Google utiliza tecnología de IA para traducir contenido a tu idioma preferido. Las traducciones realizadas con IA pueden contener errores.

Cómo agregar usuarios a un servidor SFTP

En este documento, se muestra cómo agregar usuarios a un servidor de Cloud FTP. Los usuarios, como los socios externos y las partes interesadas internas, pueden usar el servidor para transferir archivos de forma segura hacia y desde Cloud Storage.

A grandes rasgos, estos son los pasos para agregar un usuario a un servidor SFTP:

Configura los permisos para el usuario.
Crea un usuario de SFTP y asigna sus directorios a buckets de Cloud Storage.

Si deseas conocer los pasos para crear un servidor, consulta Crea un servidor SFTP externo y Crea un servidor SFTP interno.

Consideraciones

Puedes otorgar acceso a un usuario a un máximo de 10 buckets.
Un usuario puede tener un máximo de 10 claves públicas.

Antes de comenzar

Crea uno o más buckets de Cloud Storage para almacenar los datos con los que trabajará el usuario, si los buckets aún no existen.
Obtén la clave pública del usuario de cada par de claves SSH que usará para conectarse al servidor.

Si el usuario no tiene un par de claves SSH, sigue estos pasos para generar uno.
Genera un par de llaves SSH

¿Qué formato de clave necesitas?

El formato de clave que necesitas depende del cliente que uses para conectarte al servidor de SFTP. Para obtener más información, consulta Clientes de SFTP compatibles.
Formato PEM

Para crear un par de claves OpenSSH (formato PEM), usa la utilidad ssh-keygen.

En la máquina cliente que se conectará al servidor SFTP, ejecuta el siguiente comando:

ssh-keygen -t rsa -b 4096 -f ~/.ssh/KEY_PAIR_NAME

Reemplaza KEY_PAIR_NAME por un nombre para el par de claves, como sftp_user_key.

Extrae la clave pública:

cat ~/.ssh/KEY_PAIR_NAME.pub
Formato PPK

Para crear un par de claves de PuTTY (formato PPK), usa la herramienta PuTTYgen.

En la máquina cliente que se conectará al servidor SFTP, ejecuta el siguiente comando:

puttygen -t rsa -b 4096 -o KEY_PAIR_NAME.ppk

Reemplaza KEY_PAIR_NAME por un nombre para el par de claves, como sftp_user_key.

Extrae la clave pública:

puttygen -L KEY_PAIR_NAME.ppk

Roles obligatorios

Para obtener el permiso que necesitas para agregar usuarios de SFTP, pídele a tu administrador que te otorgue el rol de IAM Administrador de FTP (roles/ftp.admin) en tu proyecto. Para obtener más información sobre cómo otorgar roles, consulta Administra el acceso a proyectos, carpetas y organizaciones.

Este rol predefinido contiene el permiso ftp.users.create, que se requiere para agregar usuarios de SFTP.

También puedes obtener este permiso con roles personalizados o con otros roles predefinidos.

Cómo configurar los permisos de un usuario

Instala Google Cloud CLI. Después de la instalación, inicializa Google Cloud CLI con el siguiente comando:
```
gcloud init
```
Si usas un proveedor de identidad externo (IdP), primero debes acceder a la gcloud CLI con tu identidad federada.

Nota: Puedes ejecutar gcloud CLI en la consola de Google Cloud sin instalar Google Cloud CLI. Para ejecutar gcloud CLI en la consola de Google Cloud , usa Cloud Shell.
Configura el proyecto:
```
gcloud config set project PROJECT_ID
```
Reemplaza PROJECT_ID por el ID del proyecto que contiene el servidor SFTP.
Crea una cuenta de servicio para el usuario si aún no existe. La cuenta de servicio accede a los recursos de Cloud Storage en nombre del usuario.
```
gcloud iam service-accounts create USERNAME-sa \
    --description="USERNAME SFTP Service Account" \
    --display-name="USERNAME SFTP Service Account"
```
Reemplaza USERNAME por un nombre de usuario único para el usuario de SFTP. El nombre de usuario debe comenzar con una letra minúscula y puede incluir letras minúsculas, números o guiones. La longitud máxima es de 32 caracteres.

Si la operación se realiza de forma correcta, se muestra un mensaje como Created service account [example-userid-sa].
Otorga roles de IAM al administrador que crea el usuario de SFTP:
1. Otórgate el rol de usuario de cuenta de servicio (roles/iam.serviceAccountUser):
```
gcloud iam service-accounts add-iam-policy-binding USERNAME-sa@PROJECT_ID.iam.gserviceaccount.com \
    --member="user:ADMINISTRATOR_EMAIL" \
    --role="roles/iam.serviceAccountUser"
```
  Reemplaza ADMINISTRATOR_EMAIL por la dirección de correo electrónico de la principal que crea el usuario de SFTP. Si estás creando el usuario (en lugar de una aplicación), este valor es la dirección de correo electrónico que usas para acceder a Google Cloud.
  
