Schritt-für-Schritt-Anleitung zum Konfigurieren von Google Cloud-Berechtigungen und Cloud Storage

In diesem Dokument wird die Konfiguration von Google Cloud-Berechtigungen und Cloud Storage Schritt für Schritt beschrieben. Dazu gehört Folgendes:

  • Cloud Storage-Ziel-Bucket vorbereiten
  • Cloud Key Management Service-Schlüssel zum Schutz Ihrer Daten vorbereiten
  • Cloud Storage-Bucket-Konfigurationsdaten für das Transfer Appliance-Team bereitstellen

Hinweise

Sie benötigen eine E-Mail vom Transfer Appliance-Team mit dem Betreff Google Transfer Appliance Prepare Berechtigungen and Storage. Diese E-Mail enthält:

  • Die Namen der Dienstkonten, die für Ihre Übertragung erforderlich sind.

  • Eine Sitzungs-ID, die Sie zum Konfigurieren der Appliance benötigen.

  • Ein Formular, das Sie nach der Konfiguration Ihres Kontos ausfüllen.

Cloud Storage-Ziel-Bucket vorbereiten

Sie müssen einen Bucket vorbereiten, um Ihre Daten in Cloud Storage zu speichern. Buckets sind die grundlegenden Container in Cloud Storage, die Ihre Daten enthalten.

Wir verwenden zwei Dienstkonten, um Ihre Daten von Transfer Appliance in den von Ihnen vorbereiteten Cloud Storage-Ziel-Bucket zu verschieben. Dienstkonten sind spezielle Konten, die von einer Anwendung und nicht von einer Person zum Arbeiten verwendet werden. In diesem Fall gestatten die Dienstkonten Transfer Appliance, in Ihrem Namen Cloud Storage-Ressourcen zu verwenden, um Daten von der Appliance in Ihren Cloud Storage-Bucket zu kopieren. Sie erteilen diesen Konten die erforderlichen Rollen, um Daten von der Appliance in Ihren Cloud Storage-Bucket zu kopieren.

So bereiten Sie den Cloud Storage-Ziel-Bucket vor:

  1. In einer E-Mail mit dem Betreff Google Transfer Appliance Prepare Destination Bucket stellt das Transfer Appliance-Team folgende Dienstkonten bereit:

    • Ein Sitzungsdienstkonto, das mit dieser bestimmten Übertragung verbunden ist. Es sieht in etwa so aus:

      ta-SESSION_ID@transfer-appliance-zimbru.iam.gserviceaccount.com

      In diesem Beispiel ist SESSION_ID die Sitzungs-ID für diese bestimmte Übertragung.

    • Ein Dienst-Agent, der an den Übertragungsdienst für den Transfer Service for On Premises Data-Dienst gebunden ist. Wir verwenden ihn, um Daten von der Appliance in Ihren Cloud Storage-Bucket zu übertragen. Das sieht in etwa so aus:

      project-TENANT_IDENTIFIER@storage-transfer-service.iam.gserviceaccount.com

      In diesem Beispiel ist TENANT_IDENTIFIER eine für dieses Projekt spezifische Nummer.

    Notieren Sie sich die Dienstkonten für die nächsten Schritte.

    Die Dienstkonten ermöglichen der Transfer Appliance, Google Cloud-Ressourcen in Ihrem Namen zu bearbeiten, also Daten aus der Appliance in Cloud Storage kopieren. Sie erteilen diesen Konten die erforderlichen Rollen, um Daten von der Appliance in Ihren Cloud Storage-Bucket zu kopieren.

  2. Cloud Storage-Buckets sind an Google Cloud-Projekte gebunden. Der ausgewählte Bucket muss sich im selben Projekt befinden, mit dem die Appliance bestellt wurde.

    Wenn Sie keinen Cloud Storage-Bucket haben, erstellen Sie einen:

    Google Cloud Console

    1. Öffnen Sie in der Google Cloud Console die Seite „Cloud Storage-Buckets“.

