Como configurar permissões do Google Cloud e o Cloud Storage passo a passo

Neste tópico, descrevemos como configurar as permissões do Google Cloud e o Cloud Storage passo a passo, incluindo os itens a seguir:

• Preparar o bucket de destino do Cloud Storage.
• Preparar uma chave do Cloud Key Management Service para proteger seus dados.
• Fornecer à equipe do Transfer Appliance os dados de configuração do bucket do Cloud Storage.

Antes de começar

Verifique se você tem o seguinte:

• O e-mail da equipe do Transfer Appliance intitulado Bucket de destino de preparação do Google Transfer Appliance. Esse e-mail lista as contas de serviço necessárias para a transferência.

• O e-mail da equipe do Transfer Appliance intitulado Credenciais de acesso do Google Transfer Appliance. Você preencherá o formulário neste e-mail, que a equipe da Transfer Appliance usa para configurar a transferência.

Preparar o bucket de destino do Cloud Storage

Para armazenar seus dados no Cloud Storage, você precisa preparar um bucket. Os buckets são os contêineres básicos que armazenam seus dados no Cloud Storage.

Usaremos duas contas de serviço para mover os dados do Transfer Appliance para o bucket do Cloud Storage de destino que você preparar. As contas de serviço são contas especiais usadas por um aplicativo, não uma pessoa, para fazer o trabalho. Nesse caso, as contas de serviço permitem que o Transfer Appliance use recursos do Cloud Storage em seu nome para copiar dados do dispositivo para o bucket do Cloud Storage. Você concederá a essas contas os papéis necessários para copiar dados do dispositivo para o bucket do Cloud Storage.

Para preparar o bucket de destino do Cloud Storage, siga estas etapas:

1. Em um e-mail intitulado Bucket de destino de preparação do Google Transfer Appliance, a equipe do Transfer Appliance fornece as seguintes contas de serviço:

   • uma conta de serviço de sessão vinculada a essa transferência específica; Esta é a aparência do exemplo a seguir:

     SESSION_ID@transfer-appliance-zimbru.iam.gserviceaccount.com

     Neste exemplo, SESSION_ID é o ID da sessão para esta transferência específica.

   • Um agente de serviço vinculado ao serviço de transferência de dados locais, que usamos para transferir dados do dispositivo para o bucket do Cloud Storage: É semelhante ao seguinte exemplo:

     project-IDENTIFIER@storage-transfer-service.gserviceaccount.com

     Neste exemplo, IDENTIFIER é um número gerado específico para este projeto específico.

   Observe as contas de serviço para as próximas etapas.

   As contas de serviço permitem que o Transfer Appliance manipule recursos do Google Cloud em seu nome, ou seja, copie dados do dispositivo para o Cloud Storage. Você concederá a essas contas os papéis necessários para copiar dados do dispositivo para o bucket do Cloud Storage.

2. Os buckets do Cloud Storage estão vinculados a projetos do Google Cloud. Para criar um bucket do Cloud Storage, escolha um projeto para colocar o bucket. Execute o seguinte comando para listar os códigos de projeto disponíveis:

   gcloud projects list
   

3. Se você não tiver um bucket do Cloud Storage, siga estas etapas para criar um:

   Console do Google Cloud

   1. Abra o navegador do Cloud Storage no Console do Google Cloud.

      Abra o navegador do Cloud Storage

   2. Clique em Criar bucket para abrir o formulário de criação do bucket.

      

   3. Insira as informações do bucket e clique em Continuar para concluir cada etapa:

      • Especifique um Nome, sujeito aos requisitos de nomenclatura do bucket.

      • Selecione uma classe de armazenamento padrão para o bucket. A classe de armazenamento padrão é atribuída por padrão a todos os objetos carregados no bucket. Em seguida, selecione um Local para os dados do bucket.

      • Selecione um modelo de controle de acesso para determinar como controlar o acesso aos objetos do bucket.

      • Como alternativa, é possível adicionar rótulos de bucket, definir uma política de retenção e escolher um método de criptografia.

   4. Clique em Concluído.

   Linha de comando

   Use o comando gsutil mb:

   gsutil mb -b on -l LOCATION -p PROJECT_ID gs://BUCKET_NAME
   

   Neste exemplo:

   • LOCATION: o local do bucket do Cloud Storage
   • PROJECT_ID: o ID do projeto em que o bucket será criado;
   • BUCKET_NAME: o nome do bucket que você está criando, sujeito aos requisitos de nomenclatura de bucket.

