Configurer étape par étape les autorisations Google Cloud et Cloud Storage pour l'exportation des données depuis Cloud Storage vers l'appareil

Ce document décrit la procédure de configuration des autorisations Google Cloud et Cloud Storage, y compris:

  • Préparation de votre bucket Cloud Storage...
  • Préparer une clé Cloud Key Management Service pour sécuriser vos données.
  • Fournir à l'équipe Transfer Appliance les données de configuration du bucket Cloud Storage

Avant de commencer

Assurez-vous de disposer d'un e-mail de l'équipe Transfer Appliance intitulé Autorisations de Google Transfer Appliance. Cet e-mail contient:

  • Noms des comptes de service requis pour le transfert.

  • ID de session dont vous aurez besoin pour configurer votre appareil.

  • Formulaire que vous remplirez une fois que vous aurez configuré votre compte.

Préparer les autorisations sur le bucket Cloud Storage

Nous utilisons deux comptes de service pour transférer vos données. Les comptes de service sont des comptes particuliers qui sont utilisés par une application, et non par une personne, pour effectuer des tâches. Dans ce cas, les comptes de service permettent à Transfer Appliance d'utiliser les ressources Cloud Storage en votre nom pour transférer des données entre Cloud Storage et l'appareil. Vous attribuez à ces comptes les rôles nécessaires pour transférer des données.

Pour préparer le bucket Cloud Storage, procédez comme suit:

  1. Dans un e-mail intitulé Autorisations Google Transfer Appliance, l'équipe Transfer Appliance vous fournit les comptes de service suivants:

    • Un compte de service de session lié à ce transfert. En voici un exemple :

      ta-SESSION_ID@transfer-appliance-zimbru.iam.gserviceaccount.com

      Dans cet exemple, SESSION_ID correspond à l'ID de session de ce transfert particulier.

    • Un agent de service associé au service de transfert des données sur site, que nous utilisons pour transférer des données entre Cloud Storage et l'appareil. Voici un exemple :

      project-TENANT_IDENTIFIER@storage-transfer-service.iam.gserviceaccount.com

      Dans cet exemple, TENANT_IDENTIFIER est un numéro généré spécifique à ce projet.

    Notez les comptes de service pour les étapes suivantes.

    Les comptes de service permettent à Transfer Appliance de manipuler les ressources Google Cloud en votre nom, c'est-à-dire de transférer des données entre Cloud Storage et l'appareil. Vous attribuez à ces comptes les rôles nécessaires pour transférer des données entre Cloud Storage et l'appareil.

  2. Les buckets Cloud Storage sont associés à des projets Google Cloud. Le bucket que vous sélectionnez doit se trouver dans le même projet que celui utilisé pour commander l'appareil.

  3. Pour autoriser les comptes de service Transfer Appliance à utiliser votre bucket Cloud Storage, procédez comme suit :

    Console Google Cloud

    1. Dans la console Google Cloud, accédez à la page Buckets Cloud Storage.

      Accéder à la page "Buckets"

    2. Cliquez sur le menu à développer du bucket () associé au bucket pour lequel vous attribuez un rôle au compte principal.

    3. Choisissez Modifier les autorisations relatives au bucket.

    4. Cliquez sur le bouton + Ajouter des comptes principaux.

    5. Dans le champ Nouveaux comptes principaux, saisissez les identités suivantes :

      • Le compte de service de session. En voici un exemple :

        ta-SESSION_ID@transfer-appliance-zimbru.iam.gserviceaccount.com

        Dans cet exemple, SESSION_ID correspond à l'ID de session de ce transfert particulier.

      • L'agent de service du service de transfert des données sur site. Voici un exemple :

        project-TENANT_IDENTIFIER@storage-transfer-service.iam.gserviceaccount.com

        Dans cet exemple, TENANT_IDENTIFIER est un numéro généré spécifique à ce projet particulier.

    6. Dans le menu déroulant Sélectionner un rôle, sélectionnez le rôle Administrateur de l'espace de stockage.

      Les rôles sélectionnés apparaissent dans le volet et sont accompagnés d'une brève description des autorisations auxquelles ils correspondent.

    7. Cliquez sur Enregistrer.

    Ligne de commande

    Exécutez la commande gsutil iam ch :

    gsutil iam ch \
serviceAccount:ta-SESSION_ID@transfer-appliance-zimbru.iam.gserviceaccount.com:roles/storage.admin \
serviceAccount:project-TENANT_IDENTIFIER@storage-transfer-service.iam.gserviceaccount.com:roles/storage.admin \
gs://BUCKET_NAME

    Dans cet exemple :

    • SESSION_ID : ID de session pour ce transfert particulier.
    • TENANT_IDENTIFIER : nombre généré spécifique à ce projet.
    • BUCKET_NAME : nom du bucket que vous créez.

