Protege los datos del sistema de archivos

Tienes varias opciones para proteger los datos y recursos que transfieres.

Protege los recursos del sistema de archivos

Los agentes acceden a los archivos desde el entorno en el que se ejecutan. Esto significa que tienes varias formas de proteger el acceso a tus datos:

• Usa una cuenta de usuario o función restringida para ejecutar el contenedor del agente.

• Limita los sistemas de archivos que están activados en el contenedor del agente.

• Elige los permisos de activación de NFS de acuerdo con tus políticas de seguridad, como el acceso de no escritura.

• Restringe el acceso al directorio del agente.

Importante: Los usuarios que pueden crear trabajos de transferencia pueden recuperar datos de cualquier directorio del sistema de archivos al que pueda acceder el agente y descargarlos. Si los agentes se ejecutan como raíz y se les otorga acceso a todo el sistema de archivos, es posible que una persona maliciosa pueda tomar el control del host. Te recomendamos que restringas el acceso del agente solo a los directorios necesarios.

Protege los datos en tránsito

El Servicio de transferencia de almacenamiento encripta tus datos a través de una sesión HTTPS con TLS para ambas conexiones a través de la Internet pública y a través de conexiones privadas (como Cloud Interconnect). Si estás usando Cloud Interconnect, puedes obtener una capa adicional de seguridad mediante el uso de extremos de API privadas.

Nota: El Servicio de transferencia de almacenamiento no encripta los datos en tu nombre, como en las claves de encriptación administradas por el cliente (CMEK). Solo se cifran los datos en tránsito.

Protege los recursos de Google Cloud

Los agentes usan gcloud auth para conectarse al Servicio de transferencia de almacenamiento y a los recursos de Cloud Storage que se usaron durante la transferencia. Por lo tanto, tus recursos de Google Cloud están protegidos mediante Identity and Access Management y la cuenta que eliges aprovisionar para el uso del agente de transferencia. También puedes usar una cuenta de servicio, que puede facilitar el uso de la administración de permisos.

IAM

El Servicio de transferencia de almacenamiento admite las siguientes funciones predefinidas de IAM del Servicio de transferencia de almacenamiento:

• Administrador de transferencias de almacenamiento: Proporciona todos los permisos del Servicio de transferencia de almacenamiento.

• Usuario de transferencia de almacenamiento: Se pueden enviar y supervisar trabajos, pero no se puede eliminar trabajos ni ver la configuración del administrador, como los detalles del agente o la configuración del ancho de banda.

El Servicio de transferencia de almacenamiento no admite funciones personalizadas de IAM o la función predefinida Visualizador de transferencia de almacenamiento. Es posible que los usuarios en ambos casos no vean una interfaz de usuario refinada. Si intentan cargar páginas para las que no tienen permisos, estas mostrarán errores o estarán en blanco. Sin embargo, las acciones permitidas permanecen restringidas.