  Si se ejecuta de forma correcta, se muestra un mensaje como el siguiente:
```
Updated IAM policy for serviceAccount [example-userid-sa@example-project.iam.gserviceaccount.com].
bindings:
- members:
- user:admin@example.com
role: roles/iam.serviceAccountUser
etag: BwZJk7OiSzw=
version: 1
```
2. Otórgate el rol de visualizador de buckets de almacenamiento (roles/storage.bucketViewer) en el bucket:
```
gcloud storage buckets add-iam-policy-binding gs://BUCKET_NAME \
    --member="user:ADMINISTRATOR_EMAIL" \
    --role="roles/storage.bucketViewer"
```
  Reemplaza BUCKET_NAME por el nombre del depósito:
  
  Repite este paso para cada bucket al que el usuario necesite acceder.
3. Otórgate el rol de visualizador de objetos de almacenamiento (roles/storage.objectViewer) en el bucket:
```
gcloud storage buckets add-iam-policy-binding gs://BUCKET_NAME \
    --member="user:ADMINISTRATOR_EMAIL" \
    --role="roles/storage.objectViewer"
```
  Repite este paso para cada bucket al que el usuario necesite acceder.
Otorga a la cuenta de servicio del usuario el rol de IAM necesario para acceder al bucket:
```
gcloud storage buckets add-iam-policy-binding gs://BUCKET_NAME \
    --member="serviceAccount:USERNAME-sa@PROJECT_ID.iam.gserviceaccount.com" \
    --role="ROLE"
```
Reemplaza ROLE por uno de los siguientes roles de IAM:
- Para el acceso de solo lectura, usa el rol roles/storage.objectViewer.
- Para el acceso de lectura y escritura, usa el rol roles/storage.objectAdmin.
Repite este paso para cada bucket al que el usuario necesite acceder.
Autoriza al agente de servicio de Cloud FTP para que genere tokens para la cuenta de servicio del usuario:
1. Obtén la dirección de correo electrónico del agente de servicio del servidor. Para conocer los pasos, consulta Cómo obtener detalles sobre un servidor.
2. Autoriza al agente de servicio de Cloud FTP:
```
gcloud iam service-accounts add-iam-policy-binding USERNAME-sa@PROJECT_ID.iam.gserviceaccount.com \
    --member="serviceAccount:SERVICE_AGENT_EMAIL" \
    --role="roles/iam.serviceAccountTokenCreator"
```
  Reemplaza SERVICE_AGENT_EMAIL por la dirección de correo electrónico del agente de servicio.

A continuación, crea un usuario.

Crea un usuario del servidor SFTP

Después de configurar los permisos para un usuario, lo creas y asignas sus directorios a uno o más buckets de Cloud Storage.

gcloud

Para crear un usuario para un servidor SFTP, ejecuta el comando gcloud alpha storage ftp users create.

Antes de usar cualquiera de los datos de comando a continuación, haz los siguientes reemplazos:
- CREDENTIAL_NAME: Es un nombre único para identificar las credenciales del usuario.
- SSH_PUBLIC_KEY: Es el cuerpo de la clave pública SSH del usuario, en formato OpenSSH. Por ejemplo: ssh-rsa AAAAB3NzaC1ycRexample...
- USERNAME: Es el nombre de usuario del usuario de SFTP.
- SERVICE_ACCOUNT: La cuenta de servicio del usuario. Por ejemplo, username-sa@example-project.iam.gserviceaccount.com.
- LOCATION_ID: La ubicación del servidor, como us-west1.
- SERVER_ID: Es el ID del servidor.
- BUCKET_NAME: Es el nombre de un bucket al que se le otorga acceso al usuario de SFTP, como example-bucket. Omite el gs://.
- (Opcional) BUCKET_PREFIX: Es la ruta de acceso de una carpeta dentro del bucket que se establecerá como el directorio raíz para esta asignación de directorios. Si omites la propiedad bucket_prefix, Cloud FTP usa la raíz del bucket.
- DIRECTORY: Es la ruta lógica del directorio de destino que se presenta al usuario de SFTP. Por ejemplo, /home/uploads
  
  Si asignas varias carpetas o buckets, proporciona una ruta de directorio única para cada asignación.
  