4. Para conceder permissão às contas de serviço do Transfer Appliance para usar seu bucket do Cloud Storage, faça o seguinte:

   Console do Google Cloud

   1. No Console do Cloud, acesse a página Navegador do Cloud Storage.
      

      Acessar o navegador

   2. Clique no menu flutuante bucket () associado ao bucket para o qual você está concedendo ao principal um papel.

   3. Selecione Editar permissões do bucket.

   4. Clique no botão + Adicionar principais.

   5. No campo Novos principais, insira as seguintes identidades:

      • A conta de serviço da sessão. Esta é a aparência do exemplo a seguir:

        SESSION_ID@transfer-appliance-zimbru.iam.gserviceaccount.com

        Neste exemplo, SESSION_ID é o ID da sessão para essa transferência específica.

      • O agente de serviço de transferência de dados locais. É semelhante ao seguinte exemplo:

        project-IDENTIFIER@storage-transfer-service.gserviceaccount.com

        Neste exemplo, IDENTIFIER é um número gerado específico para esse projeto.

   6. No menu suspenso Selecionar um papel, selecione o papel Administrador do Storage.

      Os papéis selecionados são exibidos no painel com uma breve descrição das permissões que eles concedem.

   7. Clique em Save.

   Linha de comando

   Use o comando gsutil iam ch:

   gsutil iam ch \
   serviceAccount:SESSION_ID@transfer-appliance-zimbru.iam.gserviceaccount.com:roles/storage.admin \
   serviceAccount:project-IDENTIFIER@storage-transfer-service.gserviceaccount.com \
   gs://BUCKET_NAME
   

   Neste exemplo:

   • SESSION_ID: o ID da sessão dessa transferência específica;
   • IDENTIFIER: um número gerado específico para este projeto.
   • BUCKET_NAME: o nome do bucket que você está criando.

Preparar a chave do Cloud KMS

O Transfer Appliance protege seus dados no dispositivo, criptografando os dados antes que você envie o dispositivo de volta para nós. Uma chave pública do Cloud Key Management Service (Cloud KMS) é usada para criptografar dados no Transfer Appliance, e uma chave privada é usada. para descriptografar seus dados.

Usaremos a conta de serviço da sessão do artigo Preparar o bucket do Cloud Storage de destino para fazer o upload dos dados do dispositivo para o bucket do Cloud Storage.

Você tem as seguintes opções para gerenciar chaves de criptografia:

• Chaves de criptografia gerenciadas pelo Google. É possível solicitar a criação e o gerenciamento das chaves do Cloud KMS para você. Se você quiser usar esse método, pule para as etapas em Fornecer à equipe do Transfer Appliance os dados de configuração do bucket.

• Crie e gerencie chaves de criptografia você mesmo. Você cria e gerencia as chaves de criptografia usadas para sua transferência seguindo as instruções abaixo. Prepare uma chave de descriptografia assimétrica do Cloud KMS e adicione a conta de serviço da sessão à chave. A conta de serviço da sessão usa a chave de descriptografia assimétrica para descriptografar e copiar seus dados para o Cloud Storage.

Para preparar as chaves do Cloud KMS, faça o seguinte:

1. Se você não tiver um keyring do Cloud Key Management Service, siga estas etapas para criar um:

   Console do Google Cloud

   1. Acesse a página Chaves criptográficas no Console do Cloud.

      Acessar a página "Chaves criptográficas"

   2. Clique em Criar keyring.

   3. No campo Nome do keyring, digite o nome do seu keyring.

   4. Na lista suspensa Local do keyring, selecione um local como "us-east1".

   5. Clique em Criar.

   Linha de comando

   gcloud kms keyrings create KEY_RING --location=LOCATION --project=PROJECT_ID
   

   Neste exemplo:

   • LOCATION: o local do Cloud Key Management Service para o keyring. Por exemplo, global.
   • KEY_RING: o nome do keyring.
   • PROJECT_ID: o ID do projeto do Google Cloud em que seu bucket de armazenamento está localizado.

