Delega permisos del agente de servicio a una cuenta de servicio administrada por el usuario

Para las transferencias sin agente, el Servicio de transferencia de almacenamiento usa de forma predeterminada un agente de servicio para transferir tus datos entre la fuente y el destino. Otorgas permisos al agente de servicio para acceder a tus buckets de Cloud Storage.

Dado que todas las transferencias de un proyecto usan el mismo agente de servicio de Servicio de transferencia de almacenamiento, este necesariamente tiene permisos en todos los buckets involucrados en cada transferencia.

Como alternativa, puedes asignar permisos de bucket a varias cuentas de servicio administradas por el usuario. A estas cuentas de servicio administradas por el usuario se les otorgan permisos en buckets de origen y destino específicos, y también se restringen a cuentas de usuario específicas (las cuentas que crean o activan el trabajo de transferencia).

Situaciones de ejemplo

En las siguientes situaciones, se muestran diferentes opciones de permisos con el agente de servicio y las cuentas de servicio administradas por el usuario.

Expande cada sección para ver los detalles.

Descripción general de la implementación

La implementación es la siguiente:

• Creas una cuenta de servicio administrada por el usuario o usas una existente.
• Otorga permisos:
  • Para que un usuario acceda a la cuenta de servicio administrada por el usuario
  • Para que el agente de servicio genere un token de acceso desde la cuenta de servicio administrada por el usuario.
  • Para que la cuenta de servicio administrada por el usuario acceda a tus buckets
• El usuario crea un trabajo de transferencia que especifica la cuenta de servicio administrada por el usuario.
• El Servicio de transferencia de almacenamiento verifica que el usuario tenga los permisos correctos en la cuenta de servicio. Si no se otorgaron los permisos correctos, fallará la creación del trabajo de transferencia.
• El agente de servicio genera un token de OAuth en nombre de la cuenta de servicio administrada por el usuario. El token de OAuth permite que el Servicio de transferencia de almacenamiento acceda a los buckets involucrados en la transferencia.
• Se ejecuta el trabajo de transferencia.
• El token de OAuth es de corta duración y caduca. Si el trabajo de transferencia está en curso cuando vence el token, el Servicio de transferencia de almacenamiento genera uno nuevo y continúa con la transferencia.

Cómo configurar la delegación de permisos

Sigue las instrucciones para delegar el acceso del agente de servicio a una cuenta de servicio administrada por el usuario.

Requisitos

• Para crear una cuenta de servicio administrada por el usuario nueva, necesitas el rol de Creador de cuentas de servicio (roles/iam.serviceAccountCreator) en el proyecto.
• Para otorgar acceso al usuario y al agente de servicio a la cuenta de servicio administrada por el usuario, necesitas el rol de administrador de cuenta de servicio (roles/iam.serviceAccountAdmin) en la cuenta de servicio administrada por el usuario o en el proyecto.

Crea o identifica una cuenta de servicio administrada por el usuario

Puedes crear una cuenta de servicio administrada por el usuario nueva o usar una existente.

• Para crear una cuenta de servicio administrada por el usuario, sigue las instrucciones en Crea cuentas de servicio.

• Para usar una cuenta de servicio existente administrada por el usuario, necesitas su dirección de correo electrónico, que usa el siguiente formato:

  SERVICE_ACCOUNT_NAME@PROJECT_ID.iam.gserviceaccount.com

Si la cuenta de servicio está en un proyecto diferente al del trabajo de transferencia, consulta Habilita cuentas de servicio para conectarlas entre proyectos.

Otorga acceso al usuario

Otorga acceso a la cuenta de usuario a la nueva cuenta de servicio administrada por el usuario y asigna el rol de usuario de cuenta de servicio (roles/iam.serviceAccountUser). La cuenta de usuario es la que se usa para crear o actualizar el trabajo de transferencia.

gcloud iam service-accounts add-iam-policy-binding USER_MANAGED_SERVICE_ACCOUNT_EMAIL \
  --member=PRINCIPAL --role=roles/iam.serviceAccountUser

Otorga acceso al agente de servicio

Para permitir que el agente de servicio genere un token de acceso desde la cuenta de servicio administrada por el usuario, otórgale acceso a la cuenta de servicio administrada por el usuario y asígnale el rol de Creador de tokens de cuenta de servicio (roles/iam.serviceAccountTokenCreator).

Necesitas la dirección de correo electrónico del agente de servicio para otorgar acceso. Para encontrar el correo electrónico del agente de servicio, sigue estos pasos:

1. Ve a la página de referencia de googleServiceAccounts.get.

   Se abrirá un panel interactivo con el título Prueba este método.

2. En el panel, en Parámetros de solicitud, ingresa el ID del proyecto. El proyecto que especifiques aquí debe ser el proyecto que usas para administrar el Servicio de transferencia de almacenamiento.

3. Haz clic en Ejecutar.

   El correo electrónico del agente de servicio se muestra como el valor de accountEmail. Usa el formato project-PROJECT_NUMBER@storage-transfer-service.iam.gserviceaccount.com.

Luego, para otorgar acceso al agente de servicio a la cuenta de servicio administrada por el usuario, haz lo siguiente:

gcloud iam service-accounts add-iam-policy-binding USER_MANAGED_SERVICE_ACCOUNT_EMAIL \
  --member=serviceAccount:SERVICE_AGENT_EMAIL --role=roles/iam.serviceAccountTokenCreator

Otorga permisos de bucket a la cuenta de servicio administrada por el usuario

Otorga los permisos que se indican en Permisos de los agentes de servicio administrados por Google a la cuenta de servicio administrada por el usuario, en lugar de al agente de servicio.

Crea un trabajo de transferencia con una cuenta de servicio administrada por el usuario

Una vez que hayas otorgado los permisos correctos, podrás especificar la cuenta de servicio administrada por el usuario cuando crees un trabajo de transferencia nuevo.

POST https://storagetransfer.googleapis.com/v1/transferJobs
{
"description": "A transfer using a user-managed service account for bucket permissions",
"status": "ENABLED",
"projectId": "PROJECT_ID",
"serviceAccount": "projects/-/serviceAccounts/SERVICE_ACCOUNT_NAME@PROJECT_ID.iam.gserviceaccount.com",
"transferSpec": {
    ...
  }
}