferts passés sans la moindre altération. |
|
| Lecteur du transfert de stockage ( roles/storagetransfer.) |
Fournit des autorisations permettant de répertorier et d'obtenir des tâches et opérations de transfert au sein du projet. L'utilisateur ne peut pas planifier, mettre à jour ou supprimer des tâches. Justification : Le rôle de lecteur est conçu pour un accès en lecture seule, afin de visualiser les tâches et les opérations de transfert. Ce rôle permet de séparer les tâches d'audit et de création de rapports de la création et de la maintenance des tâches. Il convient particulièrement aux utilisateurs ou aux équipes internes qui réalisent l'audit des transferts, tels que les responsables de la sécurité, de la conformité ou des unités commerciales. |
|
Agent Storage Transfer (roles/storagetransfer.transferAgent) |
Attribue aux agents de transfert les autorisations requises pour effectuer un transfert à l'aide du service de transfert de stockage. Depuis le 1er mai 2024, les autorisations "pubsub" ne sont plus nécessaires. Attribuez ce rôle à l'utilisateur ou au compte de service utilisé par les agents. |
|
Agent du service de transfert de stockage (roles/storagetransfer.serviceAgent)
|
Accorde à l'agent de service du service de transfert de stockage les autorisations requises pour créer et modifier des sujets Pub/Sub afin de communiquer de Google Cloud vers les agents de transfert. Attribuez ce rôle à l'agent de service du service de transfert de stockage. |
|
Rôles personnalisés
Vous pouvez créer et appliquer des rôles IAM personnalisés pour répondre aux exigences d'accès de votre organisation.
Lorsque vous créez des rôles personnalisés, nous vous recommandons d'utiliser une combinaison de rôles prédéfinis pour vous assurer que les autorisations appropriées sont incluses.
Google Cloud Console ne fonctionnera pas correctement si le rôle personnalisé ne dispose pas des autorisations requises. Par exemple, certaines parties de la console Google Cloud partent du principe que le rôle dispose d'un accès en lecture pour afficher un élément avant de le modifier. Par conséquent, certains écrans de la console Google Cloud sont susceptibles de ne pas fonctionner correctement pour un rôle doté seulement d'autorisations en écriture.