הגדרת הרשאות של Google Cloud ו-Cloud Storage לייצוא נתונים מ-Cloud Storage למכשיר, שלב אחר שלב

במאמר הזה מוסבר איך מגדירים Google Cloud הרשאות ו-Cloud Storage שלב אחר שלב, כולל:

  • הכנת הקטגוריה של Cloud Storage.
  • הכנת מפתח של Cloud Key Management Service לאבטחת הנתונים.
  • מספקים לצוות Transfer Appliance את נתוני ההגדרה של קטגוריית Cloud Storage.

לפני שמתחילים

מוודאים שקיבלתם אימייל מצוות Transfer Appliance עם הכותרת Google Transfer Appliance Permissions. האימייל הזה כולל:

  • השמות של חשבונות השירות שנדרשים להעברה.

  • מזהה סשן שנדרש להגדרת הציוד.

  • טופס שתצטרכו למלא אחרי שתגדירו את החשבון.

הכנת ההרשאות בקטגוריה של Cloud Storage

אנחנו משתמשים בשני חשבונות שירות כדי להעביר את הנתונים שלכם. חשבונות שירות הם חשבונות מיוחדים שאפליקציה (ולא אדם) משתמשת בהם כדי לבצע עבודה. במקרה הזה, חשבונות השירות מאפשרים ל-Transfer Appliance להשתמש במשאבי Cloud Storage בשמכם כדי להעביר נתונים בין Cloud Storage לבין מכשיר ההעברה. אתם מקצים לחשבונות האלה את התפקידים הנדרשים להעברת נתונים.

כדי להכין את הקטגוריה של Cloud Storage, פועלים לפי השלבים הבאים:

  1. באימייל עם הכותרת Google Transfer Appliance Permissions, צוות Transfer Appliance מספק לכם את חשבונות השירות הבאים:

    • חשבון שירות של סשן שקשור להעברה הספציפית הזו. היא נראית כמו בדוגמה הבאה:

      ta-SESSION_ID@transfer-appliance-zimbru.iam.gserviceaccount.com

      בדוגמה הזו, SESSION_ID הוא מזהה הסשן של ההעברה הספציפית הזו.

    • סוכן שירות שמקושר לשירות ההעברה של שירות נתונים מקומי, שבו אנחנו משתמשים כדי להעביר נתונים בין Cloud Storage לבין המכשיר. היא תיראה כמו בדוגמה הבאה:

      project-TENANT_IDENTIFIER@storage-transfer-service.iam.gserviceaccount.com

      בדוגמה הזו, TENANT_IDENTIFIER הוא מספר שנוצר באופן ספציפי לפרויקט הזה.

    שימו לב לחשבונות השירות כדי לדעת מה השלבים הבאים.

    חשבונות השירות מאפשרים ל-Transfer Appliance לבצע מניפולציות במשאביGoogle Cloud בשמכם, כלומר להעביר נתונים בין Cloud Storage לבין ה-Appliance. אתם מעניקים לחשבונות האלה את התפקידים הנדרשים להעברת נתונים בין Cloud Storage לבין המכשיר.

  2. קטגוריות של Cloud Storage קשורות לפרויקטים Google Cloud . הקטגוריה שבוחרים צריכה להיות באותו פרויקט שבו השתמשתם כדי להזמין את המכשיר.

  3. כדי להעניק לחשבונות השירות של Transfer Appliance הרשאה להשתמש בקטגוריה של Cloud Storage:

    Google Cloud Console

    1. במסוף Google Cloud , נכנסים לדף Buckets של Cloud Storage.

      כניסה לדף Buckets

    2. לוחצים על התפריט Bucket overflow () שמשויך לקטגוריה שבה רוצים להקצות תפקיד לחשבון המשתמש.

    3. בוחרים באפשרות עריכת הרשאות של קטגוריה.

    4. לוחצים על הלחצן + הוספת גורמים.

