Proteger dados do sistema de arquivos

Você tem várias opções para proteger os dados e recursos transferidos.

Como proteger os recursos do sistema de arquivos

Os agentes acessam arquivos do ambiente em que estão sendo executados. Isso significa que você tem várias maneiras de proteger o acesso aos seus dados:

• Usar uma conta de usuário ou função restrita para executar o contêiner do agente.

• Limitar os sistemas de arquivos que estão ativados no contêiner do agente.

• Escolher as permissões de montagem do NFS de acordo com suas políticas de segurança, como, por exemplo, sem acesso de gravação.

• Como restringir o acesso ao diretório de agentes.

Importante: os usuários que criam jobs de transferência podem recuperar e fazer o download de dados em qualquer diretório do sistema de arquivos que possa ser acessado pelo agente Se os agentes forem executados como raiz e tiverem acesso a todo o sistema de arquivos, uma pessoa mal-intencionada poderá assumir o controle do host. É altamente recomendável que você restrinja o acesso do agente apenas aos diretórios necessários.

Como proteger dados em trânsito

O Storage Transfer Service criptografa seus dados em uma sessão HTTPS com TLS para ambas as conexões pela Internet pública e por conexões particulares (como o Cloud Interconnect). Se você estiver usando o Cloud Interconnect, é possível ter uma camada adicional de segurança usando endpoints particulares de API.

Observação: o Serviço de transferência do Cloud Storage não criptografa dados em seu nome, como em chaves de criptografia gerenciadas pelo cliente (CMEK). Criptografamos apenas dados em trânsito.

Como proteger Google Cloud recursos

Os agentes usam gcloud auth para se conectar ao Storage Transfer Service e aos recursos do Cloud Storage usados durante a transferência. Portanto, os recursos do Google Cloud são protegidos usando o Identity and Access Management e a conta que você escolhe provisionar para o uso do agente de transferência. Também é possível usar uma conta de serviço, que pode facilitar o gerenciamento de permissões.

IAM

O Storage Transfer Service é compatível com os seguintes papéis predefinidos do IAM do Storage Transfer Service:

• Administrador de transferência do Storage: concede todas as permissões do serviço de transferência do Cloud Storage.

• Usuário de transferência do Storage: pode enviar e monitorar jobs, mas não pode excluir jobs nem ver configurações de administrador, como dados do agente ou configurações de largura de banda.

O Storage Transfer Service não é compatível com papéis personalizados do IAM ou com o papel predefinido Leitor de transferência do Storage. Nos dois cenários, é possível que os usuários não vejam uma interface refinada do usuário. Se eles tentarem carregar páginas para as quais não têm permissões, a página exibirá um erro ou uma página em branco. No entanto, as ações permitidas permanecem restritas.