Berechtigungen für Servicemitarbeiter an ein nutzerverwaltetes Dienstkonto delegieren

Bei agentenlosen Übertragungen verwendet der Storage Transfer Service standardmäßig einen Dienst-Agent, um Ihre Daten zwischen der Quelle und dem Ziel zu übertragen. Sie gewähren dem Dienst-Agent Berechtigungen für den Zugriff auf Ihre Cloud Storage-Buckets.

Da für alle Übertragungen innerhalb eines Projekts derselbe Storage Transfer Service-Dienst-Agent verwendet wird, hat er notwendigerweise Berechtigungen für alle Buckets, die an jeder Übertragung beteiligt sind.

Alternativ können Sie stattdessen mehreren von Nutzern verwalteten Dienstkonten Bucket-Berechtigungen zuweisen. Diesen nutzerverwalteten Dienstkonten werden Berechtigungen für bestimmte Quell- und Ziel-Buckets erteilt. Außerdem sind sie auf bestimmte Nutzerkonten beschränkt (die Konten, mit denen der Übertragungsjob erstellt oder ausgelöst wird).

Beispielszenarien

In den folgenden Szenarien werden verschiedene Berechtigungsoptionen mit dem Dienst-Agent und nutzerverwalteten Dienstkonten veranschaulicht.

Maximieren Sie die einzelnen Abschnitte, um die Details zu sehen.

Implementierungsübersicht

Die Implementierung sieht so aus:

• Sie erstellen ein nutzerverwaltetes Dienstkonto oder verwenden ein vorhandenes.
• Sie erteilen Berechtigungen:
  • Damit ein Nutzer auf das vom Nutzer verwaltete Dienstkonto zugreifen kann.
  • Damit der Dienst-Agent ein Zugriffstoken über das vom Nutzer verwaltete Dienstkonto generieren kann.
  • Damit das vom Nutzer verwaltete Dienstkonto auf Ihre Buckets zugreifen kann.
• Der Nutzer erstellt einen Übertragungsjob, in dem das vom Nutzer verwaltete Dienstkonto angegeben wird.
• Der Storage Transfer Service prüft, ob der Nutzer die richtigen Berechtigungen für das Dienstkonto hat. Wenn die richtigen Berechtigungen nicht erteilt wurden, schlägt das Erstellen des Übertragungsjobs fehl.
• Der Dienst-Agent generiert ein OAuth-Token im Namen des vom Nutzer verwalteten Dienstkontos. Das OAuth-Token ermöglicht dem Storage Transfer Service den Zugriff auf die an der Übertragung beteiligten Buckets.
• Der Übertragungsjob wird ausgeführt.
• Das OAuth-Token ist kurzlebig und läuft ab. Wenn der Übertragungsjob läuft, wenn das Token abläuft, generiert der Storage Transfer Service ein neues Token und setzt die Übertragung fort.

Berechtigungsdelegierung einrichten

Folgen Sie der Anleitung, um den Zugriff des Service-Agents auf ein nutzerverwaltetes Dienstkonto zu delegieren.

Voraussetzungen

• Zum Erstellen eines neuen nutzerverwalteten Dienstkontos benötigen Sie die Rolle „Dienstkonten erstellen“ (roles/iam.serviceAccountCreator) für das Projekt.
• Um dem Nutzer und dem Dienst-Agent Zugriff auf das vom Nutzer verwaltete Dienstkonto zu gewähren, benötigen Sie die Rolle „Dienstkontoadministrator“ (roles/iam.serviceAccountAdmin) für das vom Nutzer verwaltete Dienstkonto oder für das Projekt.

Vom Nutzer verwaltetes Dienstkonto erstellen oder ermitteln

Sie können ein neues nutzerverwaltetes Dienstkonto erstellen oder ein vorhandenes verwenden.

• Folgen Sie der Anleitung unter Dienstkonten erstellen, um ein vom Nutzer verwaltetes Dienstkonto zu erstellen.

• Wenn Sie ein vorhandenes nutzerverwaltetes Dienstkonto verwenden möchten, benötigen Sie die E-Mail-Adresse des Dienstkontos. Diese hat das folgende Format:

  SERVICE_ACCOUNT_NAME@PROJECT_ID.iam.gserviceaccount.com

Wenn sich das Dienstkonto in einem anderen Projekt als der Übertragungsjob befindet, lesen Sie den Abschnitt Ermöglichen, dass Dienstkonten projektübergreifend angehängt werden können.

Dem Nutzer Zugriff gewähren

Gewähren Sie dem Nutzerkonto Zugriff auf das neue vom Nutzer verwaltete Dienstkonto und weisen Sie die Rolle Dienstkontonutzer (roles/iam.serviceAccountUser) zu. Das Nutzerkonto ist das Konto, das zum Erstellen oder Aktualisieren des Übertragungsjobs verwendet wird.

gcloud iam service-accounts add-iam-policy-binding USER_MANAGED_SERVICE_ACCOUNT_EMAIL \
  --member=PRINCIPAL --role=roles/iam.serviceAccountUser

Zugriff auf den Dienst-Agent gewähren

Damit der Dienst-Agent ein Zugriffstoken aus dem vom Nutzer verwalteten Dienstkonto generieren kann, gewähren Sie dem Dienst-Agent Zugriff auf das vom Nutzer verwaltete Dienstkonto und weisen Sie ihm die Rolle Ersteller von Dienstkonto-Tokens (roles/iam.serviceAccountTokenCreator) zu.

Sie benötigen die E-Mail-Adresse des Dienst-Agents, um Zugriff zu gewähren. So finden Sie die E-Mail-Adresse des Dienst-Agents:

1. Rufen Sie die Referenzseite googleServiceAccounts.get auf.

   Es wird ein interaktives Steuerfeld mit dem Titel Diese Methode testen geöffnet.

2. Geben Sie im Steuerfeld unter Anfrageparameter Ihre Projekt-ID ein. Das hier angegebene Projekt muss das Projekt sein, das Sie zum Verwalten des Storage Transfer Service verwenden.

3. Klicken Sie auf Ausführen.

   Die E-Mail-Adresse des Dienst-Agents wird als Wert von accountEmail zurückgegeben. Es wird das Format project-PROJECT_NUMBER@storage-transfer-service.iam.gserviceaccount.com verwendet.

So gewähren Sie dem Dienst-Agent Zugriff auf das vom Nutzer verwaltete Dienstkonto:

gcloud iam service-accounts add-iam-policy-binding USER_MANAGED_SERVICE_ACCOUNT_EMAIL \
  --member=serviceAccount:SERVICE_AGENT_EMAIL --role=roles/iam.serviceAccountTokenCreator

Bucket-Berechtigungen für das vom Nutzer verwaltete Dienstkonto erteilen

Erteilen Sie die in Berechtigungen für von Google verwaltete Dienst-Agents aufgeführten Berechtigungen für das nutzerverwaltete Dienstkonto anstelle des Dienst-Agents.

Übertragungsjob mit einem vom Nutzer verwalteten Dienstkonto erstellen

Nachdem Sie die richtigen Berechtigungen erteilt haben, können Sie das nutzerverwaltete Dienstkonto beim Erstellen eines neuen Übertragungsjobs angeben.

POST https://storagetransfer.googleapis.com/v1/transferJobs
{
"description": "A transfer using a user-managed service account for bucket permissions",
"status": "ENABLED",
"projectId": "PROJECT_ID",
"serviceAccount": "projects/-/serviceAccounts/SERVICE_ACCOUNT_NAME@PROJECT_ID.iam.gserviceaccount.com",
"transferSpec": {
    ...
  }
}