דרישות מוקדמות לייבוא ולייצוא של תמונות VM

המסוף

1. עוברים לדף IAM & Admin של הפרויקט או הארגון.

   כניסה לדף IAM & Admin

2. מאתרים את החשבון ולוחצים על edit עריכה.

3. ברשימה Select a role, בוחרים את התפקידים הבאים:

   • ‫Cloud Storage > Storage Admin
   • Project > Viewer
   • מנהל המשאבים > Project IAM Admin
   • ‫Cloud Build > עריכה ב-Cloud Build

4. שומרים את השינויים.

gcloud

בשלבים הבאים, משתמשים בפקודה gcloud projects add-iam-policy-binding כדי להעניק את התפקידים הנדרשים ברמת הפרויקט.

1. הקצאת התפקיד roles/storage.admin:

   gcloud projects add-iam-policy-binding PROJECT_ID \
     --member='MEMBER' \
     --role='roles/storage.admin'
   

   מחליפים את מה שכתוב בשדות הבאים:

   • ‫PROJECT_ID: Cloud de Confiance מזהה הפרויקט של הפרויקט
   • ‫MEMBER: החשבון שמריץ את פקודות הייבוא והייצוא, לדוגמה, user:export-user@gmail.com

2. הקצאת התפקיד roles/viewer:

   gcloud projects add-iam-policy-binding PROJECT_ID \
     --member='MEMBER' \
     --role='roles/viewer'
   

3. הקצאת התפקיד roles/resourcemanager.projectIamAdmin:

   gcloud projects add-iam-policy-binding PROJECT_ID \
     --member='MEMBER' \
     --role='roles/resourcemanager.projectIamAdmin'
   

4. הקצאת התפקיד roles/cloudbuild.builds.editor:

   gcloud projects add-iam-policy-binding PROJECT_ID \
     --member='MEMBER' \
     --role='roles/cloudbuild.builds.editor'
   

REST

1. קוראים את המדיניות הקיימת באמצעות ה-method ‏getIamPolicy של המשאב. לפרויקטים, צריך להשתמש ב-projects.getIamPolicy method.

   POST https://cloudresourcemanager.googleapis.com/v1/projects/PROJECT_ID:getIamPolicy
   

   מחליפים את PROJECT_ID במזהה הפרויקט, לדוגמה, my-project-1.

2. כדי להקצות לחשבון את התפקידים הנדרשים, עורכים את המדיניות באמצעות כלי לעריכת טקסט.

   לדוגמה, כדי להקצות את התפקיד הנדרש לחשבון user:export-user@gmail.com, מוסיפים את הקישור הבא למדיניות:

   {
      {
        "role":"roles/storage.admin",
        "member":[
          "user:export-user@gmail.com"
        ]
      }
      {
        "roles":"roles/viewer",
        "member":[
          "user:export-user@gmail.com"
        ]
      }
      {
        "roles":"roles/resourcemanager.projectIamAdmin",
        "member":[
          "user:export-user@gmail.com"
        ]
      }
      {
        "roles":"roles/cloudbuild.builds.editor",
        "member":[
          "user:export-user@gmail.com"
        ]
      }
   }
   

3. כדי לכתוב את המדיניות המעודכנת, משתמשים בשיטה setIamPolicy.

   לדוגמה, כדי להגדיר מדיניות ברמת הפרויקט, משתמשים ב-method ‏project.setIamPolicy. בגוף הבקשה, מציינים את מדיניות ה-IAM המעודכנת מהשלב הקודם.

   POST https://cloudresourcemanager.googleapis.com/v1/projects/PROJECT_ID:setIamPolicy
   

המסוף

1. אחרי שמפעילים את Cloud Build API, עוברים לדף IAM & Admin של הפרויקט או הארגון.

   כניסה לדף IAM & Admin

2. מוצאים את חשבון השירות של Cloud Build ולוחצים על edit עריכה.

3. אם התפקידים הנדרשים לא מופיעים, צריך לפעול לפי השלבים הבאים:

   1. לוחצים על add הוספת תפקיד נוסף.

   2. ברשימה Select a role, בוחרים את התפקידים הנדרשים שרוצים להוסיף:

      • Service Account > Service Account Token Creator
      • Service Account > Service Account User

      • ‫Compute Engine > Compute Admin

        אפשר גם לבחור בתפקיד בהתאמה אישית. אפשר לעיין במאמר ההרשאות הנדרשות לתפקיד בהתאמה אישית בחלק הקודם של המסמך הזה.

   3. לוחצים על שמירה כדי לשמור את השינויים.