    5. בשדה New principals, מזינים את הזהויות הבאות:

      • חשבון השירות של הסשן. היא נראית כמו בדוגמה הבאה:

        ta-SESSION_ID@transfer-appliance-zimbru.iam.gserviceaccount.com

        בדוגמה הזו, SESSION_ID הוא מזהה הסשן של ההעברה הספציפית הזו.

      • סוכן שירות ההעברה לשירות נתונים מקומי. הוא אמור להיראות כמו בדוגמה הבאה:

        project-TENANT_IDENTIFIER@storage-transfer-service.iam.gserviceaccount.com

        בדוגמה הזו, TENANT_IDENTIFIER הוא מספר שנוצר באופן אוטומטי וספציפי לפרויקט הזה.

    6. בתפריט הנפתח Select a role, בוחרים את התפקיד Storage Admin.

      התפקידים שבחרתם יופיעו בחלונית עם תיאור קצר של ההרשאות שהם מעניקים.

    7. לוחצים על Save.

    שורת הפקודה

    משתמשים בפקודה gcloud storage buckets add-iam-policy-binding:

    gcloud storage buckets add-iam-policy-binding gs://BUCKET_NAME \
--member=serviceAccount:ta-SESSION_ID@transfer-appliance-zimbru.iam.gserviceaccount.com \
--role=roles/storage.admin
     
    gcloud storage buckets add-iam-policy-binding gs://BUCKET_NAME \
--member=serviceAccount:project-TENANT_IDENTIFIER@storage-transfer-service.iam.gserviceaccount.com \
--role=roles/storage.admin

    בדוגמה הזו:

    • ‫BUCKET_NAME: שם הקטגוריה שאתם יוצרים.
    • ‫SESSION_ID: מזהה הסשן של ההעברה הספציפית הזו.
    • ‫TENANT_IDENTIFIER: מספר שנוצר באופן ספציפי לפרויקט הזה.

הכנת מפתח Cloud KMS

‫Transfer Appliance מאבטח את הנתונים במכשיר באמצעות הצפנה. מפתח ציבורי של Cloud Key Management Service‏ (Cloud KMS) משמש להצפנת הנתונים ב-Transfer Appliance, ומפתח פרטי משמש לפענוח הנתונים.

אנחנו משתמשים בחשבון השירות של הסשן מהכנת ההרשאות בקטגוריה של Cloud Storage כדי להעלות את הנתונים מהקטגוריה של Cloud Storage למכשיר.

יש לכם את האפשרות הבאה לניהול מפתחות הצפנה:

  • יצירה וניהול של מפתחות הצפנה בעצמכם. כדי ליצור את מפתחות ההצפנה שמשמשים להעברה ולנהל אותם, פועלים לפי ההוראות שבהמשך. מכינים מפתח פענוח אסימטרי של Cloud KMS ומוסיפים את חשבון השירות של הסשן למפתח.

כדי להכין מפתחות Cloud KMS, פועלים לפי השלבים הבאים:

  1. אם אין לכם אוסף מפתחות של Cloud Key Management Service, אתם יכולים ליצור אותו כך:

    Google Cloud Console

    1. נכנסים לדף Cryptographic Keys במסוףGoogle Cloud .

      כניסה לדף Cryptographic Keys

    2. לוחצים על Create key ring (יצירת מחזיק מפתחות).

    3. בשדה Key ring name (שם אוסף המפתחות), מזינים את השם הרצוי לאוסף המפתחות.

    4. בתפריט הנפתח מיקום מחזיק המפתחות, בוחרים מיקום כמו "us-east1".

    5. לוחצים על יצירה.

    שורת הפקודה

    gcloud kms keyrings create KEY_RING --location=LOCATION --project=PROJECT_ID

    בדוגמה הזו:

    • ‫LOCATION: המיקום ב-Cloud Key Management Service של אוסף המפתחות. לדוגמה, global.
    • ‫KEY_RING: השם של אוסף המפתחות.
    • ‫PROJECT_ID: Google Cloud מזהה הפרויקט שבו נמצא מאגר האחסון.

  2. כדי ליצור מפתח פענוח אסימטרי:

    Google Cloud Console

    1. נכנסים לדף Cryptographic Keys במסוףGoogle Cloud .