      Zur Seite "Cloud Storage-Buckets"

    2. Klicken Sie auf Bucket erstellen, um das Formular zum Erstellen eines Buckets zu öffnen.

    3. Geben Sie die Bucket-Informationen ein und klicken Sie zum Ausführen der einzelnen Schritte jeweils auf Weiter:

    4. Klicken Sie auf Fertig.

    Befehlszeile

    Führen Sie den Befehl gsutil mb aus:

    gsutil mb -b on -l LOCATION -p PROJECT_ID gs://BUCKET_NAME

    In diesem Beispiel:

    Legen Sie keine Aufbewahrungsrichtlinie für den Bucket fest.

  3. So gewähren Sie den Transfer Appliance-Dienstkonten die Berechtigung, Ihren Cloud Storage-Bucket zu verwenden:

    Google Cloud Console

    1. Wechseln Sie in der Cloud Console zur Seite Cloud Storage-Buckets.

      Buckets aufrufen

    2. Klicken Sie auf das Dreipunkt-Menü () des Buckets, für den Sie einem Hauptkonto eine Rolle zuweisen.

    3. Wählen Sie Bucket-Berechtigungen bearbeiten.

    4. Klicken Sie auf die Schaltfläche + Hauptkonten hinzufügen.

    5. Geben Sie im Feld Neue Hauptkonten die folgenden Identitäten ein:

      • Das Sitzungsdienstkonto. Es sieht in etwa so aus:

        ta-SESSION_ID@transfer-appliance-zimbru.iam.gserviceaccount.com

        In diesem Beispiel ist SESSION_ID die Sitzungs-ID für diese bestimmte Übertragung.

      • Der Transfer Service for On Premises-Dienst-Agent. Das sieht in etwa so aus:

        project-TENANT_IDENTIFIER@storage-transfer-service.iam.gserviceaccount.com

        In diesem Beispiel ist TENANT_IDENTIFIER eine für dieses Projekt generierte spezifische Nummer.

    6. Wählen Sie im Drop-down-Menü Rolle auswählen die Rolle Storage-Administrator aus.

      Die ausgewählten Rollen werden in der Ansicht mit einer kurzen Beschreibung ihrer jeweiligen Berechtigungen angezeigt.

    7. Klicken Sie auf Speichern.

    Befehlszeile

    Führen Sie den Befehl gsutil iam ch aus:

    gsutil iam ch \
serviceAccount:ta-SESSION_ID@transfer-appliance-zimbru.iam.gserviceaccount.com:roles/storage.admin \
serviceAccount:project-TENANT_IDENTIFIER@storage-transfer-service.iam.gserviceaccount.com:roles/storage.admin \
gs://BUCKET_NAME

    In diesem Beispiel:

    • SESSION_ID: Die Sitzungs-ID für diese bestimmte Übertragung.
    • TENANT_IDENTIFIER: Eine generierte Nummer, die für dieses Projekt spezifisch ist.
    • BUCKET_NAME: Der Name des Buckets, den Sie erstellen.

Cloud KMS-Schlüssel vorbereiten

Transfer Appliance schützt Ihre Daten auf der Appliance. Die Daten werden dazu verschlüsselt, bevor die Appliance an uns zurückgesendet wird. Ihrer Daten werden auf der Transfer Appliance mit einem öffentlichen Schlüssel des Cloud Key Management Service (Cloud KMS) verschlüsselt. Zum Entschlüsseln Ihrer Daten wird ein privater Schlüssel verwendet.

Wir verwenden das Sitzungsdienstkonto aus Cloud Storage-Ziel-Bucket vorbereiten, um die Daten von der Appliance in Ihren Cloud Storage-Bucket hochzuladen.

Sie haben folgende Möglichkeiten, Verschlüsselungsschlüssel zu verwalten:

  • Von Google verwaltete Verschlüsselungsschlüssel. Sie können die Erstellung und Verwaltung Ihrer Cloud KMS-Schlüssel durch uns beantragen. Wenn Sie diese Methode verwenden möchten, ist die Konfiguration Ihres Google Cloud-Projekts abgeschlossen und Sie können mit den Schritten unter Appliance empfangen fortfahren.

  • Verschlüsselungsschlüssel selbst erstellen und verwalten. Sie erstellen und verwalten die für Ihre Übertragung verwendeten Verschlüsselungsschlüssel selbst. Folgen Sie dazu der unten angegebenen Anleitung. Sie bereiten einen asymmetrischen Cloud KMS-Entschlüsselungsschlüssel vor und fügen dem Schlüssel das Sitzungsdienstkonto hinzu. Das Sitzungsdienstkonto verwendet den asymmetrischen Entschlüsselungsschlüssel, um Ihre Daten zu entschlüsseln und in Cloud Storage zu kopieren.

