En esta página, se describen las cuentas de servicio que son relevantes para Cloud FTP.
Cuentas de servicio administradas por el usuario
Una cuenta de servicio es un tipo especial de cuenta diseñada para proporcionar una identidad para cargas de trabajo no humanas, como aplicaciones que se ejecutan en Compute Engine, máquinas virtuales, apps en contenedores o cualquier otro servicio automatizado. Estas cuentas permiten que las cargas de trabajo no humanas se autentiquen de forma programática y realicen llamadas autorizadas a la API de Google Cloud servicios.
Por lo general, tú creas y administras las cuentas de servicio administradas por el usuario, pero algunas se crean de forma predeterminada cuando habilitas un Google Cloud servicio. Aun así, administras las cuentas de servicio predeterminadas de forma directa.
Las cuentas de servicio actúan como principales y recursos. Como principal, puedes otorgar acceso a las cuentas de servicio a Google Cloud recursos. Como recurso, tú puedes otorgar permiso a otras principales para acceder a la cuenta de servicio.
Cuentas de servicio para usuarios de SFTP
Cada usuario de SFTP debe asignarse a una cuenta de servicio. La cuenta de servicio accede a los recursos de Cloud Storage en nombre del usuario.
Cuando creas un usuario de SFTP, también creas una cuenta de servicio para el usuario, si aún no existe. También le otorgas a la cuenta de servicio los roles de IAM necesarios para leer o escribir datos en un bucket de Cloud Storage, de la siguiente manera:
- Acceso de solo lectura:
Visualizador de objetos de almacenamiento
(
roles/storage.objectViewer) - Acceso de lectura y escritura:
Administrador de objetos de almacenamiento
(
roles/storage.objectAdmin)
Te recomendamos que uses una cuenta de servicio dedicada para cada usuario, de modo que puedas administrar el acceso a SFTP por separado para cada usuario.
Agentes de servicio
Los agentes de servicio son cuentas de servicio que crea y administra Google. Los agentes de servicio actúan como una identidad para que Google Cloud los servicios accedan a los recursos de tu proyecto en tu nombre.
Los agentes de servicio se crean en algún momento después de habilitar y usar una Google Cloud API. Cuando se crea, Google suele otorgar un rol de IAM específico y predefinido al agente de servicio en tu proyecto. Estos roles contienen los permisos mínimos necesarios para que el agente de servicio funcione correctamente. Para obtener una lista completa de los agentes de servicio a los que se les otorgan roles, consulta Agentes de servicio en la documentación de IAM.
Agente de servicio de Cloud FTP
Cada servidor SFTP está asociado con un agente de servicio. El agente de servicio de Cloud FTP genera tokens para las cuentas de servicio de los usuarios de SFTP.
El agente de servicio de Cloud FTP se crea después de crear un servidor. Cuando
agregas usuarios al servidor, debes otorgarle al agente de servicio del servidor el
rol de IAM de Creador de tokens de cuenta de servicio
(roles/iam.serviceAccountTokenCreator) en la
cuenta de servicio de cada usuario.
La dirección de correo electrónico del agente de servicio de Cloud FTP usa un formato como
p-PROJECT_ID-SERVICE_ACCOUNT_ID@gcp-sa-ftp.iam.gserviceaccount.com.
Para obtener los pasos para obtener la dirección de correo electrónico del agente de servicio de un servidor específico, consulta
Obtén información del servidor SFTP.
¿Qué sigue?
- Para obtener más información sobre las cuentas de servicio, consulta Descripción general de las cuentas de servicio en la documentación de IAM.
- Para obtener más información sobre los agentes de servicio, consulta Agentes de servicio en la documentación de IAM.
- Para obtener información sobre cómo usar las cuentas de servicio de forma segura, consulta Prácticas recomendadas para usar cuentas de servicio de forma segura en la documentación de IAM.
- Crea un servidor SFTP externo al que se pueda acceder a través de Internet.
- Crea un servidor SFTP interno al que solo se pueda acceder dentro de tu red de VPC.
- Agrega usuarios a un servidor SFTP.