      כניסה לדף Cryptographic Keys

    2. לוחצים על השם של אוסף המפתחות שרוצים ליצור לו מפתח.

    3. לוחצים על Create key.

    4. בקטע What type of key do you want to create?‎ (איזה סוג מפתח רוצים ליצור?), בוחרים באפשרות Generated key (מפתח שנוצר).

    5. בשדה שם המפתח, מזינים את השם של המפתח.

    6. לוחצים על התפריט הנפתח רמת הגנה ובוחרים באפשרות תוכנה.

    7. לוחצים על התפריט הנפתח Purpose (מטרה) ובוחרים באפשרות Asymmetric decrypt (פענוח אסימטרי).

    8. לוחצים על התפריט הנפתח אלגוריתם ובוחרים באפשרות 4096-bit RSA - OAEP Padding - SHA256 Digest (אלגוריתם RSA עם 4096 ביט – ריפוד OAEP – תמצית SHA256)

    9. לוחצים על יצירה.

    שורת הפקודה

    מריצים את הפקודה הבאה כדי ליצור מפתח אסימטרי לפענוח:

    gcloud kms keys create KEY --keyring=KEY_RING \
--location=LOCATION --purpose=asymmetric-encryption \
--default-algorithm=rsa-decrypt-oaep-4096-sha256 \
--project=PROJECT_ID

    בדוגמה הזו:

    • ‫KEY: השם של המפתח ב-Cloud Key Management Service. לדוגמה, ta-key.
    • ‫KEY_RING: השם של אוסף המפתחות.
    • ‫LOCATION: המיקום ב-Cloud Key Management Service של אוסף המפתחות. לדוגמה, global.
    • ‫PROJECT_ID: Google Cloud מזהה הפרויקט שבו נמצא מאגר האחסון.

  3. כדי להוסיף את חשבון השירות של הסשן כחשבון משתמש למפתח האסימטרי:

    Google Cloud Console

    1. נכנסים לדף Cryptographic Keys במסוף Google Cloud .

      כניסה לדף Cryptographic Keys

    2. לוחצים על אוסף המפתחות שמכיל את המפתח האסימטרי.

    3. מסמנים את התיבה של המפתח האסימטרי.

    4. בחלונית Info panel, לוחצים על Add principal.

      מוצגת האפשרות Add principals.

    5. בשדה New principals, מזינים את חשבון השירות של הסשן שסופק על ידי צוות Transfer Appliance. היא נראית כמו בדוגמה הבאה:

      ta-SESSION_ID@transfer-appliance-zimbru.iam.gserviceaccount.com

      בדוגמה הזו, SESSION_ID הוא מזהה הסשן של ההעברה הספציפית הזו.

    6. בשדה Select a role (בחירת תפקיד), מוסיפים את התפקיד Cloud KMS CryptoKey Public Key Viewer (צפייה במפתח ציבורי של CryptoKey ב-Cloud KMS).

    7. לוחצים על Add another role ומוסיפים את התפקיד Cloud KMS CryptoKey Decrypter.

    8. לוחצים על Save.

    שורת הפקודה

    1. מריצים את הפקודה הבאה כדי להעניק לחשבון השירות של הסשן את התפקיד roles/cloudkms.publicKeyViewer:

      gcloud kms keys add-iam-policy-binding KEY \
--keyring=KEY_RING --location=LOCATION \
--member=serviceAccount:ta-SESSION_ID@transfer-appliance-zimbru.iam.gserviceaccount.com \
--role=roles/cloudkms.publicKeyViewer

      בדוגמה הזו:

      • ‫KEY: השם של המפתח ב-Cloud Key Management Service. לדוגמה, ta-key.
      • ‫KEY_RING: השם של אוסף המפתחות.
      • ‫LOCATION: המיקום ב-Cloud Key Management Service של אוסף המפתחות. לדוגמה, global.
      • ‫SESSION_ID: מזהה הסשן של ההעברה הספציפית הזו.