  No se admiten los directorios lógicos anidados. Si proporcionas varias asignaciones para un directorio, proporciona los directorios en una estructura plana en lugar de una estructura anidada. Por ejemplo, usa /dir1 y /dir2 en lugar de /dir1 y /dir1/dir2.
- SFTP_PERMISSION: Es el nivel de acceso al directorio. Para el acceso de solo lectura, establece este valor en READ_ONLY. Para el acceso de lectura y escritura, establece este valor en READ_WRITE.
Ten en cuenta lo siguiente:
- Para otorgar acceso a un usuario a varios buckets, proporciona la marca --storage-directory-mapping varias veces, con una asignación de directorio para cada bucket.
- Para configurar varias claves públicas para un usuario, proporciona varias credenciales en el archivo credentials.json.
Guarda el siguiente código en un archivo llamado credentials.json.
```
[
  {
    "credentialName": "CREDENTIAL_NAME",
    "credentialType": "PUBLIC_KEY",
    "sshPublicKeyBody": "SSH_PUBLIC_KEY"
  }
]
```
Ejecuta el siguiente comando:
Linux, macOS o Cloud Shell

Nota: Asegúrate de haber inicializado Google Cloud CLI con autenticación y un proyecto mediante la ejecución de gcloud init o gcloud auth login y gcloud config set project.
```
gcloud alpha storage ftp users create USERNAME \
    --customer-service-account=SERVICE_ACCOUNT --location=LOCATION_ID \
    --server=SERVER_ID \
    --storage-directory-mapping=bucket=BUCKET_NAME,bucket_prefix=BUCKET_PREFIX,directory=DIRECTORY,permission=SFTP_PERMISSION \
    --user-credentials-from-file=credentials.json
```
Windows (PowerShell)

Nota: Asegúrate de haber inicializado Google Cloud CLI con autenticación y un proyecto mediante la ejecución de gcloud init o gcloud auth login y gcloud config set project.
```
gcloud alpha storage ftp users create USERNAME `
    --customer-service-account=SERVICE_ACCOUNT --location=LOCATION_ID `
    --server=SERVER_ID `
    --storage-directory-mapping=bucket=BUCKET_NAME,bucket_prefix=BUCKET_PREFIX,directory=DIRECTORY,permission=SFTP_PERMISSION `
    --user-credentials-from-file=credentials.json
```
Windows (cmd.exe)

Nota: Asegúrate de haber inicializado Google Cloud CLI con autenticación y un proyecto mediante la ejecución de gcloud init, o gcloud auth login y gcloud config set project.
```
gcloud alpha storage ftp users create USERNAME ^
    --customer-service-account=SERVICE_ACCOUNT --location=LOCATION_ID ^
    --server=SERVER_ID ^
    --storage-directory-mapping=bucket=BUCKET_NAME,bucket_prefix=BUCKET_PREFIX,directory=DIRECTORY,permission=SFTP_PERMISSION ^
    --user-credentials-from-file=credentials.json
```
La creación del usuario tarda unos segundos.
Proporciona al usuario la siguiente información que necesita para conectarse al servidor:
- Nombre de usuario de SFTP del usuario.
- La configuración de acceso del servidor, que depende del tipo de servidor:
  - En el caso de un servidor externo, es la dirección IP del servidor.
  - En el caso de un servidor interno, es el URI del adjunto de servicio del servidor.
  Para conocer los pasos para obtener la configuración de acceso del servidor, consulta Obtén detalles sobre un servidor.
- (Opcional) Es la huella digital de la clave del servidor.

REST

Para crear un usuario para un servidor SFTP, usa el método servers.users.create.

Antes de usar cualquiera de los datos de solicitud a continuación, realiza los siguientes reemplazos:
- PROJECT_ID: Es el ID del proyecto de Google Cloud del servidor.
- LOCATION_ID: La ubicación del servidor, como us-west1.
- SERVER_ID: Es el ID del servidor.
- USERNAME: Es el nombre de usuario del usuario de SFTP.
- BUCKET_NAME: Es el nombre de un bucket al que se le otorga acceso al usuario de SFTP, como example-bucket. Omite el gs://.
- (Opcional) BUCKET_PREFIX: Es la ruta de acceso a una carpeta dentro del bucket que se establecerá como el directorio raíz para esta asignación de directorios. Si omites este valor, Cloud FTP usa la raíz del bucket.
- DIRECTORY: Es la ruta lógica del directorio de destino que se presenta al usuario de SFTP. Por ejemplo, /home/uploads Si omites este valor, Cloud FTP establecerá el directorio de destino en /.
  
  Si asignas varias carpetas o buckets, proporciona una ruta de directorio única para cada asignación.
  