4. אופציונלי: אם מייבאים או מייצאים תמונות שמשתמשות ב-VPC משותף, בוחרים את התפקיד Compute Network User (משתמש ברשת Compute) בפרויקט ה-VPC המשותף:

   1. בכלי לבחירת פרויקטים בחלק העליון של המסוף, בוחרים את פרויקט המארח של ה-VPC המשותף.
   2. בדף IAM & Admin, לוחצים על person_add Grant access.
   3. בשדה New principals, מזינים את כתובת האימייל של חשבון השירות ב-Cloud Build:
      ‫

       PROJECT_NUMBER@cloudbuild.s3ns-system.iam.gserviceaccount.com'
       

      מחליפים את הערך PROJECT_NUMBER במספר הייחודי של הפרויקט שאליו מייבאים או ממנו מייצאים תמונות.
   4. ברשימה Select a role בוחרים בתפקיד Compute Engine > Compute Network User.
   5. לוחצים על שמירה כדי לשמור את השינויים.

gcloud

בשלבים הבאים, משתמשים בפקודה gcloud projects add-iam-policy-binding כדי להעניק את התפקידים הנדרשים ברמת הפרויקט.

1. מקצים את התפקיד roles/compute.admin לחשבון השירות של Cloud Build. כדי להימנע מהקצאת התפקיד roles/compute.admin, אפשר ליצור תפקיד בהתאמה אישית עם ההרשאות הנדרשות, ואז להקצות את התפקיד הזה לחשבון השירות של Cloud Build. אפשר לעיין במאמר ההרשאות הנדרשות לתפקיד בהתאמה אישית שמופיע קודם לכן במסמך הזה.

   gcloud projects add-iam-policy-binding PROJECT_ID \
      --member='serviceAccount:PROJECT_NUMBER@cloudbuild.s3ns-system.iam.gserviceaccount.com' \
      --role='roles/compute.admin'
   

   מחליפים את מה שכתוב בשדות הבאים:

   • ‫PROJECT_ID: Cloud de Confiance מזהה הפרויקט של הפרויקט
   • ‫PROJECT_NUMBER: Cloud de Confiance מספר הפרויקט של הפרויקט

2. הקצאת התפקיד roles/iam.serviceAccountUser:

   gcloud projects add-iam-policy-binding PROJECT_ID \
      --member='serviceAccount:PROJECT_NUMBER@cloudbuild.s3ns-system.iam.gserviceaccount.com' \
      --role='roles/iam.serviceAccountUser'
   

3. הקצאת התפקיד roles/iam.serviceAccountTokenCreator:

   gcloud projects add-iam-policy-binding PROJECT_ID \
      --member='serviceAccount:PROJECT_NUMBER@cloudbuild.s3ns-system.iam.gserviceaccount.com' \
      --role='roles/iam.serviceAccountTokenCreator'
   

4. אופציונלי: אם אתם מייצאים או מייבאים תמונות שמשתמשות ב-VPC משותף, צריך להעניק את התפקיד roles/compute.networkUser:

   gcloud projects add-iam-policy-binding HOST_PROJECT_ID \
      --member='serviceAccount:PROJECT_NUMBER@cloudbuild.s3ns-system.iam.gserviceaccount.com' \
      --role='roles/compute.networkUser'
   

   מחליפים את מה שכתוב בשדות הבאים:

   • ‫HOST_PROJECT_ID: מזהה הפרויקט המארח שבו נמצא ה-VPC המשותף
   • ‫PROJECT_NUMBER: המספר הייחודי של הפרויקט שממנו מייבאים או אליו מייצאים תמונות

REST

1. קוראים את המדיניות הקיימת באמצעות ה-method ‏getIamPolicy של המשאב. לפרויקטים, צריך להשתמש ב-projects.getIamPolicy method.

   POST https://cloudresourcemanager.googleapis.com/v1/projects/PROJECT_ID:getIamPolicy
   

   מחליפים את PROJECT_ID במזהה הפרויקט, לדוגמה, my-project-1.

2. כדי להקצות לחשבון את התפקידים הנדרשים, עורכים את המדיניות באמצעות כלי לעריכת טקסט.

   לדוגמה, כדי להקצות את התפקידים הנדרשים ל-serviceAccount:12345@cloudbuild.s3ns-system.iam.gserviceaccount.com, מוסיפים את הקישור הבא למדיניות:

   {
      {
        "role":"roles/compute.admin",
        "member":[
          "serviceAccount:12345@cloudbuild.s3ns-system.iam.gserviceaccount.com"
        ]
      }
      {
        "roles":"roles/iam.serviceAccountUser",
        "member":[
          "serviceAccount:12345@cloudbuild.s3ns-system.iam.gserviceaccount.com"
        ]
      }
     {
        "roles":"roles/iam.serviceAccountTokenCreator",
        "member":[
          "serviceAccount:12345@cloudbuild.s3ns-system.iam.gserviceaccount.com"
        ]
      }
   }
   

   כדי להימנע מהקצאת התפקיד roles/compute.admin, אפשר ליצור תפקיד בהתאמה אישית עם ההרשאות הנדרשות, ואז להקצות את התפקיד הזה לחשבון השירות של Cloud Build. אפשר לעיין במאמר ההרשאות הנדרשות לתפקיד בהתאמה אישית שמופיע קודם לכן במסמך הזה.