So bereiten Sie Cloud KMS-Schlüssel vor:

  1. Wenn Sie keinen Schlüsselbund für den Cloud Key Management Service haben, gehen Sie so vor:

    Google Cloud Console

    1. Rufen Sie in der Google Cloud Console die Seite Kryptografische Schlüssel auf.

      Zur Seite "Cryptographic Keys" (Kryptografische Schlüssel)

    2. Klicken Sie auf KeyRing erstellen.

    3. Geben Sie im Feld Schlüsselbundname den gewünschten Namen für den Schlüsselbund ein.

    4. Wählen Sie im Drop-down-Menü Schlüsselbundort einen Standort wie "us-east1" aus.

    5. Klicken Sie auf Erstellen.

    Befehlszeile

    gcloud kms keyrings create KEY_RING --location=LOCATION --project=PROJECT_ID

    In diesem Beispiel:

    • LOCATION: Der Standort des Cloud Key Management Service für den Schlüsselbund. Beispiel: global.
    • KEY_RING: Der Name des Schlüsselbunds.
    • PROJECT_ID: Die Google Cloud-Projekt-ID, unter der sich Ihr Storage-Bucket befindet.

  2. So erstellen Sie einen asymmetrischen Entschlüsselungsschlüssel:

    Google Cloud Console

    1. Rufen Sie in der Google Cloud Console die Seite Kryptografische Schlüssel auf.

      Zur Seite "Cryptographic Keys" (Kryptografische Schlüssel)

    2. Klicken Sie auf den Namen des Schlüsselbunds, für den Sie einen Schlüssel erstellen möchten.

    3. Klicken Sie auf Schlüssel erstellen.

    4. Wählen Sie im Abschnitt Welche Art von Schlüssel möchten Sie erstellen? die Option Generierter Schlüssel aus.

    5. Geben Sie im Feld Schlüsselname einen Namen für den Schlüssel ein.

    6. Klicken Sie auf das Drop-down-Menü Schutzstufe und wählen Sie Software aus.

    7. Klicken Sie auf das Drop-down-Menü Zweck und wählen Sie Asymmetrische Entschlüsselung aus.

    8. Klicken Sie auf das Drop-down-Menü Algorithmus und wählen Sie 4.096-Bit-RSA – OAEP-Padding – SHA256-Digest aus.

    9. Klicken Sie auf Erstellen.

    Befehlszeile

    Führen Sie den folgenden Befehl aus, um einen asymmetrischen Entschlüsselungsschlüssel zu erstellen:

    gcloud kms keys create KEY --keyring=KEY_RING \
--location=LOCATION --purpose=asymmetric-encryption \
--default-algorithm=rsa-decrypt-oaep-4096-sha256 \
--project=PROJECT_ID

    In diesem Beispiel:

    • KEY: Der Name des Cloud Key Management Service-Schlüssels. Beispiel: ta-key
    • KEY_RING: Der Name des Schlüsselbunds.
    • LOCATION: Der Standort des Cloud Key Management Service für den Schlüsselbund. Beispiel: global.
    • PROJECT_ID: Die Google Cloud-Projekt-ID, unter der sich Ihr Storage-Bucket befindet.

  3. Fügen Sie dem asymmetrischen Schlüssel das Sitzungsdienstkonto als Hauptkonto hinzu. Gehen Sie dazu so vor:

    Google Cloud Console

    1. Rufen Sie in der Google Cloud Console die Seite Kryptografische Schlüssel auf.

      Zur Seite "Cryptographic Keys" (Kryptografische Schlüssel)

    2. Klicken Sie auf den Schlüsselbund, der Ihren asymmetrischen Schlüssel enthält.

    3. Klicken Sie auf das Kästchen für den asymmetrischen Schlüssel.

    4. Klicken Sie im Infofeld auf Hauptkonto hinzufügen.

      Hauptkonten hinzufügen wird angezeigt.