Préparer la clé Cloud KMS

Transfer Appliance sécurise vos données sur le serveur en les chiffrant. Une clé publique Cloud KMS (Key Management Service) permet de chiffrer les données sur Transfer Appliance, tandis qu'une clé privée est utilisée pour les déchiffrer.

Nous utilisons le compte de service de session de la page Préparer les autorisations sur le bucket Cloud Storage pour importer les données de votre bucket Cloud Storage sur l'appareil.

Vous disposez de l'option suivante pour gérer les clés de chiffrement:

  • Créer et gérer vous-même les clés de chiffrement Vous pouvez créer et gérer les clés de chiffrement utilisées pour votre transfert en suivant les instructions ci-dessous. Vous préparez une clé de déchiffrement asymétrique Cloud KMS et ajoutez-y le compte de service de session.

Pour préparer des clés Cloud KMS, procédez comme suit :

  1. Si vous n'avez pas de trousseau de clés Cloud Key Management Service, procédez comme suit pour en créer un :

    Console Google Cloud

    1. Accédez à la page Clés cryptographiques de la console Google Cloud.

      Accéder à la page Clés de chiffrement

    2. Cliquez sur Créer un trousseau.

    3. Dans le champ Key ring name (Nom du trousseau), saisissez le nom du trousseau de clés.

    4. Dans la liste déroulante Key ring location (Emplacement du trousseau), sélectionnez un emplacement tel que "us-east1".

    5. Cliquez sur Créer.

    Ligne de commande

    gcloud kms keyrings create KEY_RING --location=LOCATION --project=PROJECT_ID

    Dans cet exemple :

    • LOCATION : emplacement Cloud Key Management Service du trousseau de clés Exemple :global
    • KEY_RING : nom du trousseau de clés
    • PROJECT_ID : ID du projet Google Cloud dans lequel se trouve votre bucket de stockage

  2. Créez une clé de déchiffrement asymétrique en procédant comme suit :

    Console Google Cloud

    1. Accédez à la page Clés cryptographiques de la console Google Cloud.

      Accéder à la page Clés de chiffrement

    2. Cliquez sur le nom du trousseau de clés pour lequel vous souhaitez créer une clé.

    3. Cliquez sur Créer une clé.

    4. Dans la section Quel type de clé souhaitez-vous créer ?, sélectionnez Clé générée.

    5. Dans le champ Key name (Nom de la clé), saisissez le nom de votre clé.

    6. Cliquez sur le menu déroulant Niveau de protection, puis sélectionnez Logiciel.

    7. Cliquez sur le menu déroulant Objectif et sélectionnez Déchiffrement asymétrique.

    8. Cliquez sur le menu déroulant Algorithme et sélectionnez RSA 4 096 bits - Remplissage OAEP - Condensé SHA256.

    9. Cliquez sur Créer.

    Ligne de commande

    Exécutez la commande suivante pour créer une clé de déchiffrement asymétrique :

    gcloud kms keys create KEY --keyring=KEY_RING \
--location=LOCATION --purpose=asymmetric-encryption \
--default-algorithm=rsa-decrypt-oaep-4096-sha256 \
--project=PROJECT_ID

    Dans cet exemple :

    • KEY : nom de la clé Cloud Key Management Service Exemple :ta-key
    • KEY_RING : nom du trousseau de clés
    • LOCATION : emplacement Cloud Key Management Service du trousseau de clés Exemple :global
    • PROJECT_ID : ID du projet Google Cloud dans lequel se trouve votre bucket de stockage

  3. Pour ajouter le compte de service de session en tant que compte principal à la clé asymétrique, procédez comme suit :

    Console Google Cloud

    1. Accédez à la page Clés cryptographiques de la console Google Cloud.

      Accéder à la page Clés de chiffrement

    2. Cliquez sur le trousseau contenant votre clé asymétrique.

    3. Cochez la case correspondant à la clé souhaitée.

    4. Dans le panneau d'informations, cliquez sur Ajouter un compte principal.

      Ajouter des comptes principaux s'affiche.

    5. Dans le champ Nouveaux comptes principaux, saisissez le compte de service de session fourni par l'équipe Transfer Appliance. En voici un exemple :

      ta-SESSION_ID@transfer-appliance-zimbru.iam.gserviceaccount.com

      Dans cet exemple, SESSION_ID correspond à l'ID de session de ce transfert particulier.