2. Crie uma chave de descriptografia assimétrica da seguinte maneira:

   Console do Google Cloud

   1. Acesse a página Chaves criptográficas no Console do Cloud.

      Acessar a página "Chaves criptográficas"

   2. Clique no nome do keyring em que você quer criar a chave.

   3. Clique em Criar chave.

   4. Na seção Qual tipo de chave você quer criar?, selecione Chave gerada.

   5. No campo Nome da chave, insira o nome da sua chave.

   6. Clique na lista suspensa Nível de proteção e selecione Software.

   7. Clique na lista suspensa Finalidade e selecione Descriptografia assimétrica.

   8. Clique na lista suspensa Algoritmo e selecione RSA de 4096 bits - Padding OAEP - Resumo SHA256.

   9. Clique em Criar.

   Linha de comando

   Execute o seguinte comando para criar uma chave de descriptografia assimétrica:

   gcloud kms keys create KEY --keyring=KEY_RING \
   --location=LOCATION --purpose=asymmetric-encryption \
   --default-algorithm=rsa-decrypt-oaep-4096-sha256 \
   --project=PROJECT_ID
   

   Neste exemplo:

   • KEY: o nome da chave do Cloud Key Management Service. Por exemplo, ta-key.
   • KEY_RING: o nome do keyring.
   • LOCATION: o local do Cloud Key Management Service para o keyring. Por exemplo, global.
   • PROJECT_ID: o ID do projeto do Google Cloud em que seu bucket de armazenamento está localizado.

3. Adicione a conta de serviço da sessão como principal à chave assimétrica da seguinte maneira:

   Console do Google Cloud

   1. Acesse a página Chaves criptográficas no Console do Cloud.

      Acessar a página "Chaves criptográficas"

   2. Clique no keyring que contém a chave assimétrica.

   3. Marque a caixa de seleção da chave.

   4. No painel de informações, clique em Adicionar principal.

      A opção Adicionar principais é exibida.

   5. No campo Novos principais, insira a conta de serviço da sessão fornecida pela equipe do Transfer Appliance. Esta é a aparência do exemplo a seguir:

      SESSION_ID@transfer-appliance-zimbru.iam.gserviceaccount.com

      Neste exemplo, SESSION_ID é o ID da sessão para essa transferência específica.

   6. No campo Selecione um papel, adicione o papel Visualizador de chaves públicas CrytoKey do Cloud KMS.

   7. Clique em Adicionar outro papel.

   8. No campo Selecionar um papel, adicione o papel Descriptografador de CryptoKey do Cloud KMS.

   9. Clique em Save.

   Linha de comando

   1. Execute o seguinte comando para conceder à conta de serviço da sessão o papel roles/cloudkms.cryptoKeyDecrypter:

      gcloud kms keys add-iam-policy-binding KEY \
      --keyring=KEY_RING --location=LOCATION \
      --member=serviceAccount:SESSION_ID@transfer-appliance-zimbru.iam.gserviceaccount.com \
      --role=roles/cloudkms.cryptoKeyDecrypter
      

      Neste exemplo:

      • KEY: o nome da chave do Cloud Key Management Service. Por exemplo, ta-key.
      • KEY_RING: o nome do keyring.
      • LOCATION: o local do Cloud Key Management Service para o keyring. Por exemplo, global.
      • SESSION_ID: o ID da sessão dessa transferência específica;

   2. Execute o seguinte comando para conceder à conta de serviço da sessão o papel roles/cloudkms.publicKeyViewer:

      gcloud kms keys add-iam-policy-binding KEY \
      --keyring=KEY_RING --location=LOCATION \
      --member=serviceAccount:SESSION_ID@transfer-appliance-zimbru.iam.gserviceaccount.com \
      --role=roles/cloudkms.publicKeyViewer
      

      Neste exemplo:

      • KEY: o nome da chave do Cloud Key Management Service. Por exemplo, ta-key.
      • KEY_RING: o nome do keyring.
      • LOCATION: o local do Cloud Key Management Service para o keyring. Por exemplo, global.
      • SESSION_ID: o ID da sessão dessa transferência específica;

4. Veja o caminho da chave assimétrica fazendo o seguinte:

   Console do Google Cloud

   1. Acesse a página Chaves criptográficas no Console do Google Cloud.

      Acessar a página "Chaves criptográficas"

   2. Clique no keyring que contém a chave de descriptografia assimétrica.

   3. Clique no nome da chave de descriptografia assimétrica.

   4. Selecione a versão da chave que você quer e clique em Mais more_vert.

   5. Clique em Copiar nome do recurso.

      Veja um exemplo do formato de chave:

      projects/PROJECT_ID/locations/LOCATION/keyRings/KEY_RING/cryptoKeys/KEY/cryptoKeyVersions/VERSION_NUMBER

      Neste exemplo:

      • PROJECT_ID: o ID do projeto do Google Cloud em que seu bucket de armazenamento está localizado.
      • LOCATION: o local do Cloud Key Management Service para o keyring.
      • KEY_RING: o nome do keyring.
      • KEY: o nome da chave do Cloud Key Management Service.
      • VERSION_NUMBER: o número da versão da chave.

