Mengonfigurasi izin Google Cloud dan Cloud Storage langkah demi langkah

Dokumen ini menjelaskan cara mengonfigurasi izin Google Cloud dan Cloud Storage secara bertahap, termasuk:

  • Menyiapkan bucket Cloud Storage tujuan.
  • Menyiapkan kunci Cloud Key Management Service untuk mengamankan data Anda.
  • Memberikan data konfigurasi bucket Cloud Storage Anda kepada Tim Transfer Appliance.

Sebelum memulai

Pastikan Anda memiliki email dari Tim Transfer Appliance yang berjudul Google Transfer Appliance Prepare Permissions and Storage. Email ini berisi:

  • Nama akun layanan yang diperlukan untuk transfer Anda.

  • ID sesi yang diperlukan untuk mengonfigurasi appliance.

  • Formulir yang akan Anda isi setelah mengonfigurasi akun.

Menyiapkan bucket Cloud Storage tujuan

Untuk menyimpan data di Cloud Storage, Anda harus menyiapkan bucket. Bucket adalah penampung dasar yang menyimpan data Anda dalam Cloud Storage.

Kami menggunakan dua akun layanan untuk memindahkan data Anda dari Transfer Appliance ke bucket Cloud Storage tujuan yang Anda siapkan. Akun layanan adalah akun khusus yang digunakan oleh aplikasi, bukan orang, untuk melakukan tugas. Dalam hal ini, akun layanan memungkinkan Transfer Appliance menggunakan resource Cloud Storage atas nama Anda untuk menyalin data dari appliance ke bucket Cloud Storage Anda. Anda memberikan peran yang diperlukan kepada akun ini untuk menyalin data dari perangkat ke bucket Cloud Storage Anda.

Untuk menyiapkan bucket Cloud Storage tujuan, ikuti langkah-langkah berikut:

  1. Dalam email berjudul Google Transfer Appliance Prepare Destination Bucket, Tim Transfer Appliance akan memberikan akun layanan berikut kepada Anda:

    • Akun layanan sesi yang terikat dengan transfer tertentu ini. Tampilannya akan terlihat seperti contoh berikut:

      ta-SESSION_ID@transfer-appliance-zimbru.

      Dalam contoh ini, SESSION_ID adalah ID sesi untuk transfer khusus ini.

    • Agen layanan yang terikat dengan Transfer Service for On Premises Data, yang kami gunakan untuk mentransfer data dari appliance ke bucket Cloud Storage Anda. Tampilannya terlihat mirip dengan contoh berikut:

      project-TENANT_IDENTIFIER@storage-transfer-service.

      Dalam contoh ini, TENANT_IDENTIFIER adalah nomor yang dihasilkan khusus untuk project tertentu ini.

    Perhatikan akun layanan untuk langkah berikutnya.

    Akun layanan memungkinkan Transfer Appliance memanipulasi resource Google Cloud atas nama Anda, yaitu untuk menyalin data dari appliance ke Cloud Storage. Anda memberikan peran yang diperlukan kepada akun ini untuk menyalin data dari appliance ke bucket Cloud Storage Anda.

  2. Bucket Cloud Storage terikat dengan project Google Cloud. Bucket yang Anda pilih harus berada dalam project yang sama dengan yang digunakan untuk memesan appliance.

    Jika Anda tidak memiliki bucket Cloud Storage, buat bucket:

    Konsol Google Cloud

    1. Buka halaman Bucket Cloud Storage di konsol Google Cloud.

      Buka halaman Cloud Storage Buckets

    2. Klik Buat bucket untuk membuka formulir pembuatan bucket.

    3. Masukkan informasi bucket Anda, lalu klik Continue untuk menyelesaikan setiap langkah:

      • Tentukan Nama, sesuai dengan persyaratan penamaan bucket.

      • Pilih Default storage class untuk bucket. Kelas penyimpanan default ditetapkan secara default ke semua objek yang diupload ke bucket. Selanjutnya, pilih Location untuk data bucket.

      • Pilih model Access control untuk menentukan cara Anda mengontrol akses ke objek bucket.

      • Secara opsional, Anda dapat menambahkan label bucket dan memilih metode enkripsi.

      • Jangan menetapkan kebijakan retensi pada bucket.

    4. Klik Done.

    Command line

    Gunakan perintah gcloud storage buckets create:

    gcloud storage buckets create gs://BUCKET_NAME --uniform-bucket-level-access --location=LOCATION --project=PROJECT_ID

    Dalam contoh ini:

    Jangan menetapkan kebijakan retensi pada bucket.

