עדכון חשבון שירות למשתמש SFTP

במאמר הזה מוסבר איך לעדכן את חשבון השירות של משתמש ב-Cloud FTP. חשבון השירות ניגש למשאבים של Cloud Storage בשם המשתמש.

כדי לעדכן את חשבון השירות של משתמש:

1. מגדירים חשבון שירות עם התפקידים המתאימים ב-IAM.
2. מעדכנים את חשבון השירות שמצורף למשתמש.

מומלץ להשתמש בחשבון שירות ייעודי לכל משתמש כדי שתוכלו לנהל את הגישה ל-SFTP בנפרד לכל משתמש.

התפקידים הנדרשים

כדי לקבל את ההרשאה שנדרשת לעדכון משתמשי SFTP, צריך לבקש מהאדמין להקצות לכם את תפקיד ה-IAM‏ FTP Admin (roles/ftp.admin) בפרויקט. כדי לקרוא הסבר על מתן תפקידים, ראו איך מנהלים את הגישה ברמת הפרויקט, התיקייה והארגון.

התפקיד המוגדר מראש הזה כולל את ההרשאה ftp.users.update, שנדרשת כדי לעדכן משתמשי SFTP.

יכול להיות שתוכלו לקבל את ההרשאה הזו גם בתפקידים בהתאמה אישית או בתפקידים אחרים שמוגדרים מראש.

הגדרת חשבון שירות

1. אם עדיין אין חשבון שירות, יוצרים חשבון שירות בשביל המשתמש.

   gcloud iam service-accounts create USERNAME-sa \
       --description="USERNAME SFTP Service Account" \
       --display-name="USERNAME SFTP Service Account"

   מחליפים את USERNAME בשם משתמש ייחודי עבור משתמש ה-SFTP. שם המשתמש חייב להתחיל באות קטנה באנגלית, ויכול לכלול אותיות קטנות, מספרים או מקפים.

   אם הפעולה מצליחה, מוצגת הודעה כמו Created service account [example-userid-sa]

2. מקצים לעצמכם את התפקיד 'משתמש בחשבון שירות' (roles/iam.serviceAccountUser):

   gcloud iam service-accounts add-iam-policy-binding USERNAME-sa@PROJECT_ID.iam.gserviceaccount.com \
       --member="user:ADMINISTRATOR_EMAIL" \
       --role="roles/iam.serviceAccountUser"

   מחליפים את ADMINISTRATOR_EMAIL בכתובת האימייל של החשבון הראשי שמעדכן את משתמש ה-SFTP. אם אתם מעדכנים את המשתמש (ולא את האפליקציה), הערך הזה הוא כתובת האימייל שמשמשת אתכם לגישה אל Google Cloud.

   אם הפעולה מצליחה, מוצגת הודעה כמו זו:

   Updated IAM policy for serviceAccount [[e-mail]].
   bindings:
   - members:
   - user:[e-mail]
   role: roles/iam.serviceAccountUser
   etag: BwZJk7OiSzw=
   version: 1
   

3. מקצים לחשבון השירות של המשתמש את תפקיד ה-IAM שנדרש לגישה למאגר:

   gcloud storage buckets add-iam-policy-binding gs://BUCKET_NAME \
       --member="serviceAccount:USERNAME-sa@PROJECT_ID.iam.gserviceaccount.com" \
       --role="ROLE"

   מחליפים את ROLE באחד מתפקידי ה-IAM הבאים:

   • כדי להגדיר הרשאת גישה לקריאה בלבד, משתמשים בתפקיד roles/storage.objectViewer.
   • כדי לקבל גישת קריאה וכתיבה, צריך להשתמש בתפקיד roles/storage.objectAdmin.

   חוזרים על השלב הזה לכל מאגר שהמשתמש צריך לגשת אליו.

4. נותנים לסוכן השירות של Cloud FTP הרשאה ליצור אסימונים לחשבון השירות של המשתמש:

   1. מוצאים את כתובת האימייל של סוכן השירות של שרת ה-SFTP. הוראות מפורטות מופיעות במאמר קבלת פרטים על שרת.

