Delega le autorizzazioni dell'agente di servizio a un account di servizio gestito dall'utente

Per i trasferimenti senza agente, Storage Transfer Service utilizza per impostazione predefinita un agente di servizio per trasferire i dati tra l'origine e la destinazione. Concedi all'agente di servizio le autorizzazioni per accedere ai tuoi bucket Cloud Storage.

Poiché lo stesso agente di servizio Storage Transfer Service viene utilizzato per tutti i trasferimenti all'interno di un progetto, ha necessariamente autorizzazioni su tutti i bucket coinvolti in ogni trasferimento.

In alternativa, puoi assegnare le autorizzazioni del bucket a più account di servizio gestiti dall'utente. A questi account di servizio gestiti dall'utente vengono concesse autorizzazioni per bucket di origine e di destinazione specifici e sono limitati anche ad account utente specifici (gli account che creano o attivano il job di trasferimento).

Scenari di esempio

I seguenti scenari mostrano diverse opzioni di autorizzazione che utilizzano l'agente di servizio e gli account di servizio gestiti dall'utente.

Espandi ogni sezione per visualizzare i dettagli.

Panoramica dell'implementazione

L'implementazione è la seguente:

• Crea un account di servizio gestito dall'utente o utilizzane uno esistente.
• Concedi le autorizzazioni:
  • Per consentire a un utente di accedere all'account di servizio gestito dall'utente.
  • L'agente di servizio generi un token di accesso dall'account di servizio gestito dall'utente.
  • L'account di servizio gestito dall'utente possa accedere ai tuoi bucket.
• L'utente crea un job di trasferimento che specifica l'account di servizio gestito dall'utente.
• Storage Transfer Service controlla che l'utente disponga delle autorizzazioni corrette sull'account di servizio. Se non sono state concesse le autorizzazioni corrette, la creazione del job di trasferimento non va a buon fine.
• L'agente di servizio genera un token OAuth per conto dell'account di servizio gestito dall'utente. Il token OAuth consente a Storage Transfer Service di accedere ai bucket coinvolti nel trasferimento.
• Il job di trasferimento viene eseguito.
• Il token OAuth è di breve durata e scade. Se il job di trasferimento è in corso quando il token scade, Storage Transfer Service ne genera uno nuovo e continua il trasferimento.

Configurare la delega delle autorizzazioni

Segui le istruzioni per delegare l'accesso dell'agente di servizio a un account di servizio gestito dall'utente.

Requisiti

• Per creare un nuovo account di servizio gestito dall'utente, devi disporre del ruolo Crea account di servizio (roles/iam.serviceAccountCreator) nel progetto.
• Per concedere all'utente e all'agente di servizio l'accesso all'account di servizio gestito dall'utente, devi disporre del ruolo Amministratore account di servizio (roles/iam.serviceAccountAdmin) nell'account di servizio gestito dall'utente o nel progetto.

Crea o identifica un account di servizio gestito dall'utente

Puoi creare un nuovo account di servizio gestito dall'utente o utilizzarne uno esistente.

• Per creare un account di servizio gestito dall'utente, segui le istruzioni riportate in Creare account di servizio.

• Per utilizzare un account di servizio gestito dall'utente esistente, devi disporre del relativo indirizzo email, che utilizza il seguente formato:

  SERVICE_ACCOUNT_NAME@PROJECT_ID.iam.gserviceaccount.com

Se l'account di servizio si trova in un progetto diverso da quello del job di trasferimento, consulta Abilitare l'attacco degli account di servizio tra progetti.

Concedi l'accesso all'utente

Concedi all'account utente l'accesso al nuovo account di servizio gestito dall'utente e assegni il ruolo Utente account di servizio (roles/iam.serviceAccountUser). L'account utente è quello utilizzato per creare o aggiornare il job di trasferimento.

gcloud iam service-accounts add-iam-policy-binding USER_MANAGED_SERVICE_ACCOUNT_EMAIL \
  --member=PRINCIPAL --role=roles/iam.serviceAccountUser

Concedi l'accesso all'agente di servizio

Per consentire all'agente di servizio di generare un token di accesso dall'account di servizio gestito dall'utente, concedi all'agente di servizio l'accesso all'account di servizio gestito dall'utente e assegna il ruolo Creatore token account di servizio (roles/iam.serviceAccountTokenCreator).

Per concedere l'accesso, devi disporre dell'indirizzo email dell'agente di servizio. Per trovare l'indirizzo email dell'agente di servizio:

1. Vai alla pagina di riferimento googleServiceAccounts.get.

   Si apre un riquadro interattivo denominato Prova questo metodo.

2. Nel riquadro, in Parametri di richiesta, inserisci il tuo ID progetto. Il progetto specificato qui deve essere quello che utilizzi per gestire Storage Transfer Service.

3. Fai clic su Execute (Esegui).

   L'email dell'agente di servizio viene restituita come valore di accountEmail. Utilizza il formatoproject-PROJECT_NUMBER@storage-transfer-service.iam.gserviceaccount.com.

Per concedere all'agente di servizio l'accesso all'account di servizio gestito dall'utente:

gcloud iam service-accounts add-iam-policy-binding USER_MANAGED_SERVICE_ACCOUNT_EMAIL \
  --member=serviceAccount:SERVICE_AGENT_EMAIL --role=roles/iam.serviceAccountTokenCreator

Concedi le autorizzazioni del bucket all'account di servizio gestito dall'utente

Concedi le autorizzazioni elencate in Autorizzazioni dell'agente di servizio gestito da Google all'account di servizio gestito dall'utente anziché all'agente di servizio.

Creare un job di trasferimento utilizzando un account di servizio gestito dall'utente

Dopo aver concesso le autorizzazioni corrette, puoi specificare l'account di servizio gestito dall'utente quando crei un nuovo job di trasferimento.

POST https://storagetransfer.googleapis.com/v1/transferJobs
{
"description": "A transfer using a user-managed service account for bucket permissions",
"status": "ENABLED",
"projectId": "PROJECT_ID",
"serviceAccount": "projects/-/serviceAccounts/SERVICE_ACCOUNT_NAME@PROJECT_ID.iam.gserviceaccount.com",
"transferSpec": {
    ...
  }
}