Mendelegasikan izin agen layanan ke akun layanan yang dikelola pengguna

Untuk transfer tanpa agen, Storage Transfer Service secara default menggunakan agen layanan untuk mentransfer data Anda antara sumber dan tujuan. Anda memberikan izin kepada agen layanan untuk mengakses bucket Cloud Storage Anda.

Karena agen layanan Storage Transfer Service yang sama digunakan oleh semua transfer dalam project, agen layanan tersebut harus memiliki izin di semua bucket yang terlibat dalam setiap transfer.

Sebagai alternatif, Anda dapat menetapkan izin bucket ke beberapa akun layanan yang dikelola pengguna. Akun layanan yang dikelola pengguna ini diberikan izin pada bucket asal dan tujuan tertentu, dan juga dibatasi untuk akun pengguna tertentu (akun yang membuat atau memicu tugas transfer).

Contoh skenario

Skenario berikut menunjukkan berbagai opsi izin menggunakan agen layanan dan akun layanan yang dikelola pengguna.

Luaskan setiap bagian untuk melihat detailnya.

Ringkasan implementasi

Implementasinya adalah sebagai berikut:

• Anda membuat akun layanan yang dikelola pengguna, atau menggunakan akun yang sudah ada.
• Anda memberikan izin:
  • Agar pengguna dapat mengakses akun layanan yang dikelola pengguna.
  • Agar agen layanan dapat membuat token akses dari akun layanan yang dikelola pengguna.
  • Agar akun layanan yang dikelola pengguna dapat mengakses bucket Anda.
• Pengguna membuat tugas transfer yang menentukan akun layanan yang dikelola pengguna.
• Layanan Transfer Penyimpanan memeriksa apakah pengguna memiliki izin yang benar di akun layanan. Jika izin yang benar belum diberikan, pembuatan tugas transfer akan gagal.
• Agen layanan membuat token OAuth atas nama akun layanan yang dikelola pengguna. Token OAuth memungkinkan Storage Transfer Service mengakses bucket yang terlibat dalam transfer.
• Tugas transfer dijalankan.
• Token OAuth berumur pendek dan masa berlakunya terbatas. Jika tugas transfer sedang berlangsung saat masa berlaku token habis, Storage Transfer Service akan membuat token baru dan melanjutkan transfer.

Menyiapkan delegasi izin

Ikuti petunjuk untuk mendelegasikan akses agen layanan ke akun layanan yang dikelola pengguna.

Persyaratan

• Untuk membuat akun layanan baru yang dikelola pengguna, Anda memerlukan peran Create Service Accounts (roles/iam.serviceAccountCreator) di project.
• Untuk memberikan akses bagi pengguna dan agen layanan ke akun layanan yang dikelola pengguna, Anda memerlukan peran Admin Akun Layanan (roles/iam.serviceAccountAdmin) di akun layanan yang dikelola pengguna, atau di project.

Membuat atau mengidentifikasi akun layanan yang dikelola pengguna

Anda dapat membuat akun layanan yang dikelola pengguna baru, atau menggunakan akun yang sudah ada.

• Untuk membuat akun layanan yang dikelola pengguna, ikuti petunjuk di Membuat akun layanan.

• Untuk menggunakan akun layanan yang dikelola pengguna yang ada, Anda memerlukan alamat emailnya, yang menggunakan format berikut:

  SERVICE_ACCOUNT_NAME@PROJECT_ID.iam.gserviceaccount.com

Jika akun layanan berada di project yang berbeda dengan tugas transfer, lihat Mengaktifkan akun layanan untuk dilampirkan di seluruh project.

Memberikan akses kepada pengguna

Berikan akses akun pengguna ke akun layanan baru yang dikelola pengguna, dan tentukan peran Service Account User (roles/iam.serviceAccountUser). Akun pengguna adalah akun yang digunakan untuk membuat atau memperbarui tugas transfer.

gcloud iam service-accounts add-iam-policy-binding USER_MANAGED_SERVICE_ACCOUNT_EMAIL \
  --member=PRINCIPAL --role=roles/iam.serviceAccountUser

Memberikan akses ke agen layanan

Agar agen layanan dapat membuat token akses dari akun layanan yang dikelola pengguna, berikan akses ke akun layanan yang dikelola pengguna kepada agen layanan, dan tetapkan peran Service Account Token Creator (roles/iam.serviceAccountTokenCreator).

Anda memerlukan alamat email agen layanan untuk memberikan akses. Untuk menemukan email agen layanan:

1. Buka halaman referensi googleServiceAccounts.get.

   Panel interaktif akan terbuka, berjudul Coba metode ini.

2. Di panel, pada bagian Request parameters, masukkan project ID Anda. Project yang Anda tentukan di sini harus berupa project yang Anda gunakan untuk mengelola Storage Transfer Service.

3. Klik Jalankan.

   Email agen layanan Anda ditampilkan sebagai nilai accountEmail. Format ini menggunakan format project-PROJECT_NUMBER@storage-transfer-service.iam.gserviceaccount.com.

Kemudian, untuk memberikan akses agen layanan ke akun layanan yang dikelola pengguna:

gcloud iam service-accounts add-iam-policy-binding USER_MANAGED_SERVICE_ACCOUNT_EMAIL \
  --member=serviceAccount:SERVICE_AGENT_EMAIL --role=roles/iam.serviceAccountTokenCreator

Memberikan izin bucket ke akun layanan yang dikelola pengguna

Berikan izin yang tercantum dalam izin agen layanan yang dikelola Google ke akun layanan yang dikelola pengguna, bukan ke agen layanan.

Membuat tugas transfer menggunakan akun layanan yang dikelola pengguna

Setelah memberikan izin yang benar, Anda dapat menentukan akun layanan yang dikelola pengguna saat membuat tugas transfer baru.

POST https://storagetransfer.googleapis.com/v1/transferJobs
{
"description": "A transfer using a user-managed service account for bucket permissions",
"status": "ENABLED",
"projectId": "PROJECT_ID",
"serviceAccount": "projects/-/serviceAccounts/SERVICE_ACCOUNT_NAME@PROJECT_ID.iam.gserviceaccount.com",
"transferSpec": {
    ...
  }
}