Dateisystemdaten schützen

Sie haben mehrere Möglichkeiten, die Daten und Ressourcen zu übertragen, die Sie übertragen.

Dateisystemressourcen schützen

Agents greifen auf Dateien aus der Umgebung zu, in der sie ausgeführt werden. Es gibt mehrere Möglichkeiten, wie Sie den Zugriff auf Ihre Daten schützen können:

• Verwenden eines eingeschränkten Nutzers oder Rollenkontos zum Ausführen des Agent-Containers.

• Begrenzung der im Agent-Container bereitgestellten Dateisysteme

• Wählen Sie NFS-Bereitstellungsberechtigungen gemäß Ihren Sicherheitsrichtlinien aus, z. B. keinen Schreibzugriff.

• Zugriff auf Agent-Verzeichnis einschränken.

Wichtig: Nutzer, die Übertragungsjobs erstellen können, können Daten aus jedem Dateisystemverzeichnis, auf das der Agent zugreifen kann, abrufen und herunterladen. Wenn Agents als Root ausgeführt werden und Zugriff auf das gesamte Dateisystem erhalten, kann ein böswilliger Akteur möglicherweise den Host übernehmen. Es wird dringend empfohlen, den Agent-Zugriff auf erforderliche Verzeichnisse zu beschränken.

Daten während der Übertragung schützen

Storage Transfer Service verschlüsselt Ihre Daten über eine HTTPS-Sitzung mit TLS für Verbindungen über das öffentliche Internet und über private Verbindungen (z. B. Cloud Interconnect). Wenn Sie Cloud Interconnect verwenden, können Sie mit privaten API-Endpunkten eine zusätzliche Sicherheitsebene erreichen.

Hinweis: Storage Transfer Service verschlüsselt keine Daten in Ihrem Namen, z. B. in vom Kunden verwalteten Verschlüsselungsschlüsseln (Customer-Managed Encryption Keys, CMEK). Wir verschlüsseln Daten nur während der Übertragung.

Google Cloud-Ressourcen schützen

Agents verwenden gcloud auth, um eine Verbindung zu Storage Transfer Service und Cloud Storage-Ressourcen herzustellen, die während der Übertragung verwendet werden. Daher werden Ihre Google Cloud-Ressourcen mithilfe von Identity and Access Management und dem Konto geschützt, das Sie für die Verwendung des Übertragungs-Agents bereitstellen möchten. Sie können auch ein Dienstkonto verwenden, um die Verwaltung der Berechtigungen zu vereinfachen.

IAM

Storage Transfer Service unterstützt die folgenden vordefinierten IAM-Rollen von Storage Transfer Service:

• Storage Transfer-Administrator: Alle Berechtigungen des Storage Transfer Service.

• Storage Transfer-Nutzer: Kann Jobs senden und überwachen, aber keine Jobs löschen oder Administratoreinstellungen wie Agent-Details oder Bandbreiteneinstellungen sehen.

Storage Transfer Service unterstützt weder benutzerdefinierte IAM-Rollen noch die vordefinierte Rolle Storage Transfer Viewer. Nutzer in beiden Szenarien sehen die Benutzeroberfläche möglicherweise nicht. Wenn sie versuchen, Seiten zu laden, für die sie keine Berechtigungen haben, wird auf der Seite ein Fehler oder eine leere Seite angezeigt. Die zulässigen Aktionen bleiben jedoch eingeschränkt.