  3. Untuk memberikan izin kepada akun layanan Transfer Appliance agar dapat menggunakan bucket Cloud Storage Anda, lakukan tindakan berikut:

    Konsol Google Cloud

    1. Di Konsol Google Cloud, buka halaman Bucket Cloud Storage.

      Buka Bucket

    2. Klik menu Bucket overflow () yang terkait dengan bucket tempat Anda memberikan peran kepada akun utama.

    3. Pilih Edit izin bucket.

    4. Klik tombol + Add principals.

    5. Di kolom New principals, masukkan identitas berikut:

      • Akun layanan sesi. Tampilannya akan terlihat seperti contoh berikut:

        ta-SESSION_ID@transfer-appliance-zimbru.

        Dalam contoh ini, SESSION_ID adalah ID sesi untuk transfer khusus ini.

      • Agen layanan Transfer Service for On Premises Data. Tampilannya terlihat mirip dengan contoh berikut:

        project-TENANT_IDENTIFIER@storage-transfer-service.

        Dalam contoh ini, TENANT_IDENTIFIER adalah nomor yang dihasilkan khusus untuk project tertentu ini.

    6. Dari menu drop-down Pilih peran, pilih peran Storage Admin.

      Peran yang Anda pilih akan muncul di panel dengan deskripsi singkat tentang izin yang diberikan.

    7. Klik Simpan.

    Command line

    Gunakan perintah gcloud storage buckets add-iam-policy-binding:

    gcloud storage buckets add-iam-policy-binding gs://BUCKET_NAME \
--member=serviceAccount:ta-SESSION_ID@transfer-appliance-zimbru. \
--role=roles/storage.admin
     
    gcloud storage buckets add-iam-policy-binding gs://BUCKET_NAME \
--member=serviceAccount:project-TENANT_IDENTIFIER@storage-transfer-service. \
--role=roles/storage.admin

    Dalam contoh ini:

    • BUCKET_NAME: Nama bucket yang Anda buat.
    • SESSION_ID: ID sesi untuk transfer tertentu ini.
    • TENANT_IDENTIFIER: Nomor yang dihasilkan khusus untuk project tertentu ini.

Menyiapkan kunci Cloud KMS

Transfer Appliance mengamankan data Anda di perangkat dengan mengenkripsi data sebelum Anda mengirim kembali perangkat kepada kami. Kunci publik Cloud Key Management Service (Cloud KMS) digunakan untuk mengenkripsi data Anda di Transfer Appliance, dan kunci pribadi digunakan untuk mendekripsi data Anda.

Kita menggunakan akun layanan sesi dari Menyiapkan bucket Cloud Storage tujuan untuk mengupload data dari appliance ke bucket Cloud Storage Anda.

Anda memiliki opsi berikut untuk mengelola kunci enkripsi:

  • Kunci enkripsi yang dikelola Google. Anda dapat meminta kami untuk membuat dan mengelola kunci Cloud KMS untuk Anda. Jika ingin menggunakan metode ini, Anda telah selesai mengonfigurasi project Google Cloud dan dapat melanjutkan dengan langkah-langkah yang dijelaskan dalam Menerima appliance.

  • Buat dan kelola kunci enkripsi sendiri. Anda membuat dan mengelola kunci enkripsi yang digunakan untuk transfer, dengan mengikuti petunjuk di bawah. Anda menyiapkan kunci dekripsi asimetris Cloud KMS dan menambahkan akun layanan sesi ke kunci tersebut. Akun layanan sesi menggunakan kunci dekripsi asimetris untuk mendekripsi dan menyalin data Anda ke Cloud Storage.

Untuk menyiapkan kunci Cloud KMS, lakukan hal berikut:

  1. Jika Anda tidak memiliki key ring Cloud Key Management Service, lakukan hal berikut untuk membuatnya:

    Konsol Google Cloud

    1. Buka halaman Kunci Kriptografis di konsol Google Cloud.

      Buka halaman Cryptographic Keys

    2. Klik Create key ring.

    3. Di kolom Key ring name, masukkan nama yang diinginkan untuk key ring Anda.

    4. Dari dropdown Key ring location, pilih lokasi seperti "us-east1".

    5. Klik Create.

    Command line

    gcloud kms keyrings create KEY_RING --location=LOCATION --project=PROJECT_ID

    Dalam contoh ini:

    • LOCATION: Lokasi Cloud Key Management Service untuk key ring. Contoh, global.
    • KEY_RING: Nama key ring.
    • PROJECT_ID: Project ID Google Cloud yang menjadi bagian dari bucket penyimpanan Anda.