      A equipe do Transfer Appliance requer todo o caminho da chave, incluindo o número da versão, para que possa aplicar a chave correta aos dados.

   Linha de comando

   Execute o seguinte comando para listar o caminho completo da chave assimétrica, incluindo o número da versão:

   gcloud kms keys versions list --keyring=KEY_RING \
   --key=KEY --location=LOCATION \
   --project=PROJECT_ID
   

   Neste exemplo:

   • KEY_RING: o nome do keyring
   • KEY: o nome da chave assimétrica.
   • LOCATION: o local do keyring do Google Cloud.
   • PROJECT_ID: o ID do projeto do Google Cloud em que seu bucket de armazenamento está localizado.

   A resposta de exemplo a seguir é parecida com a saída retornada:

   NAME STATE
   projects/PROJECT_ID/locations/LOCATION/keyRings/KEY_RING/cryptoKeys/KEY/cryptoKeyVersions/VERSION_NUMBER
   ENABLED
   

   Neste exemplo:

   • PROJECT_ID: o ID do projeto do Google Cloud em que seu bucket de armazenamento está localizado.
   • LOCATION: o local do Cloud Key Management Service para o keyring.
   • KEY_RING: o nome do keyring.
   • KEY: o nome da chave do Cloud Key Management Service.
   • VERSION_NUMBER: o número da versão da chave.

   A equipe do Transfer Appliance requer a string em NAME que termina em /cryptoKeyVersions/VERSION_NUMBER, em que VERSION_NUMBER é o número da versão da chave.

Fornecer os dados de configuração do bucket para a equipe do Transfer Appliance

Enviamos um e-mail chamado Credenciais de acesso do Google Transfer Appliance para coletar informações sobre o bucket do Cloud Storage. Usamos as informações fornecidas para configurar a transferência do Transfer Appliance para o Cloud Storage.

No e-mail enviado pela equipe do Transfer Appliance, com o nome Credenciais de acesso do Google Transfer Appliance, digite as seguintes informações:

• O ID do projeto do Google Cloud Platform.
• Escolha sua opção para Criptografia:
  • Chave de criptografia gerenciada pelo Google, se você optou por deixar o Google gerenciar sua chave.
  • Chave de criptografia gerenciada pelo cliente, se você escolheu gerenciar sua própria chave de criptografia. Selecione a chave de criptografia no menu suspenso Selecionar uma chave de criptografia gerenciada pelo cliente.
• O nome do bucket de destino do Google Cloud Storage usado para essa transferência.
• Opcional: um prefixo do objeto. Sem essa informação, os objetos são transferidos para o Cloud Storage com o caminho de origem, sem incluir o caminho raiz, antes do nome do arquivo no sistema. Por exemplo, se você tiver os seguintes arquivos:
  • /source_root_path/file1.txt
  • /source_root_path/dirA/file2.txt
  • /source_root_path/dirA/dirB/file3.txt
  Os nomes de objeto no Cloud Storage serão:
  • file1.txt
  • dirA/file2.txt
  • dirA/dirB/file3.txt
  O prefixo do objeto é adicionado ao nome de destino do objeto no Cloud Storage, depois do caractere / do nome do bucket de destino e antes dos nomes de caminhos de onde o objeto foi transferido, sem incluir o caminho raiz da origem. Isso pode ajudar você a distinguir entre objetos transferidos de outros jobs de transferência.
  A tabela a seguir demonstra vários exemplos de prefixos de objetos e os nomes de objetos resultantes no Cloud Storage, se o caminho do objeto de origem for /source_root_path/sub_folder_name/object_name:

  Prefixo	Nome do objeto de destino
  Nenhum	/destination_bucket/sub_folder_name/object_name
  prefix/	/destination_bucket/prefix/sub_folder_name/object_name

A seguir

Configure as portas de rede IP para que o Transfer Appliance funcione na sua rede.