3. אופציונלי: אם מייצאים או מייבאים תמונות שמשתמשות ב-VPC משותף, צריך להעניק את התפקיד roles/compute.networkUser בפרויקט של ה-VPC המשותף.

   POST https://cloudresourcemanager.googleapis.com/v1/projects/HOST_PROJECT_ID:getIamPolicy
   

   מחליפים את HOST_PROJECT_ID במזהה של פרויקט ה-VPC המשותף.

   מוסיפים את הקישור הבא ב-IAM לחשבון השירות של Cloud Build:

   {
      {
        "roles":"roles/compute.networkUser",
        "member":[
          "serviceAccount:12345@cloudbuild.s3ns-system.iam.gserviceaccount.com"
        ]
      }
   }
   

4. כדי לכתוב את המדיניות המעודכנת, משתמשים בשיטה setIamPolicy.

   לדוגמה, כדי להגדיר מדיניות ברמת הפרויקט, משתמשים בשיטה project.setIamPolicy. בגוף הבקשה, מציינים את מדיניות ה-IAM המעודכנת מהשלב הקודם.

   POST https://cloudresourcemanager.googleapis.com/v1/projects/PROJECT_ID:setIamPolicy
   

המסוף

1. עוברים לדף IAM & Admin של הפרויקט או הארגון.

   כניסה לדף IAM & Admin

2. מחפשים את חשבון השירות של Compute Engine ולוחצים על edit עריכה.

3. ברשימה Select a role, בוחרים את התפקידים הבאים:

   • ‫Compute Engine > Compute Storage Admin
   • ‫Cloud Storage > צפייה באובייקטים באחסון
   • ‫Cloud Storage > אדמין של אובייקטים באחסון

4. שומרים את השינויים.

gcloud

בשלבים הבאים, משתמשים בפקודה gcloud projects add-iam-policy-binding כדי להעניק את התפקידים הנדרשים ברמת הפרויקט.

1. הקצאת התפקיד roles/compute.storageAdmin:

   gcloud projects add-iam-policy-binding PROJECT_ID \
     --member='serviceAccount:PROJECT_NUMBER-compute@developer.s3ns-system.iam.gserviceaccount.com' \
     --role='roles/compute.storageAdmin'
   

2. אם מייבאים תמונה, צריך להעניק את התפקיד roles/storage.objectViewer:

   gcloud projects add-iam-policy-binding PROJECT_ID \
     --member='serviceAccount:PROJECT_NUMBER-compute@developer.s3ns-system.iam.gserviceaccount.com' \
     --role='roles/storage.objectViewer'
   

3. אם מייצאים תמונה, צריך להעניק את התפקיד roles/storage.objectAdmin:

   gcloud projects add-iam-policy-binding PROJECT_ID \
     --member='serviceAccount:PROJECT_NUMBER-compute@developer.s3ns-system.iam.gserviceaccount.com' \
     --role='roles/storage.objectAdmin'
   

REST

1. קוראים את המדיניות הקיימת באמצעות ה-method ‏getIamPolicy של המשאב. לפרויקטים, צריך להשתמש ב-projects.getIamPolicy method.

   POST https://cloudresourcemanager.googleapis.com/v1/projects/PROJECT_ID:getIamPolicy
   

   מחליפים את PROJECT_ID במזהה הפרויקט, לדוגמה, my-project-1.

2. כדי להקצות לחשבון את התפקידים הנדרשים, עורכים את המדיניות באמצעות כלי לעריכת טקסט.

   לדוגמה, כדי להקצות את התפקידים הנדרשים ל-serviceAccount:12345-compute@developer.s3ns-system.iam.gserviceaccount.com לצורך ייבוא תמונה, מוסיפים את הקישור הבא למדיניות:

   {
      {
        "role":"roles/compute.storageAdmin",
        "member":[
          "serviceAccount:12345-compute@developer.s3ns-system.iam.gserviceaccount.com"
        ]
      }
      {
        "roles":"roles/storage.objectViewer",
        "member":[
          "serviceAccount:12345-compute@developer.s3ns-system.iam.gserviceaccount.com"
        ]
      }
   }
   

3. כדי לכתוב את המדיניות המעודכנת, משתמשים בשיטה setIamPolicy.

   לדוגמה, כדי להגדיר מדיניות ברמת הפרויקט, משתמשים ב-method ‏project.setIamPolicy. בגוף הבקשה, מציינים את מדיניות ה-IAM המעודכנת מהשלב הקודם.

   POST https://cloudresourcemanager.googleapis.com/v1/projects/PROJECT_ID:setIamPolicy