  2. Buat kunci dekripsi asimetris dengan melakukan langkah berikut:

    Konsol Google Cloud

    1. Buka halaman Kunci Kriptografis di konsol Google Cloud.

      Buka halaman Cryptographic Keys

    2. Klik nama key ring yang ingin Anda buat kuncinya.

    3. Klik Create key.

    4. Di bagian Kunci jenis apa yang ingin Anda buat?, pilih Kunci yang dibuat.

    5. Di kolom Key name, masukkan nama untuk kunci Anda.

    6. Klik drop-down Tingkat perlindungan, lalu pilih Software.

    7. Klik dropdown Tujuan, lalu pilih Dekripsi asimetris.

    8. Klik dropdown Algorithm, lalu pilih 4096-bit RSA - OAEP Padding - SHA256 Digest

    9. Klik Create.

    Command line

    Jalankan perintah berikut untuk membuat kunci dekripsi asimetris:

    gcloud kms keys create KEY --keyring=KEY_RING \
--location=LOCATION --purpose=asymmetric-encryption \
--default-algorithm=rsa-decrypt-oaep-4096-sha256 \
--project=PROJECT_ID

    Dalam contoh ini:

    • KEY: Nama kunci Cloud Key Management Service. Contoh, ta-key.
    • KEY_RING: Nama key ring.
    • LOCATION: Lokasi Cloud Key Management Service untuk key ring. Contoh, global.
    • PROJECT_ID: Project ID Google Cloud yang menjadi bagian dari bucket penyimpanan Anda.

  3. Tambahkan akun layanan sesi sebagai akun utama ke kunci asimetris dengan melakukan hal berikut:

    Konsol Google Cloud

    1. Buka halaman Kunci Kriptografis di konsol Google Cloud.

      Buka halaman Cryptographic Keys

    2. Klik key ring yang berisi kunci asimetris Anda.

    3. Centang kotak untuk kunci asimetris.

    4. Di Panel info, klik Tambahkan akun utama.

      Add principals akan ditampilkan.

    5. Di kolom New principals, masukkan akun layanan sesi yang disediakan oleh Tim Transfer Appliance. Tampilannya akan terlihat seperti contoh berikut:

      ta-SESSION_ID@transfer-appliance-zimbru.

      Dalam contoh ini, SESSION_ID adalah ID sesi untuk transfer khusus ini.

    6. Di kolom Select a role, tambahkan peran Cloud KMS CryptoKey Public Key Viewer.

    7. Klik Add another role.

    8. Di kolom Select a role, tambahkan peran Cloud KMS CryptoKey Decrypter.

    9. Klik Simpan.

    Command line

    1. Jalankan perintah berikut untuk memberikan peran roles/cloudkms.cryptoKeyDecrypter kepada akun layanan sesi:

      gcloud kms keys add-iam-policy-binding KEY \
--keyring=KEY_RING --location=LOCATION \
--member=serviceAccount:ta-SESSION_ID@transfer-appliance-zimbru. \
--role=roles/cloudkms.cryptoKeyDecrypter

      Dalam contoh ini:

      • KEY: Nama kunci Cloud Key Management Service. Contoh, ta-key.
      • KEY_RING: Nama key ring.
      • LOCATION: Lokasi Cloud Key Management Service untuk key ring. Contoh, global.
      • SESSION_ID: ID sesi untuk transfer tertentu ini.

    2. Jalankan perintah berikut untuk memberikan peran roles/cloudkms.publicKeyViewer kepada akun layanan sesi:

      gcloud kms keys add-iam-policy-binding KEY \
--keyring=KEY_RING --location=LOCATION \
--member=serviceAccount:ta-SESSION_ID@transfer-appliance-zimbru. \
--role=roles/cloudkms.publicKeyViewer

      Dalam contoh ini:

      • KEY: Nama kunci Cloud Key Management Service. Contoh, ta-key.
      • KEY_RING: Nama key ring.
      • LOCATION: Lokasi Cloud Key Management Service untuk key ring. Contoh, global.
      • SESSION_ID: ID sesi untuk transfer tertentu ini.

