Proteja os dados do sistema de ficheiros

Tem várias opções para proteger os dados e os recursos que transfere.

Proteger os recursos do sistema de ficheiros

Os agentes acedem a ficheiros a partir do ambiente em que estão a ser executados. Isto significa que tem várias formas de proteger o acesso aos seus dados:

• Usar um utilizador restrito ou uma conta de função para executar o contentor do agente.

• Limitar os sistemas de ficheiros montados no contentor do agente.

• Escolha autorizações de montagem de NFS de acordo com as suas políticas de segurança, como a ausência de acesso de escrita.

• Restringir o acesso ao diretório de agentes.

Importante: os utilizadores capazes de criar tarefas de transferência podem obter dados de, e transferir dados para, qualquer diretório do sistema de ficheiros acessível pelo agente. Se os agentes forem executados como raiz e tiverem acesso a todo o sistema de ficheiros, um interveniente malicioso pode conseguir assumir o controlo do anfitrião. Recomendamos vivamente que restrinja o acesso do agente apenas aos diretórios necessários.

Proteção de dados em trânsito

O Storage Transfer Service encripta os seus dados através de uma sessão HTTPS com TLS para ambas as ligações através da Internet pública e através de ligações privadas (como o Cloud Interconnect). Se estiver a usar o Cloud Interconnect, pode obter uma camada de segurança adicional usando pontos finais da API privada.

Nota: o Serviço de transferência de armazenamento não encripta os dados em seu nome, como nas chaves de encriptação geridas pelo cliente (CMEK). Apenas encriptamos dados em trânsito.

Proteger Google Cloud recursos

Os agentes usam o gcloud auth para estabelecer ligação ao Serviço de transferência de armazenamento e aos recursos do Cloud Storage usados durante a transferência. Por conseguinte, os seus Google Cloud recursos estão protegidos através da gestão de identidade e acesso e da conta que optar por aprovisionar para utilização do agente de transferência. Também pode usar uma conta de serviço, que pode ajudar a facilitar a utilização da gestão de autorizações.

IAM

O Serviço de transferência de armazenamento suporta as seguintes funções do IAM predefinidas do Serviço de transferência de armazenamento:

• Administrador de transferência de armazenamento: fornece todas as autorizações do Serviço de transferência de armazenamento.

• Utilizador de transferência de armazenamento: pode enviar e monitorizar tarefas, mas não pode eliminar tarefas nem ver definições de administrador, como detalhes do agente ou definições de largura de banda.

O Serviço de transferência de armazenamento não suporta funções IAM personalizadas nem a função predefinida Storage Transfer Viewer. Os utilizadores em qualquer um dos cenários podem não ver uma interface do utilizador refinada. Se tentarem carregar páginas para as quais não têm autorização, a página apresenta um erro ou uma página em branco. No entanto, as ações permitidas permanecem restritas.