Condivisione e collaborazione

Questo documento fornisce scenari comuni di condivisione dei dati e collaborazione. Include informazioni su come configurare le policy IAM (Identity and Access Management) del progetto e del bucket per implementare gli scenari.

Archiviazione e manutenzione dei dati privati

In questo scenario, un analista di marketing di un'azienda vuole utilizzare Cloud Storage per eseguire il backup di previsioni riservate sulle entrate e dati di proiezione delle vendite. I dati devono essere accessibili solo dall'analista di marketing. Il reparto IT dell'azienda supervisiona e gestisce l'account Cloud Storage dell'azienda. Le sue responsabilità principali di gestione includono la creazione e la condivisione di bucket in modo che i vari reparti dell'azienda abbiano accesso a Cloud Storage.

Per soddisfare le esigenze di riservatezza e privacy dell'analista di analisi dei dati di mercato, le autorizzazioni per bucket e oggetti devono consentire al personale IT di gestire il bucket in cui sono archiviati i fogli di lavoro, ma anche garantire che il personale IT non possa visualizzare/scaricare i dati archiviati nel bucket. Per farlo, crei un bucket denominato finance-marketing e concedi i seguenti ruoli per le risorse elencate alle entità specificate:

Ruolo Risorsa Entità Descrizione
Storage Legacy Bucket Owner Il bucket finance-marketing Personale IT Assegnando al personale IT il ruolo Storage Legacy Bucket Owner per il bucket, consenti loro di eseguire attività comuni di gestione del bucket, come l'eliminazione di oggetti e la modifica della policy IAM sul bucket. Consente inoltre al personale IT di elencare i contenuti del bucket finance-marketing, ma non di visualizzarli o scaricarli.
Storage Object User Il bucket finance-marketing Analista di marketing Assegnando all'analista di marketing il ruolo Storage Object User per il bucket, le consenti di caricare, visualizzare, aggiornare ed eliminare gli oggetti nel bucket.

Con questi ruoli, nessuno, ad eccezione dell'analista di marketing, può visualizzare o scaricare gli oggetti presenti nel bucket. Il personale IT può comunque elencare i contenuti del bucket finance-marketing ed eliminare e sostituire i file archiviati nel bucket, se necessario.

Implementa questo scenario

Le tue azioni

Per implementare lo scenario, devi eseguire le seguenti azioni:

  1. Crea un bucket denominato finance-marketing. Per istruzioni passo passo, consulta Creazione di un bucket.

  2. Assegna a ogni membro del personale IT il ruolo Storage Legacy Bucket Owner per il bucket. Per istruzioni passo passo, consulta Aggiunta di un'entità a una policy a livello di bucket.

Azioni del personale IT

Per implementare lo scenario, il personale IT deve eseguire le seguenti azioni:

  1. Assegna all'analista di marketing il ruolo Storage Object User per il bucket. Per istruzioni passo passo, consulta Aggiunta di un'entità a una policy a livello di bucket.

Drop box del fornitore

In questo scenario, un'impresa edile collabora con diversi studi di progettazione architettonica che forniscono progetti di costruzione per vari progetti. L'impresa di costruzioni vuole configurare una casella di posta per le aziende fornitrici in modo che possano caricare i progetti architettonici in varie fasi del progetto. La casella di posta deve garantire la privacy dei clienti dell'impresa edile, il che significa che non deve consentire ai fornitori di vedere il lavoro degli altri. Per farlo, crei un bucket separato per ogni studio di architettura e concedi i seguenti ruoli per le risorse elencate alle entità specificate:

Ruolo Risorsa Entità Descrizione
Proprietario Progetto complessivo Responsabile di un'impresa edile Assegnando al responsabile dell'impresa di costruzioni il ruolo Proprietario a livello di progetto, gli consenti di creare bucket per ogni fornitore.
Storage Object Viewer Progetto complessivo Responsabile di un'impresa edile Il ruolo Storage Object Viewer consente al responsabile dell'impresa edile di scaricare gli oggetti caricati dai fornitori.
Storage Legacy Bucket Owner Ogni bucket di fornitori Responsabile di un'impresa edile Il ruolo Storage Legacy Bucket Owner consente al responsabile dell'impresa edile di elencare i contenuti di ogni bucket ed eliminare gli oggetti alla fine di ogni milestone del progetto.
Storage Object Admin Ogni bucket di fornitori Il fornitore associato al bucket Assegnando a ogni fornitore il ruolo Storage Object Admin per il proprio bucket, gli concedi il controllo completo sugli oggetti nel bucket, inclusa la possibilità di caricare oggetti, elencare gli oggetti nel bucket e controllare chi ha accesso a ogni oggetto. Non consente loro di modificare o visualizzare i metadati, come i ruoli sul bucket nel suo complesso, né di elencare o visualizzare altri bucket nel progetto, preservando così la privacy tra i fornitori.

Implementa questo scenario

Le tue azioni

Per implementare lo scenario, devi eseguire le seguenti azioni:

  1. Assegna al manager dell'impresa di costruzioni il ruolo Owner sul progetto, nonché il ruolo Storage Object Viewer sul progetto. Per istruzioni passo passo, consulta Concedi un singolo ruolo.

Azioni del gestore di un'impresa edile

Il manager dell'impresa edile deve intraprendere le seguenti azioni per implementare lo scenario:

  1. Crea un bucket separato per ogni fornitore. Per istruzioni passo passo, consulta Crea un bucket.

    Poiché la responsabile dei lavori ha il ruolo Owner, ottiene automaticamente il ruolo Storage Legacy Bucket Owner per ogni bucket che crea.