  No se admiten los directorios lógicos anidados. Si proporcionas varias asignaciones para un directorio, proporciona los directorios en una estructura plana en lugar de una estructura anidada. Por ejemplo, usa /dir1 y /dir2 en lugar de /dir1 y /dir1/dir2.
- SFTP_PERMISSION: Es el nivel de acceso al directorio. Para el acceso de solo lectura, establece este valor en READ_ONLY. Para el acceso de lectura y escritura, establece este valor en READ_WRITE.
- SERVICE_ACCOUNT: La cuenta de servicio del usuario. Por ejemplo, username-sa@example-project.iam.gserviceaccount.com.
- CREDENTIAL_NAME: Es un nombre único para identificar las credenciales del usuario.
- SSH_PUBLIC_KEY: Es el cuerpo de la clave pública SSH del usuario, en formato OpenSSH. Por ejemplo: ssh-rsa AAAAB3NzaC1ycRexample...
Ten en cuenta lo siguiente:
- Para otorgar acceso a un usuario a varios buckets, proporciona varias asignaciones de bucket en la lista storageDirectoryMappings.
- Para configurar varias claves públicas para un usuario, proporciona varias credenciales en la lista userCredentials.
Método HTTP y URL:
```
POST https://ftp.googleapis.com/v1/projects/PROJECT_ID/locations/LOCATION_ID/servers/SERVER_ID/users?userId=USERNAME
```
Cuerpo JSON de la solicitud:
```
{
  "storageDirectoryMappings": [
    {
      "bucket": "BUCKET_NAME",
      "bucketPrefix": "BUCKET_PREFIX",
      "directory": "DIRECTORY",
      "permission": "SFTP_PERMISSION"
    }
  ],
  "customerServiceAccount": "SERVICE_ACCOUNT",
  "userCredentials": [
    {
      "credentialName": "CREDENTIAL_NAME",
      "credentialType": "PUBLIC_KEY",
      "sshPublicKeyBody": "SSH_PUBLIC_KEY"
    }
  ]
}
```
Para enviar tu solicitud, expande una de estas opciones:
curl (Linux, macOS o Cloud Shell)

Nota: Con el siguiente comando, se supone que accediste a gcloud CLI con tu cuenta de usuario a través de la ejecución de gcloud init o gcloud auth login , o a través del uso de Cloud Shell, que accede de forma automática a gcloud CLI . Para comprobar la cuenta activa actual, ejecuta gcloud auth list.

Guarda el cuerpo de la solicitud en un archivo llamado request.json y ejecuta el siguiente comando:
```
curl -X POST \
     -H "Authorization: Bearer $(gcloud auth print-access-token)" \
     -H "Content-Type: application/json; charset=utf-8" \
     -d @request.json \
     "https://ftp.googleapis.com/v1/projects/PROJECT_ID/locations/LOCATION_ID/servers/SERVER_ID/users?userId=USERNAME"
```
PowerShell (Windows)

Nota: El siguiente comando supone que accediste a gcloud CLI con tu cuenta de usuario a través de la ejecución de gcloud init o gcloud auth login . Para comprobar la cuenta activa actual, ejecuta gcloud auth list.

Guarda el cuerpo de la solicitud en un archivo llamado request.json y ejecuta el siguiente comando:
```
$cred = gcloud auth print-access-token
$headers = @{ "Authorization" = "Bearer $cred" }

Invoke-WebRequest `
    -Method POST `
    -Headers $headers `
    -ContentType: "application/json; charset=utf-8" `
    -InFile request.json `
    -Uri "https://ftp.googleapis.com/v1/projects/PROJECT_ID/locations/LOCATION_ID/servers/SERVER_ID/users?userId=USERNAME" | Select-Object -Expand Content
```
La respuesta identifica una operación de larga duración. La creación del usuario tarda unos segundos.
Proporciona al usuario la siguiente información que necesita para conectarse al servidor:
- Nombre de usuario de SFTP del usuario.
- La configuración de acceso del servidor, que depende del tipo de servidor:
  - En el caso de un servidor externo, es la dirección IP del servidor.
  - En el caso de un servidor interno, es el URI del adjunto de servicio del servidor.
  Para conocer los pasos para obtener la configuración de acceso del servidor, consulta Obtén detalles sobre un servidor.
- (Opcional) Es la huella digital de la clave del servidor.

¿Qué sigue?

Conéctate a un servidor SFTP externo.
Conéctate a un servidor SFTP interno.
Transfiere datos con comandos de SFTP.
Obtén información sobre las opciones de protección, copia de seguridad y recuperación de datos para los buckets de Cloud Storage.

Cómo agregar usuarios a un servidor SFTP Organiza tus páginas con colecciones Guarda y categoriza el contenido según tus preferencias.

Consideraciones

Antes de comenzar

Genera un par de llaves SSH

¿Qué formato de clave necesitas?

Formato PEM

Formato PPK

Roles obligatorios

Cómo configurar los permisos de un usuario

Crea un usuario del servidor SFTP

gcloud

Linux, macOS o Cloud Shell

Windows (PowerShell)

Windows (cmd.exe)

REST

curl (Linux, macOS o Cloud Shell)

PowerShell (Windows)

¿Qué sigue?

Cómo agregar usuarios a un servidor SFTP