Protéger les données du système de fichiers

Plusieurs options s'offrent à vous pour protéger les données et les ressources que vous transférez.

Protéger les ressources du système de fichiers

Les agents accèdent aux fichiers à partir de l'environnement dans lequel ils s'exécutent. Cela signifie que vous pouvez protéger l'accès à vos données de plusieurs façons :

• Utiliser un compte utilisateur ou un rôle restreint pour exécuter le conteneur d'agents.

• Limiter les systèmes de fichiers installés sur le conteneur de l'agent.

• Choisir les autorisations d'installation NFS en fonction de vos règles de sécurité, telles que l'absence d'accès en écriture.

• Restreindre l'accès au répertoire des agents.

Important :Les utilisateurs autorisés à créer des tâches de transfert peuvent récupérer des données à partir de n'importe quel répertoire de système de fichiers accessible par l'agent et y télécharger des données. Si les agents sont exécutés en tant que root et qu'ils ont accès à l'ensemble du système de fichiers, un acteur malveillant peut être en mesure de prendre le contrôle de l'hôte. Nous vous recommandons vivement de limiter l'accès des agents aux répertoires nécessaires uniquement.

Protéger les données en cours de transfert

Le service de transfert de stockage chiffre vos données via une session HTTPS avec TLS pour les connexions via l'Internet public et via des connexions privées (telles que Cloud Interconnect). Si vous utilisez Cloud Interconnect, vous pouvez obtenir un niveau de sécurité supplémentaire en utilisant des points de terminaison d'API privées.

Remarque :Le service de transfert de stockage ne chiffre pas les données en votre nom, comme par exemple pour les clés de chiffrement gérées par le client (CMEK). Seules les données en transit sont chiffrées.

Protéger les ressources Google Cloud

Les agents utilisent gcloud auth pour se connecter aux ressources du service de transfert de stockage et de Cloud Storage utilisées lors du transfert. Par conséquent, vos ressources Google Cloud sont protégées à l'aide de Cloud IAM et du compte que vous choisissez de provisionner pour l'utilisation de l'agent de transfert. Vous pouvez également utiliser un compte de service, ce qui facilite la gestion des autorisations.

IAM

Le service de transfert de stockage est compatible avec les rôles IAM prédéfinis suivants du service de transfert de stockage:

• Administrateur du transfert de stockage — fournit toutes les autorisations du service de transfert de stockage.

• Utilisateur du transfert de stockage — peut envoyer et surveiller des tâches, mais ne peut pas les supprimer ni consulter les paramètres d'administration tels que les détails de l'agent ou les paramètres de bande passante.

Le service de transfert de stockage n'est pas compatible avec les rôles IAM personnalisés ni avec le rôle prédéfini Lecteur de transfert de stockage. Dans tous les cas de figure, les utilisateurs risquent de ne pas voir une interface utilisateur sophistiquée. S'ils tentent de charger une page pour laquelle ils ne disposent pas d'autorisations, une erreur ou une page vierge s'affiche. Toutefois, les actions autorisées restent limitées.