Memperbarui akun layanan untuk pengguna SFTP

Dokumen ini menunjukkan cara memperbarui akun layanan untuk pengguna Cloud FTP. Akun layanan mengakses resource Cloud Storage atas nama pengguna.

Secara umum, berikut adalah langkah-langkah untuk memperbarui akun layanan bagi pengguna:

1. Konfigurasi akun layanan dengan peran IAM yang sesuai.
2. Perbarui akun layanan yang terpasang ke pengguna.

Sebaiknya Anda menggunakan akun layanan khusus untuk setiap pengguna agar Anda dapat mengelola akses SFTP secara terpisah untuk setiap pengguna.

Peran yang diperlukan

Untuk mendapatkan izin yang diperlukan guna memperbarui pengguna SFTP, minta administrator untuk memberi Anda peran IAM FTP Admin (roles/ftp.admin) di project Anda. Untuk mengetahui informasi selengkapnya tentang cara memberikan peran, lihat Mengelola akses ke project, folder, dan organisasi.

Peran bawaan ini berisi izin ftp.users.update, yang diperlukan untuk memperbarui pengguna SFTP.

Anda mungkin juga bisa mendapatkan izin ini dengan peran khusus atau peran bawaan lainnya.

Mengonfigurasi akun layanan

1. Buat akun layanan untuk pengguna, jika akun layanan belum ada.

   gcloud iam service-accounts create USERNAME-sa \
       --description="USERNAME SFTP Service Account" \
       --display-name="USERNAME SFTP Service Account"

   Ganti USERNAME dengan nama pengguna unik untuk pengguna SFTP. Nama pengguna harus diawali dengan huruf kecil dan dapat menyertakan huruf kecil, angka, atau tanda hubung.

   Jika berhasil, pesan seperti Created service account [example-userid-sa] akan ditampilkan.

2. Berikan peran Service Account User (roles/iam.serviceAccountUser) kepada diri Anda sendiri:

   gcloud iam service-accounts add-iam-policy-binding USERNAME-sa@PROJECT_ID.iam.gserviceaccount.com \
       --member="user:ADMINISTRATOR_EMAIL" \
       --role="roles/iam.serviceAccountUser"

   Ganti ADMINISTRATOR_EMAIL dengan alamat email principal yang memperbarui pengguna SFTP. Jika Anda memperbarui pengguna (bukan aplikasi), nilai ini adalah alamat email yang Anda gunakan untuk mengakses Google Cloud.

   Jika berhasil, pesan seperti berikut akan ditampilkan:

   Updated IAM policy for serviceAccount [[e-mail]].
   bindings:
   - members:
   - user:[e-mail]
   role: roles/iam.serviceAccountUser
   etag: BwZJk7OiSzw=
   version: 1
   

3. Berikan peran IAM yang diperlukan untuk mengakses bucket kepada akun layanan pengguna:

   gcloud storage buckets add-iam-policy-binding gs://BUCKET_NAME \
       --member="serviceAccount:USERNAME-sa@PROJECT_ID.iam.gserviceaccount.com" \
       --role="ROLE"

   Ganti ROLE dengan salah satu peran IAM berikut:

   • Untuk akses hanya baca, gunakan peran roles/storage.objectViewer.
   • Untuk akses baca dan tulis, gunakan peran roles/storage.objectAdmin.

   Ulangi langkah ini untuk setiap bucket yang perlu diakses pengguna.

4. Beri otorisasi Agen Layanan Cloud FTP untuk membuat token bagi akun layanan pengguna:

   1. Dapatkan alamat email agen layanan server SFTP. Untuk mengetahui langkah-langkahnya, lihat Mendapatkan detail tentang server.

   2. Otorisasi Agen Layanan Cloud FTP:

      gcloud iam service-accounts add-iam-policy-binding USERNAME-sa@PROJECT_ID.iam.gserviceaccount.com \
          --member="serviceAccount:SERVICE_AGENT_EMAIL" \
          --role="roles/iam.serviceAccountTokenCreator"

      Ganti SERVICE_AGENT_EMAIL dengan alamat email agen layanan.

Selanjutnya, perbarui akun layanan pengguna.

Memperbarui akun layanan pengguna

REST

Untuk memperbarui akun layanan yang terlampir ke pengguna SFTP, gunakan metode servers.users.patch. Di parameter kueri updateMask, berikan kolom customerServiceAccount.

Sebelum menggunakan salah satu data permintaan, lakukan penggantian berikut:

• PROJECT_ID: Google Cloud project ID server.
• LOCATION_ID: lokasi server, seperti us-west1.
• SERVER_ID: ID server.
• USERNAME: nama pengguna SFTP pengguna.

Metode HTTP dan URL:

PATCH https://ftp.googleapis.com/v1/projects/PROJECT_ID/locations/LOCATION_ID/servers/SERVER_ID/users/USERNAME?updateMask=customerServiceAccount

Meminta isi JSON:

{
  "customerServiceAccount": "USERNAME-sa@PROJECT_ID.iam.gserviceaccount.com"
}

Untuk mengirim permintaan Anda, perluas salah satu opsi berikut:

curl (Linux, macOS, atau Cloud Shell)

Catatan: Perintah berikut mengasumsikan bahwa Anda telah login ke gcloud CLI menggunakan akun pengguna Anda dengan menjalankan gcloud init atau gcloud auth login, atau dengan menggunakan Cloud Shell, yang secara otomatis membuat Anda login ke gcloud CLI. Anda dapat memeriksa akun yang saat ini aktif dengan menjalankan gcloud auth list.

Simpan isi permintaan dalam file bernama request.json, dan jalankan perintah berikut:

curl -X PATCH \
     -H "Authorization: Bearer $(gcloud auth print-access-token)" \
     -H "Content-Type: application/json; charset=utf-8" \
     -d @request.json \
     "https://ftp.googleapis.com/v1/projects/PROJECT_ID/locations/LOCATION_ID/servers/SERVER_ID/users/USERNAME?updateMask=customerServiceAccount"

PowerShell (Windows)

Catatan: Perintah berikut mengasumsikan bahwa Anda telah login ke gcloud CLI menggunakan akun pengguna Anda dengan menjalankan gcloud init atau gcloud auth login. Anda dapat memeriksa akun yang saat ini aktif dengan menjalankan gcloud auth list.

Simpan isi permintaan dalam file bernama request.json, dan jalankan perintah berikut:

$cred = gcloud auth print-access-token
$headers = @{ "Authorization" = "Bearer $cred" }

Invoke-WebRequest `
    -Method PATCH `
    -Headers $headers `
    -ContentType: "application/json; charset=utf-8" `
    -InFile request.json `
    -Uri "https://ftp.googleapis.com/v1/projects/PROJECT_ID/locations/LOCATION_ID/servers/SERVER_ID/users/USERNAME?updateMask=customerServiceAccount" | Select-Object -Expand Content

Respons mengidentifikasi operasi yang berjalan lama. Perlu waktu beberapa detik agar pengguna diperbarui.

Langkah berikutnya

• Memperbarui bucket untuk pengguna SFTP