Eliminare l'accesso

Dopo aver completato la copia dei dati da tutti gli appliance, ti consigliamo di rimuovere l'accesso concesso in precedenza ai nostri account di servizio. In questo modo, applichi la pratica del privilegio minimo ai tuoi dati e contribuisci a garantirne la sicurezza.

Questa sezione descrive:

  • La revoca dell'accesso dei nostri account di servizio ai tuoi bucket Cloud Storage.
  • La revoca dell'accesso dei nostri account di servizio ai tuoi ruoli Cloud KMS.
  • L'eliminazione della chiave Cloud KMS utilizzata per criptare i dati su Transfer Appliance.

Attendi il completamento della copia di tutti i dati in Cloud Storage prima di completare i passaggi riportati di seguito.

Una volta eliminata la chiave Cloud KMS, non è possibile recuperare i dati criptati su Transfer Appliance. Allo stesso modo, una volta revocato l'accesso degli account di servizio ai bucket Cloud Storage e alla chiave Cloud KMS, non è possibile copiare altri dati dall'appliance ai bucket Cloud Storage.

Revoca dell'accesso alla chiave Cloud KMS per il account di servizio

La revoca dell'accesso alla chiave Cloud KMS per il account di servizio di Transfer Appliance garantisce che non possiamo più decriptare i dati di Transfer Appliance per tuo conto.

Per revocare i ruoli Cloud KMS CryptoKey Decrypter e Cloud KMS CryptoKey Public Key Viewer dal account di servizio:

Google Cloud Console

  1. Vai alla pagina Chiavi di crittografia nella Google Cloud console.

    Vai alla pagina Chiavi di crittografia

  2. Fai clic sul nome del keyring che contiene la chiave utilizzata in Preparare la chiave Cloud KMS.

  3. Seleziona la casella di controllo per la chiave di cui stai revocando l'accesso dal account di servizio.

  4. Fai clic su Mostra riquadro informazioni.

    Viene visualizzato il riquadro informativo.

  5. Per revocare il ruolo Cloud KMS CryptoKey Decrypter dal account di servizio:

    1. Nella scheda Autorizzazioni, espandi Cloud KMS CryptoKey Decrypter.

    2. Individua il account di servizio. È simile all'esempio seguente:

      service-PROJECT_ID@gcp-sa-transferappliance.iam.gserviceaccount.com

      In questo esempio, PEOJECT_ID è l' Google Cloud ID progetto in cui si trova la chiave.

    3. Fai clic su Elimina.

    4. Nella finestra di eliminazione, seleziona il account di servizio e fai clic su Rimuovi.

  6. Per revocare il ruolo Cloud KMS CryptoKey Public Key Viewer dal account di servizio:

    1. Nella scheda Autorizzazioni, espandi il ruolo Cloud KMS CryptoKey Public Key Viewer.

    2. Individua il account di servizio di sessione. È simile all'esempio seguente:

      service-PROJECT_ID@gcp-sa-transferappliance.iam.gserviceaccount.com

      In questo esempio, PEOJECT_ID è l' Google Cloud ID progetto in cui si trova la chiave.

    3. Fai clic su Elimina.

    4. Nella finestra di eliminazione, seleziona la casella di controllo accanto al account di servizio e fai clic su Rimuovi.

Riga di comando

  1. Esegui questo comando per revocare il ruolo roles/cloudkms.cryptoKeyDecrypter dal service account di sessione:

    gcloud kms keys remove-iam-policy-binding KEY \
  --keyring KEY_RING \
  --location LOCATION \
  --member=serviceAccount:service-PROJECT_ID@gcp-sa-transferappliance.iam.gserviceaccount.com \
  --role roles/cloudkms.cryptoKeyDecrypter

    In questo esempio:

    • KEY: il nome della chiave Cloud Key Management Service. Ad esempio, ta-key.
    • KEY_RING: il nome del keyring.
    • LOCATION: la località Cloud Key Management Service per il keyring. Ad esempio, global.
    • PROJECT_ID: l'ID progetto in cui si trova la chiave. Google Cloud

