Eliminare l'accesso

Una volta completata la copia dei dati da tutti gli elettrodomestici, ti consigliamo di rimuovere l'accesso precedentemente concesso ai nostri account di servizio. In questo modo, viene applicato il principio del privilegio minimo ai tuoi dati e viene garantita la loro sicurezza.

Questa sezione descrive:

• Revocare l'accesso dei nostri service account ai tuoi bucket Cloud Storage.
• Revoca dell'accesso ai ruoli Cloud KMS per i nostri service account.
• Distruzione della chiave Cloud KMS utilizzata per criptare i dati su Transfer Appliance.

Attendi che tutti i dati vengano copiati in Cloud Storage prima di completare i passaggi riportati di seguito.

Importante: se utilizzi la chiave Cloud KMS che hai generato e condiviso con il team Transfer Appliance per qualsiasi altro scopo, incluso per altre appliance che copiano dati o per l'utilizzo nel tuo bucket Cloud Storage, non distruggere la chiave.

Una volta eliminata la chiave Cloud KMS, non è possibile recuperare i dati criptati su Transfer Appliance. Allo stesso modo, una volta revocati gli account di servizio dai bucket Cloud Storage e dalla chiave Cloud KMS, non è più possibile copiare dati dall'appliance ai bucket Cloud Storage.

Revoca dell'accesso alla chiave Cloud KMS per il account di servizio

La revoca dell'accesso alla chiave Cloud KMS per l'account di servizio Transfer Appliance garantisce che non possiamo più decriptare i dati di Transfer Appliance per tuo conto.

Importante: se è in corso un altro trasferimento o se un altro appliance utilizza la stessa chiave, non revocare l'accesso alla chiave Cloud KMS per l'account di servizio. La revoca dell'accesso interrompe il trasferimento.

Per revocare i ruoli Cloud KMS CryptoKey Decrypter e Visualizzatore chiave pubblica CryptoKey di Cloud KMS dall'account di servizio, segui questi passaggi:

Google Cloud Console

1. Vai alla pagina Chiavi crittografiche nella consoleGoogle Cloud .

   Vai alla pagina Chiavi crittografiche

2. Fai clic sul nome del keyring che contiene la chiave utilizzata in Prepara la chiave Cloud KMS.

3. Seleziona la casella di controllo relativa alla chiave di cui stai revocando l'accesso dalaccount di serviziot.

4. Fai clic su Mostra riquadro informazioni.

   Viene visualizzato il riquadro informativo.

5. Per revocare il ruolo Cloud KMS CryptoKey Decrypter dall'account di servizio, procedi nel seguente modo:

   1. Nella scheda Autorizzazioni, espandi Cloud KMS CryptoKey Decrypter.

   2. Individua il account di servizio. Avrà un aspetto simile al seguente esempio:

      [e-mail]

      In questo esempio, PEOJECT_ID è l'ID progetto Google Cloud in cui si trova la chiave.

   3. Fai clic su Elimina.

   4. Nella finestra di eliminazione, seleziona il account di servizio e fai clic su Rimuovi.

6. Per revocare il ruolo Cloud KMS CryptoKey Public Key Viewer dall'account di servizio, procedi nel seguente modo:

   1. Nella scheda Autorizzazioni, espandi il ruolo Cloud KMS CryptoKey Public Key Viewer.

   2. Individua il account di servizio per la sessione. Avrà un aspetto simile al seguente esempio:

      [e-mail]

      In questo esempio, PEOJECT_ID è l'ID progetto Google Cloud in cui si trova la chiave.

   3. Fai clic su Elimina.

   4. Nella finestra di eliminazione, seleziona la casella di controllo accanto all'account di servizio e fai clic su Rimuovi.

Riga di comando

1. Esegui questo comando per revocare il ruolo roles/cloudkms.cryptoKeyDecrypter dall'account di servizio della sessione:

   gcloud kms keys remove-iam-policy-binding KEY \
     --keyring KEY_RING \
     --location LOCATION \
     --member=serviceAccount:[e-mail] \
     --role roles/cloudkms.cryptoKeyDecrypter
   

   In questo esempio:

   • KEY: Il nome della chiave Cloud Key Management Service. Ad esempio, ta-key.
   • KEY_RING: il nome delle chiavi automatizzate.
   • LOCATION: la posizione di Cloud Key Management Service per l'anello di chiavi. Ad esempio, global.
   • PROJECT_ID: L' Google Cloud ID progetto in cui si trova la chiave.

