VPC Service Controls konfigurieren

Sie können mit VPC Service Controls Dienstperimeter und Zugriffsebenen konfigurieren, die Ihre AlloyDB-Ressourcen und -Daten schützen, um das Risiko einer Daten-Exfiltration aus Ihren AlloyDB for PostgreSQL-Instanzen zu verringern.

Eine allgemeine Übersicht über VPC Service Controls, die Sicherheitsvorteile und die Funktionen für Google Cloud -Produkte finden Sie unter VPC Service Controls.

Hinweis

1. Rufen Sie in der Google Cloud Console die Seite Projektauswahl auf.

   Zur Projektauswahl

2. Wählen Sie ein Google Cloud -Projekt aus oder erstellen Sie eines.
   Hinweis: Wenn Sie die Ressourcen, die Sie in diesem Verfahren erstellen, nicht behalten möchten, erstellen Sie ein Projekt, anstatt ein vorhandenes Projekt auszuwählen. Wenn Sie fertig sind, können Sie das Projekt löschen und dadurch alle mit ihm verknüpften Ressourcen entfernen.
3. Die Abrechnung für Ihr Google Cloud -Projekt muss aktiviert sein. So prüfen Sie, ob die Abrechnung für ein Projekt aktiviert ist
4. Aktivieren Sie die Compute Engine API.

   Compute Engine API aktivieren

5. Aktivieren Sie die Service Networking API.

   Service Networking API aktivieren

6. Fügen Sie dem Nutzer- oder Dienstkonto, das Sie zum Einrichten und Verwalten von VPC Service Controls verwenden, die IAM-Rollen (Identity and Access Management) hinzu. Weitere Informationen finden Sie unter IAM-Rollen für die Verwaltung von VPC Service Controls.
7. Sehen Sie sich die Einschränkungen bei der Verwendung von VPC Service Controls mit AlloyDB an.

Hinweis: Wenn sich Ihr AlloyDB-Cluster in einem gemeinsam genutzten VPC-Netzwerk befindet, müssen Sie sowohl Ihr AlloyDB-Dienstprojekt (z. B. projects/PROJECT_NUMBER) als auch das Hostprojekt oder die freigegebene VPC-Netzwerkressource (z. B. //compute.googleapis.com/projects/HOST_PROJECT_ID/global/networks/SHARED_VPC_NETWORK) in den Dienstperimeter aufnehmen.

AlloyDB mit VPC Service Controls schützen

Lesen Sie sich vor dem Start die Übersicht über VPC Service Controls und die AlloyDB-Einschränkungen bei der Verwendung von VPC Service Controls durch.

Die Konfiguration von VPC Service Controls für ein AlloyDB-Projekt umfasst die folgenden Schritte:

1. Dienstperimeter erstellen und verwalten

   Zuerst wählen Sie das AlloyDB-Projekt aus, das durch den VPC-Dienstperimeter geschützt werden soll. Anschließend erstellen und verwalten Sie den Dienstperimeter.

2. Zugriffsebenen erstellen und verwalten

   Optional können Sie Zugriffsebenen verwenden, um externen Zugriff auf geschützte Ressourcen innerhalb eines Perimeters zuzulassen. Zugriffsebenen gelten nur für Anfragen für geschützte Ressourcen, die von außerhalb des Dienstperimeters stammen. Sie können keine Zugriffsebenen verwenden, um geschützten Ressourcen oder VMs die Berechtigung zu erteilen, auf Daten und Dienste außerhalb des Perimeters zuzugreifen.

Dienstperimeter erstellen und verwalten

So erstellen und verwalten Sie einen Dienstperimeter:

1. Wählen Sie das AlloyDB-Projekt aus, das durch den VPC-Dienstperimeter geschützt werden soll.

2. Erstellen Sie einen Dienstperimeter, indem Sie der Anleitung unter Dienstperimeter erstellen folgen.

3. Fügen Sie dem Dienstperimeter weitere Instanzen hinzu. Wenn Sie vorhandene AlloyDB-Instanzen zum Perimeter hinzufügen möchten, folgen Sie der Anleitung unter Dienstperimeter aktualisieren.

4. Fügen Sie dem Dienstperimeter APIs hinzu. Um das Risiko einer Daten-Exfiltration aus AlloyDB zu minimieren, müssen Sie die AlloyDB API, die Compute Engine API, die Cloud Storage API, die Artifact Registry API, die Certificate Authority Service API und die Cloud Key Management Service API einschränken. Weitere Informationen zum Aktualisieren von Dienstperimetern finden Sie im Befehl gcloud access-context-manager perimeters update.

   So fügen Sie APIs als eingeschränkte Dienste hinzu:

   Console

   1. Wechseln Sie in der Google Cloud Console zur Seite VPC Service Controls.

      Zu „VPC Service Controls“

   2. Klicken Sie in der Tabelle auf der Seite VPC Service Controls auf den Namen des Dienstperimeters, den Sie ändern möchten.
   3. Klicken Sie auf Bearbeiten.
   4. Klicken Sie auf der Seite VPC-Dienstperimeter bearbeiten auf Dienste hinzufügen.
   5. Fügen Sie die AlloyDB API, die Compute Engine API, die Cloud Storage API, die Artifact Registry API, die Certificate Authority Service API und die Cloud KMS API hinzu.
   6. Klicken Sie auf Speichern.

   gcloud

   gcloud access-context-manager perimeters update PERIMETER_ID \
   --policy=POLICY_ID \
   --add-restricted-services=alloydb.googleapis.com,compute.googleapis.com,storage.googleapis.com,artifactregistry.googleapis.com,privateca.googleapis.com,cloudkms.googleapis.com
   

   Ersetzen Sie Folgendes:

   • PERIMETER_ID: die ID des Perimeters oder die voll qualifizierte Kennzeichnung für den Perimeter.
   • POLICY_ID ist die ID der Zugriffsrichtlinie.

5. Wenn Sie erweiterte Query Insights-Funktionen aktiviert haben, fügen Sie die databaseinsights.googleapis.com API dem Dienstperimeter als eingeschränkten Dienst hinzu:

   Console

   1. Wechseln Sie in der Google Cloud Console zur Seite VPC Service Controls.

      Zu „VPC Service Controls“

   2. Klicken Sie in der Tabelle auf der Seite VPC Service Controls auf den Namen des Dienstperimeters, den Sie ändern möchten.
   3. Klicken Sie auf Bearbeiten.
   4. Klicken Sie auf der Seite VPC-Dienstperimeter bearbeiten auf Dienste hinzufügen.
   5. Fügen Sie databaseinsights.googleapis.com hinzu.
   6. Klicken Sie auf Speichern.

   gcloud

   gcloud access-context-manager perimeters update PERIMETER_ID \
   --policy=POLICY_ID \
   --add-restricted-services=databaseinsights.googleapis.com
   

   Ersetzen Sie Folgendes:

   • PERIMETER_ID: die ID des Perimeters oder die voll qualifizierte Kennzeichnung für den Perimeter.
   • POLICY_ID ist die ID der Zugriffsrichtlinie.

Zugriffsebenen erstellen und verwalten

Folgen Sie der Anleitung unter Zugriff auf geschützte Ressourcen von außerhalb eines Perimeters zulassen, um Zugriffsebenen zu erstellen und zu verwalten.