Configurer VPC Service Controls

Pour limiter le risque d'exfiltration de données de vos instances AlloyDB pour PostgreSQL, vous pouvez utiliser VPC Service Controls afin de configurer des périmètres de service et des niveaux d'accès qui protègent vos ressources et données AlloyDB.

Pour obtenir une présentation générale de VPC Service Controls, de ses avantages en termes de sécurité et de ses fonctionnalités dans les produits Google Cloud , consultez Présentation de VPC Service Controls.

Avant de commencer

  1. Dans la console Google Cloud , accédez à la page Sélecteur de projet.

    Accéder au sélecteur de projet

  2. Sélectionnez ou créez un projet Google Cloud .
  3. Assurez-vous que la facturation est activée pour votre projet Google Cloud . Découvrez comment vérifier si la facturation est activée sur un projet.
  4. Activez l'API Compute Engine.

    Activer l'API Compute Engine

  5. Activez l'API Service Networking.

    Activer l'API Service Networking

  6. Ajoutez les rôles IAM (Identity and Access Management) au compte utilisateur ou de service que vous utilisez pour configurer et administrer VPC Service Controls. Pour en savoir plus, consultez Rôles IAM pour l'administration de VPC Service Controls.
  7. Consultez les limites applicables à l'utilisation de VPC Service Controls avec AlloyDB.

Sécuriser AlloyDB à l'aide de VPC Service Controls

Avant de commencer, consultez la présentation de VPC Service Controls et les limites d'AlloyDB lors de l'utilisation de VPC Service Controls.

La configuration de VPC Service Controls pour un projet AlloyDB comprend les étapes suivantes :

  1. Créer et gérer un périmètre de service

    Tout d'abord, vous sélectionnez le projet AlloyDB que vous souhaitez protéger avec le périmètre de service VPC, puis vous créez et gérez le périmètre de service.

  2. Créer et gérer des niveaux d'accès

    Vous pouvez éventuellement utiliser des niveaux d'accès pour autoriser l'accès externe aux ressources protégées d'un périmètre. Les niveaux d'accès ne s'appliquent qu'aux requêtes effectuées depuis l'extérieur du périmètre de service et concernant des ressources protégées. Vous ne pouvez pas utiliser les niveaux d'accès pour autoriser des ressources protégées ou des VM à accéder à des données et des services en dehors du périmètre.

Créer et gérer un périmètre de service

Pour créer et gérer un périmètre de service, procédez comme suit :

  1. Sélectionnez le projet AlloyDB que le périmètre de service VPC doit protéger.

  2. Créez un périmètre de service en suivant les instructions de la section Créer un périmètre de service.

  3. Ajoutez d'autres instances au périmètre de service. Pour ajouter des instances AlloyDB existantes au périmètre, suivez les instructions de la section Mettre à jour un périmètre de service.

  4. Ajoutez des API au périmètre de service. Pour limiter le risque d'exfiltration de vos données depuis AlloyDB, vous devez restreindre l'API AlloyDB, l'API Compute Engine, l'API Cloud Storage, l'API Artifact Registry, l'API Certificate Authority Service et l'API Cloud Key Management Service. Pour en savoir plus sur la mise à jour des périmètres de service, consultez la commande gcloud access-context-manager perimeters update.

    Pour ajouter des API en tant que services restreints, procédez comme suit :

    Console

    1. Dans la console Google Cloud , accédez à la page VPC Service Controls.

      Accéder à VPC Service Controls

    2. Sur la page VPC Service Controls, dans le tableau, cliquez sur le nom du périmètre de service que vous souhaitez modifier.
    3. Cliquez sur Modifier.
    4. Sur la page Modifier le périmètre de service VPC, cliquez sur Ajouter des services.
    5. Ajoutez l'API AlloyDB, l'API Compute Engine, l'API Cloud Storage, l'API Artifact Registry, l'API Certificate Authority Service et l'API Cloud KMS.
    6. Cliquez sur Enregistrer.

    gcloud

    gcloud access-context-manager perimeters update PERIMETER_ID \
--policy=POLICY_ID \
--add-restricted-services=alloydb.googleapis.com,compute.googleapis.com,storage.googleapis.com,artifactregistry.googleapis.com,privateca.googleapis.com,cloudkms.googleapis.com

    Remplacez les éléments suivants :

    • PERIMETER_ID : ID du périmètre ou identifiant complet du périmètre.
    • POLICY_ID : ID de la règle d'accès.

  5. Si vous avez activé les fonctionnalités avancées d'Insights sur les requêtes, ajoutez l'API databaseinsights.googleapis.com au périmètre de service en tant que service restreint :

    Console

    1. Dans la console Google Cloud , accédez à la page VPC Service Controls.

      Accéder à VPC Service Controls

    2. Sur la page VPC Service Controls, dans le tableau, cliquez sur le nom du périmètre de service que vous souhaitez modifier.
    3. Cliquez sur Modifier.
    4. Sur la page Modifier le périmètre de service VPC, cliquez sur Ajouter des services.
    5. Ajoutez databaseinsights.googleapis.com.
    6. Cliquez sur Enregistrer.

    gcloud

    gcloud access-context-manager perimeters update PERIMETER_ID \
--policy=POLICY_ID \
--add-restricted-services=databaseinsights.googleapis.com

    Remplacez les éléments suivants :

    • PERIMETER_ID : ID du périmètre ou identifiant complet du périmètre.
    • POLICY_ID : ID de la règle d'accès.

Créer et gérer des niveaux d'accès

Pour créer et gérer des niveaux d'accès, suivez les instructions de la section Autoriser l'accès aux ressources protégées depuis l'extérieur d'un périmètre.