Configurar o VPC Service Controls para transferências de armazenamento de objetos na nuvem

O serviço de transferência do Cloud Storage é compatível com transferências para buckets do Cloud Storage protegidos pelo VPC Service Controls.

O serviço de transferência do Cloud Storage requer acesso aos buckets do Cloud Storage para mover dados para ou entre buckets do Cloud Storage. Se você tiver buckets dentro de um perímetro de serviço do VPC Service Controls, será necessária uma configuração extra para usar o Serviço de transferência do Cloud Storage para transferir dados para o Cloud Storage.

Para proteger as solicitações TransferJob e TransferOperation, você pode adicionar a API do Serviço de transferência do Cloud Storage como um serviço protegido aos perímetros de serviço. Para proteger os buckets e objetos do Cloud Storage subjacentes, também é necessário adicionar a API Storage do Cloud como um serviço protegido ao perímetro de serviço.

Para saber mais sobre o VPC Service Controls, consulte a Visão geral do VPC Service Controls.

Veja informações sobre como usar o VPC Service Controls com transferências de sistemas de arquivos em Configurar o VPC Service Controls para transferências de sistemas de arquivos.

Configurações aceitas

É possível configurar o funcionamento do serviço de transferência do Cloud Storage com buckets do Cloud Storage protegidos pelo VPC Service Controls por meio dos seguintes métodos:

  • Adicione o projeto do Serviço de transferência do Cloud Storage ao perímetro de serviço dos buckets do Cloud Storage se uma das condições a seguir for verdadeira:

    • É possível configurar os buckets do Cloud Storage em um único perímetro de serviço.
    • Todos os buckets do Cloud Storage estão no mesmo perímetro de serviço.

    Essa opção é a mais fácil de configurar e gerenciar.

  • Caso uma das condições a seguir for verdadeira, crie uma ponte do perímetro para todos os projetos que contêm os buckets do Cloud Storage que você está usando em uma transferência.

    • Não é possível alterar os perímetros de serviço dos buckets do Cloud Storage.
    • Você tem buckets do Cloud Storage em diferentes perímetros de serviço.

    Essa opção permite que o projeto do serviço de transferência do Cloud Storage transfira dados entre os projetos, mesmo que ambos estejam em perímetros de serviço diferentes. Ela também garante que o acesso aos perímetros do bucket do Cloud Storage seja de um conjunto restrito de serviços e recursos.

  • Adicione a conta de serviço do Serviço de transferência do Cloud Storage a um nível de acesso se uma das seguintes situações se aplicar a você:

    • O projeto do Serviço de transferência do Cloud Storage está fora do perímetro de serviço do bucket do Cloud Storage.

    • sua conta de serviço não se encaixa no formulário project-PROJECT_NUMBER@storage-transfer-service.iam.gserviceaccount.com, mesmo que ela pertença a um projeto dentro de um perímetro.

      Para encontrar o formato da sua conta de serviço, use a chamada de API googleServiceAccounts.get.

    Essa opção não exige que você coloque o projeto do Serviço de transferência do Cloud Storage em um perímetro de serviço. Ele também permite que você configure o nível de acesso para permitir apenas solicitações da conta de serviço do Serviço de transferência do Cloud Storage.

Perímetro de serviço

Se quiser usar um perímetro de serviço, siga as instruções em Criar um perímetro de serviço para incluir os projetos a seguir:

  • O projeto TransferJob
  • Projetos de buckets do Cloud Storage
  • API Cloud Storage (storage.googleapis.com)
  • API do Serviço de transferência do Cloud Storage (storagetransfer.googleapis.com)

Ponte do perímetro

Siga estas etapas para usar uma ponte do perímetro:

  1. Crie um perímetro de serviço para o serviço de transferência do Cloud Storage.

  2. Crie uma ponte do perímetro para conectar:

    • o projeto TransferJob;
    • projetos de buckets do Cloud Storage.

Nível de acesso

Para usar um nível de acesso, siga as instruções em Como criar um nível de acesso para conceder acesso à conta de serviço TransferJob.

Depois de criar seu nível de acesso, adicione-o ao perímetro de serviço que restringe o acesso aos projetos do Google Cloud que contêm os buckets do Cloud Storage.

Fontes de dados externas

O VPC Service Controls foi projetado para proteger os recursos do Google Cloud e evitar a exfiltração não autorizada de dados de um perímetro de serviço.

Por design, o VPC Service Controls não bloqueia transferências de dados de fontes externas fora do Google Cloud (como Amazon S3, Armazenamento de Blobs do Azure da Microsoft ou URLs HTTP/HTTPS) para buckets do Cloud Storage em um perímetro de serviço. O VPC Service Controls não avalia os limites do perímetro nem exige regras de saída para fontes de dados externas.

Se você quiser restringir transferências de fontes de dados externas:

Solução de problemas

Se precisar de ajuda na solução de problemas, consulte Solução de problemas do VPC Service Controls.