2. Esegui questo comando per revocare il ruolo roles/cloudkms.publicKeyViewer dall'account di servizio di sessione:

   gcloud kms keys remove-iam-policy-binding KEY \
     --keyring KEY_RING \
     --location LOCATION \
     --member=serviceAccount:[e-mail] \
     --role roles/cloudkms.publicKeyViewer
   

   In questo esempio:

   • KEY: Il nome della chiave Cloud Key Management Service. Ad esempio, ta-key.
   • KEY_RING: il nome delle chiavi automatizzate.
   • LOCATION: la posizione di Cloud Key Management Service per l'anello di chiavi. Ad esempio, global.
   • PROJECT_ID: L' Google Cloud ID progetto in cui si trova la chiave.

Revoca dell'accesso al bucket Cloud Storage per i service account

La revoca dell'accesso al bucket Cloud Storage per gli account di servizio Transfer Appliance garantisce che non possiamo più utilizzare le risorse Cloud Storage per tuo conto.

Importante: se è in corso un altro trasferimento, non revocare l'accesso al bucket Cloud Storage per gli account di servizio Transfer Appliance. La revoca dell'accesso per uno dei due account di servizio interrompe il trasferimento.

Per revocare l'accesso al bucket Cloud Storage per i service account Transfer Appliance:

Google Cloud Console

1. Nella console Google Cloud , vai alla pagina Bucket in Cloud Storage.
   

   Vai a Bucket

2. Individua il bucket Cloud Storage in cui sono stati copiati i dati e seleziona la casella di controllo accanto al nome del bucket.

3. Fai clic su Mostra riquadro informazioni.

   Viene visualizzato il riquadro informativo.

4. Nella scheda Autorizzazioni, espandi Ruolo di amministratore Storage.

5. Individua i service account associati. A seconda della configurazione, ci saranno da 2 a 4 account. Gli account di servizio sono descritti in Guida di riferimento rapido per gli account di servizio.

   Per ogni account di servizio:

   1. Fai clic su Elimina.

   2. Per confermare l'eliminazione, seleziona la casella di controllo accanto all'account di servizio e fai clic su Rimuovi.

Riga di comando

Utilizza il comando gcloud storage buckets remove-iam-policy-binding:

gcloud storage buckets remove-iam-policy-binding gs://BUCKET_NAME\
--member=serviceAccount:[e-mail] \
--role=roles/storage.admin

gcloud storage buckets remove-iam-policy-binding gs://BUCKET_NAME\
--member=serviceAccount:[e-mail] \
--role=roles/storage.admin

A seconda della configurazione, potresti avere account di servizio aggiuntivi. Per i dettagli, consulta il riferimento rapido per i service account.

In questo esempio:

• SESSION_ID: l'ID sessione per questo trasferimento specifico.
• IDENTIFIER: un numero generato specifico per questo progetto in particolare.
• BUCKET_NAME: il nome del tuo bucket Cloud Storage.

Eliminazione della chiave Cloud KMS

L'eliminazione della chiave Cloud KMS garantisce che i dati precedentemente criptati dalla chiave non possano più essere decriptati da nessuno.

Importante: se utilizzi la chiave Cloud KMS che hai generato e condiviso con il team Transfer Appliance per qualsiasi altro scopo, incluso per altre appliance che copiano dati o per l'utilizzo nel tuo bucket Cloud Storage, non distruggere la chiave.

Per ulteriori informazioni sull'eliminazione delle chiavi, consulta Eliminazione e ripristino delle versioni delle chiavi.

Per eliminare la chiave Cloud KMS:

Google Cloud Console

1. Vai alla pagina Chiavi crittografiche nella consoleGoogle Cloud .

   Vai alla pagina Chiavi crittografiche

2. Fai clic sul nome del keyring utilizzato per preparare la chiave Cloud KMS.

3. Individua la riga contenente la chiave che stai eliminando.

4. Seleziona Altro > Distruggi.

   Viene visualizzata una finestra di dialogo di conferma.

5. Nella finestra di dialogo di conferma, fai clic su Pianifica distruzione.

Riga di comando

Utilizza il comando gcloud kms keys version destroy:

gcloud kms keys versions destroy VERSION_NUMBER
--keyring=KEY_RING \
--key=KEY --location=LOCATION \
--project=PROJECT_ID

In questo esempio:

• VERSION_NUMBER: Il numero di versione della chiave.
• KEY_RING: il nome del tuo keyring.
• KEY: il nome della chiave asimmetrica.
• LOCATION: la Google Cloud posizione delle chiavi automatizzate.
• PROJECT_ID: L' Google Cloud ID progetto in cui si trova la chiave.