  2. Assegna a ogni fornitore il ruolo Amministratore oggetti Storage per il rispettivo bucket. Per istruzioni passo passo, consulta Aggiunta di un'entità a una policy a livello di bucket.

  3. Se un fornitore intende utilizzare la console Cloud de Confiance , forniscigli un link al suo bucket, che ha il seguente formato:

    https://console.cloud.s3nscloud.fr/storage/browser/BUCKET_NAME

    dove BUCKET_NAME è il nome del bucket del fornitore.

Azioni del fornitore

Ogni fornitore deve intraprendere le seguenti azioni per implementare lo scenario:

  1. Caricare oggetti nel bucket assegnato. Il modo più semplice per farlo è tramite la console Cloud de Confiance . Altri metodi, come Google Cloud CLI, richiedono una configurazione aggiuntiva prima dell'uso. Per istruzioni passo passo, consulta Caricamento di un oggetto.

Download da browser autenticati

In questo scenario, un client vuole rendere disponibili i file a persone specifiche tramite semplici download dal browser. Puoi farlo utilizzando l'autenticazione basata su cookie di Cloud Storage. Per scaricare gli oggetti, gli utenti devono autenticarsi accedendo a un account valido, che in genere è la federazione delle identità per la forza lavoro. I seguenti utenti autenticati possono scaricare l'oggetto:

Tutti gli altri utenti ricevono un errore 403 Forbidden (access denied).

Per utilizzare la funzionalità, concedi a un utente l'autorizzazione per accedere a un oggetto, quindi fornisci all'utente un URL speciale per l'oggetto. Quando l'utente fa clic sull'URL, Cloud Storage gli chiede di accedere al proprio account (se non ha già eseguito l'accesso) e l'oggetto viene scaricato sul suo computer.

Implementa questo scenario

Puoi implementare l'autenticazione basata su cookie in quattro passaggi generali:

  1. Crea un bucket. Per istruzioni passo passo, consulta Creazione di un bucket.

    Se crei un bucket in un progetto di tua proprietà, ottieni automaticamente le autorizzazioni che ti consentono di caricare oggetti nel bucket e di modificare chi ha accesso al bucket.

  2. Carica l'oggetto che vuoi condividere. Per istruzioni passo passo, consulta Caricamento di un oggetto.

  3. Concedi agli utenti l'accesso all'oggetto. Un modo comune per farlo è modificare la policy IAM del bucket per assegnare a utenti specifici il ruolo Storage Object Viewer, che si applica a tutti gli oggetti nel bucket. Per istruzioni passo passo, consulta Aggiunta di un'entità a una policy a livello di bucket.

  4. Fornisci agli utenti un URL speciale per l'oggetto.

    I download del browser autenticati accedono a Cloud Storage tramite un endpoint URL specifico. Utilizza il seguente URL:

    https://storage.cloud.google.com/BUCKET_NAME/OBJECT_NAME

    Dove:

    • BUCKET_NAME è il nome del bucket che contiene l'oggetto desiderato. Ad esempio, my-bucket.
    • OBJECT_NAME è il nome dell'oggetto desiderato. Ad esempio, pets/dog.png.

    Poiché solo gli utenti con le autorizzazioni di accesso appropriate possono visualizzarlo, non importa come rendi disponibile questo URL. Puoi inviarlo direttamente o pubblicarlo su una pagina web.

Utilizza le cartelle gestite per controllare l'accesso

In questo scenario, hai più clienti, ognuno dei quali possiede un sito web univoco contenente immagini personalizzate. Vuoi che i clienti possano caricare immagini solo sul loro sito web, ma non su altri siti web. Quando un cliente annulla il proprio account, vuoi disattivare l'accesso pubblico alle immagini sul suo sito web, ma evitare di eliminarle nel caso in cui il cliente voglia riattivare il proprio account.

Un modo per gestire questo scenario è utilizzare le cartelle gestite. Puoi creare più cartelle gestite all'interno di un bucket e utilizzare IAM per controllare l'accesso alle singole cartelle gestite sia per i tuoi clienti che per i loro utenti finali.

Implementa questo scenario

  1. Crea un bucket.

  2. Crea una cartella gestita nel bucket per ogni sito web dei clienti.

  3. Per ogni cartella gestita, imposta una policy IAM che conceda a un cliente il ruolo Storage Object User (roles/storage.objectUser), in modo che il cliente possa caricare oggetti nella cartella gestita e rimuoverli dalla cartella gestita.

  4. Per tutte le cartelle gestite, imposta una policy IAM che conceda il ruolo Storage Object Viewer (roles/storage.objectViewer) all'entità allUsers, in modo che gli oggetti immagine nelle cartelle gestite possano essere visualizzati pubblicamente.

    In alternativa, puoi concedere un ruolo personalizzato che assegna a allUsers l'autorizzazione IAM storage.objects.get.

  5. Quando un cliente annulla il proprio account, rimuovi la policy IAM che concede al cliente il ruolo Storage Object User (roles/storage.objectUser) per la cartella gestita associata. Per disattivare l'accesso pubblico agli oggetti all'interno della cartella gestita, rimuovi la policy IAM che concede il ruolo Storage Object Viewer (roles/storage.objectViewer) a allUsers.