将 Storage Transfer Service 与 VPC Service Controls 搭配使用

Storage Transfer Service 支持转移到受 VPC Service Controls 保护的 Cloud Storage 存储分区。

Storage Transfer Service 需要 Cloud Storage 存储分区的访问权限才能将数据移入,或在 Cloud Storage 存储分区之间转移数据。如果您在 VPC Service Controls 服务边界中有存储分区,则需要进行额外设置,才能使用 Storage Transfer Service 将数据转移到 Cloud Storage。

为了保护您的 TransferJobTransferOperation 请求,您可以将 Storage Transfer Service API 作为受保护的服务添加到您的服务边界内。如需保护底层的 Cloud Storage 存储分区和对象,您还需要将 Cloud Storage API 作为受保护的服务添加到服务边界内。

如需详细了解 VPC Service Controls,请参阅 VPC Service Controls 概览

如需了解如何将 VPC Service Controls 与 Transfer Service for On Premises Data 配合使用,请参阅将本地转移服务与 VPC Service Controls 配合使用

受支持的配置

通过以下方法,可以配置 Storage Transfer Service 来使用受 VPC Service Controls 保护的 Cloud Storage 存储分区:

  • 如果满足以下任一条件,您可以将 Storage Transfer Service 项目添加到 Cloud Storage 存储分区的服务边界内:

    • 您可以在单个服务边界内配置 Cloud Storage 存储分区。
    • 所有 Cloud Storage 存储分区都位于同一服务边界内。

    此选项仅适用于 Cloud Storage 存储分区之间的转移。这是最简单的设置和管理选项。

  • 如果满足以下任一条件,请为包含要在转移中使用的 Cloud Storage 存储分区的所有项目创建边界网桥

    • 您无法更改 Cloud Storage 存储分区的服务边界。
    • Cloud Storage 存储分区在不同的服务边界内。

    此选项允许您的 Storage Transfer Service 项目在 Cloud Storage 项目之间转移数据,即使这两个项目位于不同的服务边界内。此选项还可确保从一组受限的服务和资源访问 Cloud Storage 存储分区边界。

  • 如果满足以下任一条件,请将 Storage Transfer Service 服务帐号添加到某个访问权限级别

    • 您希望将数据从外部云服务商转移到服务边界内的 Cloud Storage 存储分区。
    • 您的 Storage Transfer Service 项目不在 Cloud Storage 存储分区的服务边界内。
    • 您的服务帐号不符合 project-project_number@storage-transfer-service.iam.gserviceaccount.com 的格式,即使该服务帐号属于边界内的某个项目。

    此选项不要求您将 Storage Transfer Service 项目置于服务边界内。它还允许您将访问权限级别配置为仅允许来自 Storage Transfer Service 服务帐号的请求。

服务边界

如需使用服务边界,请按照创建服务边界中的说明,纳入以下项目:

  • 项目 TransferJob
  • Cloud Storage 存储分区项目

并保护以下服务:

  • Cloud Storage API (storage.googleapis.com)
  • Storage Transfer Service API (storagetransfer.googleapis.com)

边界网桥

如需使用边界网桥,请执行以下操作:

  1. 为 Storage Transfer Service 创建服务边界

  2. 创建边界网桥以进行连接:

    • 项目 TransferJob
    • Cloud Storage 存储分区项目

访问权限级别

如需使用访问权限级别,请按照创建访问权限级别中的说明向TransferJob服务帐号授予访问权限。

创建访问权限级别后,请将访问权限级别添加到服务边界,后者限制对包含 Cloud Storage 存储分区的 Google Cloud 项目的访问。

问题排查

如需问题排查帮助,请参阅 VPC Service Controls 问题排查