Borrar acceso

Una vez que hayamos terminado de copiar tus datos de todos los dispositivos, te recomendamos que elimines el acceso que habías concedido a nuestras cuentas de servicio. De esta forma, se aplica la práctica del principio de privilegio mínimo a tus datos y se ayuda a garantizar su seguridad.

En esta sección se describe lo siguiente:

• Revocar el acceso de nuestras cuentas de servicio a tus segmentos de Cloud Storage.
• Revocar el acceso de nuestras cuentas de servicio a tus roles de Cloud KMS.
• Destruir la clave de Cloud KMS que se ha usado para cifrar tus datos en Transfer Appliance.

Espera a que copiemos todos tus datos en Cloud Storage antes de completar los pasos que se indican a continuación.

Importante: Si utilizas la clave de Cloud KMS que has generado y compartido con el equipo de Transfer Appliance para cualquier otro fin, como para que otros dispositivos copien datos o para usarla en tu segmento de Cloud Storage, no destruyas la clave.

Una vez que se destruye la clave de Cloud KMS, no se pueden recuperar los datos cifrados de Transfer Appliance. Del mismo modo, una vez que revoques las cuentas de servicio de los segmentos de Cloud Storage y la clave de Cloud KMS, no se podrán copiar más datos del dispositivo a tus segmentos de Cloud Storage.

Revocar el acceso a la clave de Cloud KMS de la cuenta de servicio

Si revocas el acceso a la clave de Cloud KMS de la cuenta de servicio de Transfer Appliance, ya no podremos desencriptar los datos de Transfer Appliance en tu nombre.

Importante: Si hay otra transferencia en curso o si otro dispositivo está usando la misma clave, no revoques el acceso a la clave de Cloud KMS de la cuenta de servicio. Si revocas el acceso, se detendrá la transferencia.

Para revocar los roles Encargado de desencriptar claves de CryptoKey de Cloud KMS y Lector de claves públicas de CryptoKey de Cloud KMS de la cuenta de servicio, sigue estos pasos:

Google Cloud Consola

1. Ve a la página Claves criptográficas de la consola deGoogle Cloud .

   Ir a la página Claves criptográficas

2. Haga clic en el nombre del conjunto de claves que contiene la clave usada en Preparar la clave de Cloud KMS.

3. Marca la casilla de la clave cuyo acceso quieras revocar de la cuenta de servicio.

4. Haz clic en Mostrar panel de información.

   Se muestra el panel de información.

5. Para revocar el rol Encargado de desencriptar claves de CryptoKey de Cloud KMS de la cuenta de servicio, haz lo siguiente:

   1. En la pestaña Permisos, despliega Encargado de desencriptar CryptoKey de Cloud KMS.

   2. Busca la cuenta de servicio. Tiene el siguiente aspecto:

      [e-mail]

      En este ejemplo, PEOJECT_ID es el ID del proyecto en el que se encuentra tu clave.Google Cloud

   3. Haz clic en Eliminar.

   4. En la ventana de eliminación, selecciona la cuenta de servicio y haz clic en Quitar.

6. Para revocar el rol Lector de claves públicas de CryptoKey de Cloud KMS de la cuenta de servicio, haz lo siguiente:

   1. En la pestaña Permisos, despliega el rol Lector de claves públicas de CryptoKey de Cloud KMS.

   2. Busca la cuenta de servicio de la sesión. Tiene el siguiente aspecto:

      [e-mail]

      En este ejemplo, PEOJECT_ID es el ID del proyecto en el que se encuentra tu clave.Google Cloud

   3. Haz clic en Eliminar.

   4. En la ventana de eliminación, selecciona la casilla situada junto a la cuenta de servicio y haz clic en Quitar.

Línea de comandos

1. Ejecuta el siguiente comando para revocar el rol roles/cloudkms.cryptoKeyDecrypter de la cuenta de servicio de la sesión:

   gcloud kms keys remove-iam-policy-binding KEY \
     --keyring KEY_RING \
     --location LOCATION \
     --member=serviceAccount:[e-mail] \
     --role roles/cloudkms.cryptoKeyDecrypter
   

   En este ejemplo:

   • KEY: nombre de la clave de Cloud Key Management Service. Por ejemplo, ta-key.
   • KEY_RING: el nombre del conjunto de claves.
   • LOCATION: la ubicación de Cloud Key Management Service del conjunto de claves. Por ejemplo, global.
   • PROJECT_ID: el Google Cloud ID de proyecto al que pertenece tu clave.

