Proteger los datos del sistema de archivos

Tienes varias opciones para proteger los datos y los recursos que transfieras.

Proteger los recursos del sistema de archivos

Los agentes acceden a los archivos del entorno en el que se ejecutan. Esto significa que tienes varias formas de proteger el acceso a tus datos:

• Usar una cuenta de usuario o de rol restringida para ejecutar el contenedor del agente.

• Limitar los sistemas de archivos que se montan en el contenedor del agente.

• Elige los permisos de montaje de NFS de acuerdo con tus políticas de seguridad, como no permitir el acceso de escritura.

• Restringir el acceso al directorio de agentes

Importante: Los usuarios que pueden crear trabajos de transferencia pueden recuperar datos de cualquier directorio del sistema de archivos al que pueda acceder el agente y descargar datos en él. Si los agentes se ejecutan como root y se les da acceso a todo el sistema de archivos, un agente malintencionado puede tomar el control del host. Te recomendamos que restringas el acceso del agente solo a los directorios necesarios.

Protección de los datos en tránsito

El Servicio de Transferencia de Almacenamiento cifra tus datos a través de una sesión HTTPS con TLS para ambas conexiones a través de Internet pública y a través de conexiones privadas (como Cloud Interconnect). Si utilizas Cloud Interconnect, puedes obtener una capa de seguridad adicional usando endpoints de API privados.

Nota: Storage Transfer Service no cifra los datos en tu nombre, como en las claves de cifrado gestionadas por el cliente (CMEK). Solo ciframos los datos en tránsito.

Proteger los recursos Google Cloud

Los agentes usan gcloud auth para conectarse al Servicio de transferencia de Storage y a los recursos de Cloud Storage que se utilizan durante la transferencia. Por lo tanto, tus recursos de Google Cloud están protegidos mediante la gestión de identidades y accesos, así como la cuenta que elijas para aprovisionar el uso del agente de transferencia. También puedes usar una cuenta de servicio, que puede ayudarte a gestionar los permisos más fácilmente.

Gestión de identidades y accesos

El Servicio de transferencia de Storage admite los siguientes roles de gestión de identidades y accesos predefinidos del Servicio de transferencia de Storage:

• Administrador de transferencias de almacenamiento: proporciona todos los permisos del servicio de transferencia de Storage.

• Usuario de Transferencia de Storage: puede enviar y monitorizar tareas, pero no puede eliminar tareas ni ver ajustes de administrador, como los detalles del agente o los ajustes de ancho de banda.

El Servicio de transferencia de Storage no admite roles de IAM personalizados ni el rol predefinido Lector de Transferencia de Storage. Es posible que los usuarios de ambos casos no vean una interfaz de usuario optimizada. Si intentan cargar páginas para las que no tienen permisos, se mostrará un error o una página en blanco. Sin embargo, las acciones permitidas siguen restringidas.