    5. Geben Sie im Feld Neue Hauptkonten das vom Transfer Appliance-Team bereitgestellte Sitzungsdienstkonto ein. Es sieht in etwa so aus:

      ta-SESSION_ID@transfer-appliance-zimbru.iam.gserviceaccount.com

      In diesem Beispiel ist SESSION_ID die Sitzungs-ID für diese bestimmte Übertragung.

    6. Fügen Sie im Feld Rolle auswählen die Rolle Betrachter öffentlicher Schlüssel für Cloud KMS CryptoKeys hinzu.

    7. Klicken Sie auf Weitere Rolle hinzufügen.

    8. Fügen Sie im Feld Rolle auswählen die Rolle Cloud KMS CryptoKey Decrypter hinzu.

    9. Klicken Sie auf Speichern.

    Befehlszeile

    1. Führen Sie den folgenden Befehl aus, um dem Sitzungsdienstkonto die Rolle roles/cloudkms.cryptoKeyDecrypter zuzuweisen:

      gcloud kms keys add-iam-policy-binding KEY \
--keyring=KEY_RING --location=LOCATION \
--member=serviceAccount:ta-SESSION_ID@transfer-appliance-zimbru.iam.gserviceaccount.com \
--role=roles/cloudkms.cryptoKeyDecrypter

      In diesem Beispiel:

      • KEY: Der Name des Cloud Key Management Service-Schlüssels. Beispiel: ta-key
      • KEY_RING: Der Name des Schlüsselbunds.
      • LOCATION: Der Standort des Cloud Key Management Service für den Schlüsselbund. Beispiel: global.
      • SESSION_ID: Die Sitzungs-ID für diese bestimmte Übertragung.

    2. Führen Sie den folgenden Befehl aus, um dem Sitzungsdienstkonto die Rolle roles/cloudkms.publicKeyViewer zuzuweisen:

      gcloud kms keys add-iam-policy-binding KEY \
--keyring=KEY_RING --location=LOCATION \
--member=serviceAccount:ta-SESSION_ID@transfer-appliance-zimbru.iam.gserviceaccount.com \
--role=roles/cloudkms.publicKeyViewer

      In diesem Beispiel:

      • KEY: Der Name des Cloud Key Management Service-Schlüssels. Beispiel: ta-key
      • KEY_RING: Der Name des Schlüsselbunds.
      • LOCATION: Der Standort des Cloud Key Management Service für den Schlüsselbund. Beispiel: global.
      • SESSION_ID: Die Sitzungs-ID für diese bestimmte Übertragung.

  4. So rufen Sie den Pfad eines asymmetrischen Schlüssels ab:

    Google Cloud Console

    1. Rufen Sie in der Google Cloud Console die Seite Kryptografische Schlüssel auf.

      Zur Seite "Cryptographic Keys" (Kryptografische Schlüssel)

    2. Klicken Sie auf den Schlüsselbund, der Ihren asymmetrischen Entschlüsselungsschlüssel enthält.

    3. Klicken Sie auf den Namen des asymmetrischen Entschlüsselungsschlüssels.

    4. Wählen Sie die gewünschte Schlüsselversion aus und klicken Sie auf das Dreipunkt-Menü .

    5. Klicken Sie auf Ressourcennamen kopieren.

      Ein Beispiel für das Schlüsselformat:

      projects/PROJECT_ID/locations/LOCATION/keyRings/KEY_RING/cryptoKeys/KEY/cryptoKeyVersions/VERSION_NUMBER

      In diesem Beispiel:

      • PROJECT_ID: Die Google Cloud-Projekt-ID, unter der sich Ihr Storage-Bucket befindet.
      • LOCATION: Der Standort des Cloud Key Management Service für den Schlüsselbund.
      • KEY_RING: Der Name des Schlüsselbunds.
      • KEY: Der Name des Cloud Key Management Service-Schlüssels.
      • VERSION_NUMBER: Die Versionsnummer des Schlüssels.

      Das Transfer Appliance-Team benötigt den gesamten Schlüsselpfad einschließlich der Versionsnummer, damit der richtige Schlüssel auf Ihre Daten angewendet werden kann.