2. Ejecuta el siguiente comando para revocar el rol roles/cloudkms.publicKeyViewer de la cuenta de servicio de sesión:

   gcloud kms keys remove-iam-policy-binding KEY \
     --keyring KEY_RING \
     --location LOCATION \
     --member=serviceAccount:[e-mail] \
     --role roles/cloudkms.publicKeyViewer
   

   En este ejemplo:

   • KEY: nombre de la clave de Cloud Key Management Service. Por ejemplo, ta-key.
   • KEY_RING: el nombre del conjunto de claves.
   • LOCATION: la ubicación de Cloud Key Management Service del conjunto de claves. Por ejemplo, global.
   • PROJECT_ID: el Google Cloud ID de proyecto al que pertenece tu clave.

Revocar el acceso al segmento de Cloud Storage de las cuentas de servicio

Al revocar el acceso a los segmentos de Cloud Storage de las cuentas de servicio de Transfer Appliance, nos aseguramos de que ya no podamos usar los recursos de Cloud Storage en tu nombre.

Importante: Si hay otra transferencia en curso, no revoques el acceso al bucket de Cloud Storage de las cuentas de servicio de Transfer Appliance. Si revocas el acceso de cualquiera de las cuentas de servicio, se detendrá la transferencia.

Para revocar el acceso al segmento de Cloud Storage de las cuentas de servicio de Transfer Appliance, haz lo siguiente:

Google Cloud Consola

1. En la Google Cloud consola, ve a la página Segmentos de Cloud Storage.
   

   Ir a Contenedores

2. Busca el segmento de Cloud Storage en el que se han copiado tus datos y marca la casilla situada junto al nombre del segmento.

3. Haz clic en Mostrar panel de información.

   Se muestra el panel de información.

4. En la pestaña Permisos, despliega Rol de administrador de almacenamiento.

5. Busca las cuentas de servicio asociadas. Habrá entre 2 y 4 cuentas, según tu configuración. Las cuentas de servicio se describen en la guía de referencia rápida de cuentas de servicio.

   Para cada cuenta de servicio:

   1. Haz clic en Eliminar.

   2. Para confirmar la eliminación, selecciona la casilla situada junto a la cuenta de servicio y haz clic en Quitar.

Línea de comandos

Usa el comando gcloud storage buckets remove-iam-policy-binding:

gcloud storage buckets remove-iam-policy-binding gs://BUCKET_NAME\
--member=serviceAccount:[e-mail] \
--role=roles/storage.admin

gcloud storage buckets remove-iam-policy-binding gs://BUCKET_NAME\
--member=serviceAccount:[e-mail] \
--role=roles/storage.admin

Es posible que tengas más cuentas de servicio, en función de tu configuración. Consulta los detalles en la guía de referencia rápida de cuentas de servicio.

En este ejemplo:

• SESSION_ID: el ID de sesión de esta transferencia concreta.
• IDENTIFIER: número generado específico de este proyecto.
• BUCKET_NAME: nombre de tu segmento de Cloud Storage.

Destruir la clave de Cloud KMS

Si destruye la clave de Cloud KMS, se asegura de que nadie pueda desencriptar los datos que se hayan encriptado con ella.

Importante: Si utilizas la clave de Cloud KMS que has generado y compartido con el equipo de Transfer Appliance para cualquier otro fin, como para que otros dispositivos copien datos o para usarla en tu segmento de Cloud Storage, no destruyas la clave.

Para obtener más información sobre cómo destruir claves, consulta el artículo Destruir y restaurar versiones de clave.

Para destruir la clave de Cloud KMS, haz lo siguiente:

Google Cloud Consola

1. Ve a la página Claves criptográficas de la consola deGoogle Cloud .

   Ir a la página Claves criptográficas

2. Haz clic en el nombre del conjunto de claves que has usado para preparar la clave de Cloud KMS.

3. Busca la fila que contiene la clave que vas a destruir.

4. Selecciona Más > Destruir.

   Aparecerá un cuadro de diálogo de confirmación.

5. En el cuadro de diálogo de confirmación, haz clic en Programar destrucción.

Línea de comandos

Usa el comando gcloud kms keys version destroy:

gcloud kms keys versions destroy VERSION_NUMBER
--keyring=KEY_RING \
--key=KEY --location=LOCATION \
--project=PROJECT_ID

En este ejemplo:

• VERSION_NUMBER: número de versión de la clave.
• KEY_RING: el nombre del conjunto de claves.
• KEY: el nombre de tu clave asimétrica.
• LOCATION: la Google Cloud ubicación del conjunto de claves.
• PROJECT_ID: el Google Cloud ID de proyecto al que pertenece tu clave.