  4. כדי לקבל את הנתיב של המפתח האסימטרי:

    Google Cloud Console

    1. נכנסים לדף Cryptographic Keys במסוף Google Cloud .

      כניסה לדף Cryptographic Keys

    2. לוחצים על אוסף המפתחות שמכיל את מפתח הפענוח האסימטרי.

    3. לוחצים על השם של מפתח הפענוח האסימטרי.

    4. בוחרים את גרסת המפתח הרצויה ולוחצים על סמל האפשרויות הנוספות .

    5. לוחצים על העתקת שם המשאב.

      דוגמה לפורמט המפתח:

      projects/PROJECT_ID/locations/LOCATION/keyRings/KEY_RING/cryptoKeys/KEY/cryptoKeyVersions/VERSION_NUMBER

      בדוגמה הזו:

      • ‫PROJECT_ID: Google Cloud מזהה הפרויקט שבו נמצא מאגר האחסון.
      • ‫LOCATION: המיקום ב-Cloud Key Management Service של אוסף המפתחות.
      • ‫KEY_RING: השם של אוסף המפתחות.
      • ‫KEY: השם של המפתח ב-Cloud Key Management Service.
      • ‫VERSION_NUMBER: מספר הגרסה של המפתח.

      צוות Transfer Appliance צריך את נתיב המפתח המלא, כולל מספר הגרסה, כדי שיוכל להחיל את המפתח הנכון על הנתונים.

    שורת הפקודה

    מריצים את הפקודה הבאה כדי להציג את הנתיב המלא של המפתח האסימטרי, כולל מספר הגרסה שלו:

    gcloud kms keys versions list --keyring=KEY_RING \
--key=KEY --location=LOCATION \
--project=PROJECT_ID

    בדוגמה הזו:

    • ‫KEY_RING: השם של אוסף המפתחות.
    • ‫KEY: השם של המפתח האסימטרי.
    • ‫LOCATION: Google Cloud המיקום של אוסף המפתחות.
    • ‫PROJECT_ID: מזהה הפרויקט ב- Google Cloud שבו נמצא דלי האחסון.

    הדוגמה הבאה לתגובה דומה לפלט שמוחזר:

    NAME STATE
projects/PROJECT_ID/locations/LOCATION/keyRings/KEY_RING/cryptoKeys/KEY/cryptoKeyVersions/VERSION_NUMBER
ENABLED

    בדוגמה הזו:

    • ‫PROJECT_ID: Google Cloud מזהה הפרויקט שבו נמצא מאגר האחסון.
    • ‫LOCATION: המיקום ב-Cloud Key Management Service של אוסף המפתחות.
    • ‫KEY_RING: השם של אוסף המפתחות.
    • ‫KEY: השם של המפתח ב-Cloud Key Management Service.
    • ‫VERSION_NUMBER: מספר הגרסה של המפתח.

    צוות Transfer Appliance צריך את המחרוזת שמופיעה מתחת ל-NAME ומסתיימת ב-/cryptoKeyVersions/VERSION_NUMBER, כאשר VERSION_NUMBER הוא מספר הגרסה של המפתח.

מספקים לצוות Transfer Appliance נתונים של הגדרות הדלי

אנחנו שולחים אימייל עם הכותרת Google Transfer Appliance Permissions כדי לאסוף מידע על קטגוריית Cloud Storage שלכם. אנחנו משתמשים במידע שאתם מספקים כדי להגדיר את העברת הנתונים בין Cloud Storage לבין Transfer Appliance.

בטופס שאליו מקשרים מהאימייל, מזינים את הפרטים הבאים:

  • Google Cloud מזהה הפרויקט.
  • בוחרים את האפשרות הרצויה להצפנה:
    • מפתח הצפנה בניהול הלקוח, בוחרים את מפתח ההצפנה מהתפריט הנפתח בחירת מפתח הצפנה בניהול הלקוח.
  • Google Cloud שם הקטגוריה של Cloud Storage שמשמש להעברה הזו.

מה השלב הבא?

מגדירים יציאות של רשת IP כדי ש-Transfer Appliance יפעל ברשת שלכם.