  2. Esegui questo comando per revocare il ruolo roles/cloudkms.publicKeyViewer dal account di servizio di sessione:

    gcloud kms keys remove-iam-policy-binding KEY \
  --keyring KEY_RING \
  --location LOCATION \
  --member=serviceAccount:service-PROJECT_ID@gcp-sa-transferappliance.iam.gserviceaccount.com \
  --role roles/cloudkms.publicKeyViewer

    In questo esempio:

    • KEY: il nome della chiave Cloud Key Management Service. Ad esempio, ta-key.
    • KEY_RING: il nome del keyring.
    • LOCATION: la località Cloud Key Management Service per il keyring. Ad esempio, global.
    • PROJECT_ID: l'ID progetto in cui si trova la chiave. Google Cloud

Revoca dell'accesso ai bucket Cloud Storage per i service account

La revoca dell'accesso ai bucket Cloud Storage per i service account di Transfer Appliance garantisce che non possiamo più utilizzare le risorse Cloud Storage per tuo conto.

Per revocare l'accesso ai bucket Cloud Storage per i service account di Transfer Appliance:

Google Cloud Console

  1. Nella Google Cloud console, vai alla pagina Bucket di Cloud Storage.

    Vai a Bucket

  2. Individua il bucket Cloud Storage in cui sono stati copiati i dati e seleziona la casella di controllo accanto al nome del bucket.

  3. Fai clic su Mostra riquadro informazioni.

    Viene visualizzato il riquadro informativo.

  4. Nella scheda Autorizzazioni, espandi Ruolo Amministratore Storage.

  5. Individua i service account associati. A seconda della configurazione, saranno presenti da 2 a 4 account. I service account sono descritti in Riferimento rapido ai service account.

    Per ogni account di servizio:

    1. Fai clic su Elimina.

    2. Per confermare l'eliminazione, seleziona la casella di controllo accanto al service account e fai clic su Rimuovi.

Riga di comando

Utilizza il gcloud storage buckets remove-iam-policy-binding comando:

gcloud storage buckets remove-iam-policy-binding gs://BUCKET_NAME\
--member=serviceAccount:ta-SESSION_ID@transfer-appliance-zimbru.iam.gserviceaccount.com \
--role=roles/storage.admin

gcloud storage buckets remove-iam-policy-binding gs://BUCKET_NAME\
--member=serviceAccount:project-IDENTIFIER@storage-transfer-service.iam.gserviceaccount.com \
--role=roles/storage.admin

A seconda della configurazione, potresti avere altri service account. Per i dettagli, consulta il Riferimento rapido ai service account.

In questo esempio:

  • SESSION_ID: l'ID sessione per questo trasferimento specifico.
  • IDENTIFIER: un numero generato specifico per questo progetto.
  • BUCKET_NAME: il nome del bucket Cloud Storage.

Eliminazione della chiave Cloud KMS

L'eliminazione della chiave Cloud KMS garantisce che i dati criptati in precedenza con la chiave non possano più essere decriptati da nessuno.

Per ulteriori informazioni sull'eliminazione delle chiavi, consulta Eliminazione e ripristino delle versioni delle chiavi.

Per eliminare la chiave Cloud KMS:

Google Cloud Console

  1. Vai alla pagina Chiavi di crittografia nella Google Cloud console.

    Vai alla pagina Chiavi di crittografia

  2. Fai clic sul nome del keyring utilizzato per Preparare la chiave Cloud KMS.

  3. Individua la riga contenente la chiave che stai eliminando.

  4. Seleziona Altro > Elimina.

    Viene visualizzata una finestra di dialogo di conferma.

  5. Nella finestra di dialogo di conferma, fai clic su Pianifica eliminazione.

Riga di comando

Utilizza il comando gcloud kms keys version destroy:

gcloud kms keys versions destroy VERSION_NUMBER
--keyring=KEY_RING \
--key=KEY --location=LOCATION \
--project=PROJECT_ID

In questo esempio:

  • VERSION_NUMBER: il numero di versione della chiave.
  • KEY_RING: il nome del keyring.
  • KEY: il nome della chiave asimmetrica.
  • LOCATION: la Google Cloud località del key ring.
  • PROJECT_ID: l'ID progetto in cui si trova la chiave. Google Cloud