    6. Dans le champ Sélectionnez un rôle, ajoutez le rôle Lecteur de clé publique de clé de chiffrement Cloud KMS.

    7. Cliquez sur Enregistrer.

    Ligne de commande

    1. Exécutez la commande suivante pour attribuer le rôle roles/cloudkms.publicKeyViewer au compte de service de session :

      gcloud kms keys add-iam-policy-binding KEY \
--keyring=KEY_RING --location=LOCATION \
--member=serviceAccount:ta-SESSION_ID@transfer-appliance-zimbru.iam.gserviceaccount.com \
--role=roles/cloudkms.publicKeyViewer

      Dans cet exemple :

      • KEY : nom de la clé Cloud Key Management Service Exemple :ta-key
      • KEY_RING : nom du trousseau de clés
      • LOCATION : emplacement Cloud Key Management Service du trousseau de clés Exemple :global
      • SESSION_ID : ID de session pour ce transfert particulier.

  4. Obtenez le chemin d'accès de votre clé asymétrique en procédant comme suit :

    Console Google Cloud

    1. Accédez à la page des clés de chiffrement dans la console Google Cloud.

      Accéder à la page Clés de chiffrement

    2. Cliquez sur le trousseau contenant votre clé de déchiffrement asymétrique.

    3. Cliquez sur le nom de la clé de déchiffrement asymétrique.

    4. Sélectionnez la version de clé de votre choix, puis cliquez sur Plus .

    5. Cliquez sur Copier le nom de la ressource.

      Voici un exemple de format de clé :

      projects/PROJECT_ID/locations/LOCATION/keyRings/KEY_RING/cryptoKeys/KEY/cryptoKeyVersions/VERSION_NUMBER

      Dans cet exemple :

      • PROJECT_ID : ID du projet Google Cloud dans lequel se trouve votre bucket de stockage
      • LOCATION : emplacement Cloud Key Management Service du trousseau de clés
      • KEY_RING : nom du trousseau de clés
      • KEY : nom de la clé Cloud Key Management Service
      • VERSION_NUMBER : numéro de version de la clé

      L'équipe Transfer Appliance a besoin du chemin d'accès complet de la clé, y compris du numéro de version, pour pouvoir appliquer la clé correcte à vos données.

    Ligne de commande

    Exécutez la commande suivante pour répertorier le chemin d'accès complet de votre clé asymétrique, y compris son numéro de version :

    gcloud kms keys versions list --keyring=KEY_RING \
--key=KEY --location=LOCATION \
--project=PROJECT_ID

    Dans cet exemple :

    • KEY_RING : nom de votre trousseau de clés.
    • KEY : nom de votre clé asymétrique.
    • LOCATION : emplacement Google Cloud du trousseau.
    • PROJECT_ID : ID du projet Google Cloud dans lequel se trouve votre bucket de stockage.

    L'exemple de réponse suivant ressemble au résultat renvoyé :

    NAME STATE
projects/PROJECT_ID/locations/LOCATION/keyRings/KEY_RING/cryptoKeys/KEY/cryptoKeyVersions/VERSION_NUMBER
ENABLED

    Dans cet exemple :

    • PROJECT_ID : ID du projet Google Cloud dans lequel se trouve votre bucket de stockage
    • LOCATION : emplacement Cloud Key Management Service du trousseau de clés
    • KEY_RING : nom du trousseau de clés
    • KEY : nom de la clé Cloud Key Management Service
    • VERSION_NUMBER : numéro de version de la clé

    L'équipe Transfer Appliance a besoin de la chaîne sous NAME, qui se termine par /cryptoKeyVersions/VERSION_NUMBER, où VERSION_NUMBER est le numéro de version de votre clé.

Fournir à l'équipe Transfer Appliance les données de configuration du bucket

Nous envoyons un e-mail intitulé Autorisations Google Transfer Appliance pour collecter des informations sur votre bucket Cloud Storage. Nous utilisons les informations que vous fournissez pour configurer le transfert de données entre Cloud Storage et Transfer Appliance.

Dans le formulaire dont le lien figure dans l'e-mail, saisissez les informations suivantes:

  • ID du projet Google Cloud.
  • Sélectionnez une option de chiffrement :
    • Clé de chiffrement gérée par le client : sélectionnez la clé de chiffrement dans le menu déroulant Sélectionner une clé de chiffrement gérée par le client.
  • Nom du bucket Google Cloud Storage utilisé pour ce transfert.

Étape suivante

Configurez les ports réseau IP pour que Transfer Appliance fonctionne sur votre réseau.