   2. נותנים הרשאה לסוכן השירות של Cloud FTP:

      gcloud iam service-accounts add-iam-policy-binding USERNAME-sa@PROJECT_ID.iam.gserviceaccount.com \
          --member="serviceAccount:SERVICE_AGENT_EMAIL" \
          --role="roles/iam.serviceAccountTokenCreator"

      מחליפים את SERVICE_AGENT_EMAIL בכתובת האימייל של סוכן השירות.

לאחר מכן, מעדכנים את חשבון השירות של המשתמש.

עדכון חשבון השירות של משתמש

REST

כדי לעדכן את חשבון השירות שמצורף למשתמש SFTP, משתמשים בשיטת servers.users.patch. בפרמטר השאילתה updateMask, מציינים את השדה customerServiceAccount.

לפני שמשתמשים בנתוני הבקשה, צריך להחליף את הנתונים הבאים:

• ‫PROJECT_ID: מזהה הפרויקט של השרת ב- Google Cloud .
• ‫LOCATION_ID: המיקום של השרת, למשל us-west1.
• ‫SERVER_ID: מזהה השרת.
• ‫USERNAME: שם המשתמש של משתמש ה-SFTP.

ה-method של ה-HTTP וכתובת ה-URL:

PATCH https://ftp.googleapis.com/v1/projects/PROJECT_ID/locations/LOCATION_ID/servers/SERVER_ID/users/USERNAME?updateMask=customerServiceAccount

תוכן בקשת JSON:

{
  "customerServiceAccount": "USERNAME-sa@PROJECT_ID.iam.gserviceaccount.com"
}

כדי לשלוח את הבקשה צריך להרחיב אחת מהאפשרויות הבאות:

‫Curl (Linux,‏ macOS או Cloud Shell)

הערה: הפקודה הבאה מבוססת על ההנחה שנכנסתם ל-CLI של gcloud באמצעות חשבון המשתמש שלכם, על ידי הרצת gcloud init או gcloud auth login, או באמצעות Cloud Shell שמחבר אתכם אוטומטית ל-CLI של gcloud. כדי לבדוק איזה חשבון פעיל, אפשר להריץ את הפקודה gcloud auth list.

שומרים את גוף הבקשה בקובץ בשם request.json ומריצים את הפקודה הבאה:

curl -X PATCH \
     -H "Authorization: Bearer $(gcloud auth print-access-token)" \
     -H "Content-Type: application/json; charset=utf-8" \
     -d @request.json \
     "https://ftp.googleapis.com/v1/projects/PROJECT_ID/locations/LOCATION_ID/servers/SERVER_ID/users/USERNAME?updateMask=customerServiceAccount"

‎PowerShell (Windows)

הערה: הפקודה הבאה מבוססת על ההנחה שנכנסתם ל-CLI של gcloud באמצעות חשבון המשתמש שלכם, על ידי הרצת gcloud init או gcloud auth login. כדי לבדוק איזה חשבון פעיל, אפשר להריץ את הפקודה gcloud auth list.

שומרים את גוף הבקשה בקובץ בשם request.json ומריצים את הפקודה הבאה:

$cred = gcloud auth print-access-token
$headers = @{ "Authorization" = "Bearer $cred" }

Invoke-WebRequest `
    -Method PATCH `
    -Headers $headers `
    -ContentType: "application/json; charset=utf-8" `
    -InFile request.json `
    -Uri "https://ftp.googleapis.com/v1/projects/PROJECT_ID/locations/LOCATION_ID/servers/SERVER_ID/users/USERNAME?updateMask=customerServiceAccount" | Select-Object -Expand Content

התגובה מזהה פעולה ממושכת. העדכון של המשתמש יימשך כמה שניות.

המאמרים הבאים

• עדכון של מאגרי מידע למשתמש SFTP