  4. Dapatkan jalur kunci asimetris Anda dengan melakukan hal berikut:

    Konsol Google Cloud

    1. Buka halaman Kunci Kriptografis di konsol Google Cloud.

      Buka halaman Cryptographic Keys

    2. Klik key ring yang berisi kunci dekripsi asimetris Anda.

    3. Klik nama kunci dekripsi asimetris.

    4. Pilih versi kunci yang Anda inginkan, lalu klik Lainnya .

    5. Klik Salin Nama Resource.

      Contoh format kunci adalah:

      projects/PROJECT_ID/locations/LOCATION/keyRings/KEY_RING/cryptoKeys/KEY/cryptoKeyVersions/VERSION_NUMBER

      Dalam contoh ini:

      • PROJECT_ID: Project ID Google Cloud yang menjadi bagian dari bucket penyimpanan Anda.
      • LOCATION: Lokasi Cloud Key Management Service untuk key ring.
      • KEY_RING: Nama key ring.
      • KEY: Nama kunci Cloud Key Management Service.
      • VERSION_NUMBER: Nomor versi kunci.

      Tim Transfer Appliance memerlukan seluruh jalur kunci, termasuk nomor versi, sehingga mereka dapat menerapkan kunci yang benar ke data Anda.

    Command line

    Jalankan perintah berikut untuk menampilkan jalur lengkap kunci asimetris Anda, termasuk nomor versinya:

    gcloud kms keys versions list --keyring=KEY_RING \
--key=KEY --location=LOCATION \
--project=PROJECT_ID

    Dalam contoh ini:

    • KEY_RING: Nama key ring Anda.
    • KEY: Nama kunci asimetris Anda.
    • LOCATION: Lokasi Google Cloud dari ring kunci.
    • PROJECT_ID: Project ID Google Cloud yang menjadi tempat bucket penyimpanan Anda.

    Contoh respons berikut menyerupai output yang ditampilkan:

    NAME STATE
projects/PROJECT_ID/locations/LOCATION/keyRings/KEY_RING/cryptoKeys/KEY/cryptoKeyVersions/VERSION_NUMBER
ENABLED

    Dalam contoh ini:

    • PROJECT_ID: Project ID Google Cloud yang menjadi bagian dari bucket penyimpanan Anda.
    • LOCATION: Lokasi Cloud Key Management Service untuk key ring.
    • KEY_RING: Nama key ring.
    • KEY: Nama kunci Cloud Key Management Service.
    • VERSION_NUMBER: Nomor versi kunci.

    Tim Transfer Appliance memerlukan string di bagian NAME yang diakhiri dengan /cryptoKeyVersions/VERSION_NUMBER, dengan VERSION_NUMBER adalah nomor versi kunci Anda.

Memberikan data konfigurasi bucket kepada Tim Transfer Appliance

Kami mengirimkan email berjudul Google Transfer Appliance Prepare Permissions and Storage untuk mengumpulkan informasi tentang bucket Cloud Storage Anda. Kami menggunakan informasi yang Anda berikan untuk mengonfigurasi transfer dari Transfer Appliance ke Cloud Storage.

Dalam formulir yang ditautkan dari email tersebut, masukkan informasi berikut:

  • Project ID Google Cloud.
  • Pilih pilihan Anda untuk Enkripsi:
    • Kunci enkripsi yang dikelola Google, jika Anda memilih agar Google mengelola kunci enkripsi Anda.
    • Kunci enkripsi yang dikelola pelanggan, jika Anda memilih untuk mengelola kunci enkripsi Anda sendiri. Pilih kunci enkripsi yang diinginkan dari menu drop-down Select a customer-managed encryption-key.
  • Nama bucket tujuan Google Cloud Storage yang digunakan untuk transfer ini.
  • Opsional: Awal objek. Tanpa awalan objek, objek akan ditransfer ke Cloud Storage dengan jalur sumber, tidak termasuk jalur root, sebelum nama file di sistem file. Misalnya, jika Anda memiliki file berikut:
    • /source_root_path/file1.txt
    • /source_root_path/dirA/file2.txt
    • /source_root_path/dirA/dirB/file3.txt
    Maka nama objek di Cloud Storage adalah:
    • file1.txt
    • dirA/file2.txt
    • dirA/dirB/file3.txt
    Awalan objek ditambahkan ke nama tujuan objek di Cloud Storage, setelah karakter / dari nama bucket tujuan dan sebelum nama jalur tempat objek ditransfer, tidak termasuk jalur root sumber. Hal ini dapat membantu Anda membedakan antara objek yang ditransfer dari tugas transfer lainnya.

    Tabel berikut menunjukkan beberapa contoh awalan objek dan nama objek yang dihasilkan di Cloud Storage, jika jalur objek sumbernya adalah /source_root_path/sub_folder_name/object_name:
    Awalan Nama objek tujuan
    Tidak ada /destination_bucket/sub_folder_name/object_name
    prefix/ /destination_bucket/prefix/sub_folder_name/object_name

Apa langkah selanjutnya?

Konfigurasikan port jaringan IP agar Transfer Appliance berfungsi di jaringan Anda.