    Befehlszeile

    Führen Sie den folgenden Befehl aus, um den vollständigen Pfad Ihres asymmetrischen Schlüssels einschließlich seiner Versionsnummer aufzulisten:

    gcloud kms keys versions list --keyring=KEY_RING \
--key=KEY --location=LOCATION \
--project=PROJECT_ID

    In diesem Beispiel:

    • KEY_RING: Name des Schlüsselbunds.
    • KEY: Der Name Ihres asymmetrischen Schlüssels.
    • LOCATION: Der Google Cloud-Speicherort des Schlüsselbunds.
    • PROJECT_ID: Die Google Cloud-Projekt-ID, unter der sich Ihr Storage-Bucket befindet.

    Die folgende Beispielantwort sieht ungefähr so aus wie die zurückgegebene Ausgabe:

    NAME STATE
projects/PROJECT_ID/locations/LOCATION/keyRings/KEY_RING/cryptoKeys/KEY/cryptoKeyVersions/VERSION_NUMBER
ENABLED

    In diesem Beispiel:

    • PROJECT_ID: Die Google Cloud-Projekt-ID, unter der sich Ihr Storage-Bucket befindet.
    • LOCATION: Der Standort des Cloud Key Management Service für den Schlüsselbund.
    • KEY_RING: Der Name des Schlüsselbunds.
    • KEY: Der Name des Cloud Key Management Service-Schlüssels.
    • VERSION_NUMBER: Die Versionsnummer des Schlüssels.

    Das Transfer Appliance-Team benötigt den String unter NAME, der auf /cryptoKeyVersions/VERSION_NUMBER endet. Dabei ist VERSION_NUMBER die Versionsnummer Ihres Schlüssels.

Bucket-Konfigurationsdaten für das Transfer Appliance-Team bereitstellen

Wir senden eine E-Mail mit dem Betreff Google Transfer Appliance Prepare Berechtigungen and Storage, um Informationen zu Ihrem Cloud Storage-Bucket zu erfassen. Wir verwenden die von Ihnen bereitgestellten Informationen, um die Übertragung von Transfer Appliance zu Cloud Storage zu konfigurieren.

Geben Sie in dem mit dieser E-Mail verknüpften Formular die folgenden Informationen ein:

  • Die Google Cloud-Projekt-ID.
  • Treffen Sie eine Auswahl für Verschlüsselung:
    • Von Google verwalteter Verschlüsselungsschlüssel, wenn Sie Ihren Verschlüsselungsschlüssel von Google verwalten lassen.
    • Vom Kunden verwalteter Verschlüsselungsschlüssel, wenn Sie Ihren eigenen Verschlüsselungsschlüssel verwalten. Wählen Sie den gewünschten Verschlüsselungsschlüssel aus dem Drop-down-Menü Vom Kunden verwalteten Verschlüsselungsschlüssel auswählen aus.
  • Den Google Cloud Storage-Ziel-Bucket-Namen, der für diese Übertragung verwendet wird.
  • Optional: Ein Objektpräfix. Ohne Objektpräfix werden Objekte mit dem Pfad der Quelle in Cloud Storage übertragen, ohne dass der Stammpfad vor dem Dateinamen im Dateisystem enthalten ist. Angenommen, Sie haben die folgenden Dateien:
    • /source_root_path/file1.txt
    • /source_root_path/dirA/file2.txt
    • /source_root_path/dirA/dirB/file3.txt
    Dann lauten die Objektnamen in Cloud Storage so:
    • file1.txt
    • dirA/file2.txt
    • dirA/dirB/file3.txt
    Das Objektpräfix wird dem Zielnamen des Objekts in Cloud Storage nach dem Zeichen / des Ziel-Bucket-Namens und vor den Namen von Pfaden hinzugefügt, aus denen das Objekt übertragen wurde. Bei diesen Pfaden handelt es sich nicht um den Stammpfad der Quelle. Hiermit können Sie besser zwischen Objekten unterscheiden, die von anderen Übertragungsjobs übertragen wurden.

    In der folgenden Tabelle werden mehrere Beispiele für Objektpräfixe und ihre resultierenden Objektnamen in Cloud Storage dargestellt, wenn der Pfad des Quellobjekts /source_root_path/sub_folder_name/object_name ist:
    Präfix Name des Zielobjekts
    Keine /destination_bucket/sub_folder_name/object_name
    prefix/ /destination_bucket/prefix/sub_folder_name/object_name

Nächste Schritte

Konfigurieren Sie IP-Netzwerkports, damit Transfer Appliance in Ihrem Netzwerk funktioniert.