连接到 Cloud Storage 存储分区

此页面介绍将 Cloud Storage 用作存储机器学习数据和训练输出的选项，并介绍如何为 Cloud TPU 授予权限以访问 Cloud Storage 上的数据对象。

准备工作

您需要有 Cloud TPU 服务帐号才能访问 Cloud Storage 存储分区。

为您的项目创建 Cloud TPU 服务帐号。
```
gcloud beta services identity create --service tpu.googleapis.com --project $PROJECT_ID
```
该命令将返回以下格式的 Cloud TPU 服务帐号：
```
service-PROJECT_NUMBER@cloud-tpu.iam.gserviceaccount.com
```
重要提示：此命令会创建一个服务代理，这是一种由 Google 管理的特殊服务帐号，不会列在 Google Cloud Console 的“服务帐号”页面中。
按照 Cloud TPU 快速入门指南或创建和删除 TPU 文档中的说明配置 Google Cloud 项目，以及创建您的 Cloud TPU 虚拟机和 TPU 资源。

使用 gsutil mb 命令创建 Cloud Storage 存储分区：

gsutil mb -l region gs://bucket-name/

其中：

region 是您创建 Cloud TPU 的地区。例如：us-central1。Cloud TPU 现已在以下地区提供：

Cloud TPU v2 和抢占式 v2 asia-east1

使用 gsutil cp 命令将文件写入 Cloud Storage 存储分区：
```
gsutil cp -r local-data-dir gs://bucket-name
```
其中 local-data-dir 是数据的本地路径。例如：$HOME/your-data

您需要向 Cloud TPU 提供对 Cloud Storage 对象的读取/写入权限。为此，您必须向 Cloud TPU 使用的 Cloud TPU 服务帐号授予必需的访问权限。请按照以下步骤查找 Cloud TPU 服务帐号并授予必需的访问权限：

如果您将训练数据存储在 Cloud Storage 上，则 Cloud TPU 服务帐号需要存储分区的读写权限。

转到 Cloud Storage 浏览页面，查看您拥有的存储分区。
转到 Cloud Storage 浏览器
选择您要修改其 ACL 的存储桶。
选择 Permissions 标签。
选择 Add 添加新权限，并在 New Principals 编辑框中输入完整的服务帐号名称。
如果您要从此存储分区读取数据，则您必须授予 TPU 服务帐号从资源读取数据的权限。您可以通过向服务帐号授予 Storage Legacy > Storage Legacy Bucket Reader 角色来实现此目的。
如果您要向此存储分区写入数据，则您必须授予 TPU 服务帐号向资源写入数据的权限。您可以通过向服务帐号授予 Storage Legacy > Storage Legacy Bucket Writer 角色来实现此目的。

如果您要读取此存储分区，请为 Cloud TPU 服务帐号授予读取权限：
```
 gsutil acl ch -u tpu-service-account:READER gs://bucket-name
```
如果您要写入此存储分区，请为 Cloud TPU 服务帐号授予写入权限：
```
 gsutil acl ch -u tpu-service-account:WRITER gs://bucket-name
```

如果要授予更宽泛的权限而不是将对各个存储分区的访问权限明确列入白名单，则需要向 Cloud TPU 服务帐号授予 Identity Access Management (IAM) Storage Admin 角色。