Delegar permissões de agente de serviço a uma conta serviço gerenciado pelo usuário

Para transferências sem agente, o Serviço de transferência do Cloud Storage usa por padrão um agente de serviço para transferir seus dados entre a origem e o destino. Você concede permissões ao agente de serviço para acessar seus buckets do Cloud Storage.

Como o mesmo agente de serviço do Serviço de transferência do Cloud Storage é usado por todas as transferências em um projeto, ele necessariamente tem permissões em todos os buckets envolvidos em cada transferência.

Como alternativa, você pode atribuir permissões de bucket a várias contas de serviço gerenciado pelo usuário. Essas contas de serviço gerenciado pelo usuário recebem permissões em buckets de origem e destino específicos e também são restritas a contas de usuário específicas (as contas que criam ou acionam o job de transferência).

Exemplos de cenários

Os cenários a seguir demonstram diferentes opções de permissão usando o agente de serviço e as contas de serviço gerenciado pelo usuário.

Expanda cada seção para ver os detalhes.

Visão geral da implementação

A implementação é a seguinte:

• Você cria ou usa uma conta de serviço gerenciado pelo usuário.
• Você concede permissões:
  • Para um usuário acessar a conta de serviço gerenciado por ele.
  • Para que o agente de serviço gere um token de acesso da conta de serviço gerenciado pelo usuário.
  • Para que a conta de serviço gerenciado pelo usuário acesse seus buckets.
• O usuário cria um job de transferência que especifica a conta de serviço gerenciado pelo usuário.
• O Serviço de transferência do Cloud Storage verifica se o usuário tem as permissões corretas na conta de serviço. Se as permissões corretas não forem concedidas, a criação do job de transferência vai falhar.
• O agente de serviço gera um token OAuth em nome da conta de serviço gerenciada pelo usuário. O token OAuth permite que o Serviço de transferência do Cloud Storage acesse os buckets envolvidos na transferência.
• O job de transferência é executado.
• O token OAuth é de curta duração e expira. Se o job de transferência estiver em andamento quando o token expirar, o serviço de transferência do Cloud Storage vai gerar um novo e continuar a transferência.

Configurar a delegação de permissões

Siga as instruções para delegar o acesso do agente de serviço a uma conta de serviço gerenciada pelo usuário.

Requisitos

• Para criar uma conta de serviço gerenciado pelo usuário, você precisa da função Criar contas de serviço (roles/iam.serviceAccountCreator) no projeto.
• Para conceder acesso ao usuário e ao agente de serviço à conta de serviço gerenciada pelo usuário, você precisa do papel de administrador da conta de serviço (roles/iam.serviceAccountAdmin) na conta de serviço gerenciado pelo usuário ou no projeto.

Criar ou identificar uma conta de serviço gerenciado pelo usuário

É possível criar uma conta serviço gerenciado pelo usuário ou usar uma já existente.

• Para criar uma conta serviço gerenciado pelo usuário, siga as instruções em Criar contas de serviço.

• Para usar uma conta serviço gerenciado pelo usuário, você precisa do endereço de e-mail dela, que usa o seguinte formato:

  SERVICE_ACCOUNT_NAME@PROJECT_ID.iam.gserviceaccount.com

Se a conta de serviço estiver em um projeto diferente do job de transferência, consulte Ativar a vinculação de contas de serviço entre projetos.

Conceder acesso ao usuário

Conceda à conta de usuário acesso à nova conta de serviço gerenciado pelo usuário e atribua o papel Usuário da conta de serviço (roles/iam.serviceAccountUser). A conta de usuário é a que está sendo usada para criar ou atualizar o job de transferência.

gcloud iam service-accounts add-iam-policy-binding USER_MANAGED_SERVICE_ACCOUNT_EMAIL \
  --member=PRINCIPAL --role=roles/iam.serviceAccountUser

Conceder acesso ao agente de serviço

Para permitir que o agente de serviço gere um token de acesso da conta de serviço gerenciado pelo usuário, conceda a ele acesso à conta de serviço gerenciado pelo usuário e atribua o papel de Criador de token da conta de serviço (roles/iam.serviceAccountTokenCreator).

Você precisa do endereço de e-mail do agente de serviço para conceder acesso. Para encontrar o e-mail do agente de serviço:

1. Acesse a página de referência de googleServiceAccounts.get.

   Você verá um painel interativo com o título Testar este método.

2. No painel, em Parâmetros de solicitação, insira o ID do projeto. O projeto especificado aqui precisa ser o que você está usando para gerenciar o Serviço de transferência do Cloud Storage.

3. Clique em Executar.

   O e-mail do agente de serviço é retornado como o valor de accountEmail. Ele usa o formato project-PROJECT_NUMBER@storage-transfer-service.iam.gserviceaccount.com.

Em seguida, para conceder ao agente de serviço acesso à conta de serviço gerenciado pelo usuário:

gcloud iam service-accounts add-iam-policy-binding USER_MANAGED_SERVICE_ACCOUNT_EMAIL \
  --member=serviceAccount:SERVICE_AGENT_EMAIL --role=roles/iam.serviceAccountTokenCreator

Conceder permissões de bucket à conta de serviço gerenciado pelo usuário

Conceda as permissões listadas em Permissões do agente de serviço gerenciado pelo Google à conta de serviço gerenciada pelo usuário, em vez de ao agente de serviço.

Criar um job de transferência usando uma conta serviço gerenciado pelo usuário

Depois de conceder as permissões corretas, você pode especificar a conta de serviço gerenciada pelo usuário ao criar um job de transferência.

POST https://storagetransfer.googleapis.com/v1/transferJobs
{
"description": "A transfer using a user-managed service account for bucket permissions",
"status": "ENABLED",
"projectId": "PROJECT_ID",
"serviceAccount": "projects/-/serviceAccounts/SERVICE_ACCOUNT_NAME@PROJECT_ID.iam.gserviceaccount.com",
"transferSpec": {
    ...
  }
}