Solo escribimos: cada archivo entero, dentro de mercamap/ en el prefijo o la carpeta que indiques, y nunca leemos, listamos, renombramos ni borramos nada. Así que el secreto que nos des solo necesita escribir ahí y nada más. Crea uno solo para MercaMap, para poder revocarlo sin tocar nada tuyo.
Abre Conectores, entra en el recuadro de tu almacenamiento y sigue sus cuatro pasos (Exportaciones a tu propio almacenamiento). Conecta guarda el lugar y el secreto, con la conexión en pausa; si aún no ha hecho ningún envío, o el último falló, un lugar o un secreto nuevos anulan la última prueba y la dejan otra vez en pausa. Da acceso enumera lo que tienes que hacer por tu parte (abajo, almacenamiento por almacenamiento): cada punto dice en qué pantalla se hace y trae plegado lo que hay que pegar, con Copiar. Comprobar hace nuestra prueba hasta ese punto y marca cada punto al que llega como «Comprobado» o «No pasa»; un punto con el que la prueba pasa igual (la condición de Cloud Storage, la directiva de Azure) no lo tiene y dice cómo verlo en tu lado. Elige los datos acota los conjuntos de datos, cada uno con sus filas de la última semana que escribieron tus envíos, si ya hay alguna, y Prueba y activa ofrece Activar cuando Probar la conexión sale bien. En Amazon S3, Cloud Storage y Azure la prueba es una sola escritura, así que Comprobar en cualquier punto que lo tenga es la prueba completa. Cuando la conexión ya escribe sin fallos, esta lista se queda plegada en Da acceso.
Amazon S3
- Conecta: en IAM › Usuarios, crea un usuario para MercaMap sin acceso a la consola de AWS y, en sus Credenciales de seguridad, una clave de acceso de AWS. Pega su ID y su clave secreta, con el bucket, su región y el prefijo, en el formulario. Cada archivo es un
PutObjectfirmado con esa clave; el secreto nunca viaja. - Da acceso: en IAM › Usuarios, abre el usuario y, en Permisos › Agregar permisos › Crear política insertada, pega esta política, que el punto muestra con tu bucket y tu prefijo:
{
"Version": "2012-10-17",
"Statement": [
{
"Effect": "Allow",
"Action": "s3:PutObject",
"Resource": "arn:aws:s3:::BUCKET/PREFIX/mercamap/*"
}
]
}
- Si el bucket cifra con una clave tuya de AWS KMS, permite también al usuario
kms:GenerateDataKeysobre esa clave, en su Política de claves, dentro de AWS KMS › Claves administradas por el cliente: escribir en un bucket con SSE-KMS lo necesita. Con el cifrado predeterminado del bucket, no hace falta nada más.
Para cambiar la clave, crea una nueva, pégala, prueba la conexión y solo entonces borra la antigua.
Google Cloud Storage
Escribimos con la API XML de Cloud Storage y una clave HMAC de una cuenta de servicio.
- Conecta: crea una cuenta de servicio para MercaMap en IAM y administración › Cuentas de servicio y, en Cloud Storage › Configuración › Interoperabilidad, una clave HMAC para ella; pega su ID de acceso y su secreto, con el bucket y el prefijo, en el formulario.
- Da acceso: en Cloud Storage › Segmentos, abre el bucket y, en Permisos › Conceder acceso, da a la cuenta de servicio el rol Creador de objetos de Storage (
roles/storage.objectCreator) solo en el bucket, no en el proyecto (roles de Cloud Storage). Con él crea objetos y no puede leerlos, listarlos, sustituirlos ni borrarlos. - Para que no salga del prefijo, añade en ese mismo acceso, con Añadir condición, la condición que muestra el punto sobre el nombre del objeto, que empiece por
projects/_/buckets/BUCKET/objects/PREFIX/mercamap/. Esa condición pide el acceso uniforme del bucket.
Cada escritura pide que aún no exista ningún objeto con ese nombre (x-goog-if-generation-match: 0), así que un envío que se corta y se repite nunca necesita sustituir un archivo: la respuesta de que el archivo ya está cuenta como escrito.
Azure Blob Storage
Escribimos con un token de firma de acceso compartido (SAS) de un contenedor.
- Conecta: en el contenedor, con Generar SAS, crea un SAS de servicio con los permisos Crear y Escribir y ningún otro, solo HTTPS en Protocolos permitidos y con fecha de expiración. Pégalo con la cuenta, el contenedor y el prefijo. El formulario rechaza un token que pueda leer, listar o borrar.
- Recomendado: ata el token a una directiva de acceso almacenada. Así, borrar la directiva lo revoca al momento; sin ella, solo lo revoca regenerar la clave de la cuenta. Crea antes la directiva, solo con su nombre, en Más (…) › Directiva de acceso › Agregar directiva del contenedor, y después el token a partir de ella, con sus permisos y su fecha de expiración: Azure no los admite en los dos sitios, y nosotros los leemos en el token.
- Da acceso: en Seguridad y redes › Redes › Administrar de la cuenta de almacenamiento, el acceso público tiene que estar Habilitado en todas las redes: escribimos desde direcciones que cambian, y un firewall que solo deja pasar direcciones de una lista nos rechaza. El token SAS sigue siendo la única llave.
La página muestra cuándo caduca el token; antes de esa fecha, crea otro y pégalo, sin cambiar lo demás. Cada archivo es un Put Blob de un blob en bloques.
SFTP
- Conecta: crea un usuario para MercaMap que entre con una clave propia, hecha solo para él: Ed25519 o ECDSA, o RSA de 3.072 bits o más, sin frase de contraseña. Añade su mitad pública al
authorized_keysdel usuario y pega la mitad privada en el formulario; también vale una contraseña. Indica el nombre del servidor y el puerto (el 22 de SFTP, o uno alto), la carpeta, que ya debe existir y empieza por/o por~, y el usuario. - Da acceso, en el orden de la prueba: primero, la clave del servidor. Comprobar lee la clave que presenta el servidor, sin entrar, y te enseña su huella: compárala con la que da en el servidor el comando del punto y, si coinciden, pega la que muestra la página en Huella de la clave del servidor, en el mismo punto. Nunca entramos en un servidor cuya clave no sea esa. Después, Comprobar en el punto del usuario entra con él.
- Encierra al usuario en la carpeta: que pueda crear carpetas y escribir archivos en ella, y nada por encima. En OpenSSH lo consigue un bloque
Match UserconChrootDirectoryyForceCommand internal-sftp(sshd_config). OpenSSH pide queChrootDirectorysea de root, sin permiso de escritura para nadie más, así que la carpeta de Conecta es una subcarpeta suya, escrita como la ve el usuario (/data). Comprobar en este punto es la prueba completa.
Creamos mercamap/ y sus carpetas dentro de la tuya; si ya existe alguna, no pasa nada.