הגדרת VPC Service Controls

כדי לצמצם את הסיכון לזליגת נתונים ממכונות AlloyDB ל-PostgreSQL, אתם יכולים להשתמש ב-VPC Service Controls כדי להגדיר גבולות גזרה לשירות ורמות גישה שמגינות על המשאבים והנתונים של AlloyDB.

במאמר סקירה כללית על VPC Service Controls תוכלו לקרוא סקירה כללית על VPC Service Controls, על יתרונות האבטחה שלו ועל היכולות שלו במוצרי Google Cloud .

לפני שמתחילים

  1. נכנסים לדף Project Selector במסוף Google Cloud .

    כניסה לדף לבחירת הפרויקט

  2. בוחרים או יוצרים פרויקט ב- Google Cloud .
  3. מוודאים שהחיוב מופעל בפרויקט ב- Google Cloud . כך בודקים אם החיוב מופעל בפרויקט
  4. מפעילים את Compute Engine API.

    הפעלת Compute Engine API

  5. מפעילים את Service Networking API.

    הפעלת Service Networking API

  6. מוסיפים את התפקידים של ניהול זהויות והרשאות גישה (IAM) לחשבון המשתמש או לחשבון השירות שמשמשים להגדרה ולניהול של VPC Service Controls. מידע נוסף זמין במאמר תפקידי IAM לניהול VPC Service Controls.
  7. כדאי לעיין ב מגבלות כשמשתמשים ב-VPC Service Controls עם AlloyDB.

אבטחת AlloyDB באמצעות VPC Service Controls

לפני שמתחילים, כדאי לקרוא את הסקירה הכללית על VPC Service Controls ואת המגבלות של AlloyDB כשמשתמשים ב-VPC Service Controls.

כדי להגדיר את VPC Service Controls לפרויקט ב-AlloyDB:

  1. יצירה וניהול של גבולות גזרה לשירות

    קודם בוחרים את הפרויקט ב-AlloyDB שרוצים להגן עליו באמצעות גבולות הגזרה לשירות של VPC, ואז יוצרים ומנהלים את גבולות הגזרה לשירות.

  2. יצירה וניהול של רמות גישה.

    אם רוצים לאפשר גישה חיצונית למשאבים מוגנים בתוך היקף ההרשאות, אפשר להשתמש ברמות גישה. רמות הגישה חלות רק על בקשות למשאבים מוגנים שמגיעות מחוץ לגבולות הגזרה לשירות. אי אפשר להשתמש ברמות גישה כדי לתת למשאבים מוגנים או למכונות וירטואליות הרשאה לגשת לנתונים ולשירותים מחוץ להיקף.

יצירה וניהול של גבולות גזרה לשירות

כדי ליצור ולנהל גבולות גזרה לשירות:

  1. בוחרים את הפרויקט ב-AlloyDB שרוצים להגן עליו באמצעות גבולות הגזרה לשירות ב-VPC.

  2. יוצרים גבולות גזרה לשירות לפי ההוראות במאמר יצירת גבולות גזרה לשירות.

  3. מוסיפים עוד מכונות לגבולות הגזרה לשירות. כדי להוסיף מכונות קיימות של AlloyDB לגבולות הגזרה, פועלים לפי ההוראות במאמר עדכון של גבולות גזרה לשירות.

  4. מוסיפים ממשקי API לגבולות הגזרה לשירות. כדי לצמצם את הסיכון לזליגת נתונים מ-AlloyDB, צריך להגביל את הגישה לממשקי ה-API הבאים: AlloyDB API,‏ Compute Engine API,‏ Cloud Storage API,‏ Artifact Registry API,‏ Certificate Authority Service API ו-Cloud Key Management Service API. למידע נוסף על עדכון גבולות גזרה לשירות, קראו על הפקודה gcloud access-context-manager perimeters update.

    כדי להוסיף ממשקי API כשירותים מוגבלים:

    המסוף

    1. נכנסים לדף VPC Service Controls במסוף Google Cloud .

      כניסה ל-VPC Service Controls

    2. בדף VPC Service Controls, בטבלה, לוחצים על השם של גבולות הגזרה לשירות שרוצים לשנות.
    3. לוחצים על Edit.
    4. בדף Edit VPC Service Perimeter, לוחצים על Add Services.
    5. מוסיפים את ממשקי ה-API הבאים: AlloyDB API,‏ Compute Engine API,‏ Cloud Storage API,‏ Artifact Registry API,‏ Certificate Authority Service API ו-Cloud KMS API.
    6. לוחצים על Save.

    gcloud

    gcloud access-context-manager perimeters update PERIMETER_ID \
--policy=POLICY_ID \
--add-restricted-services=alloydb.googleapis.com,compute.googleapis.com,storage.googleapis.com,artifactregistry.googleapis.com,privateca.googleapis.com,cloudkms.googleapis.com

    מחליפים את מה שכתוב בשדות הבאים:

    • ‫PERIMETER_ID: המזהה של ההיקף או המזהה המלא של ההיקף.
    • ‫POLICY_ID: המזהה של מדיניות הגישה.

  5. אם הפעלתם את התכונות המתקדמות של תובנות לגבי שאילתות, הוסיפו את ה-API של databaseinsights.googleapis.com לגבולות הגזרה לשירות כשירות מוגבל:

    המסוף

    1. נכנסים לדף VPC Service Controls במסוף Google Cloud .

      כניסה ל-VPC Service Controls

    2. בדף VPC Service Controls, בטבלה, לוחצים על השם של גבולות הגזרה לשירות שרוצים לשנות.
    3. לוחצים על Edit.
    4. בדף Edit VPC Service Perimeter, לוחצים על Add Services.
    5. מוסיפים את databaseinsights.googleapis.com.
    6. לוחצים על Save.

    gcloud

    gcloud access-context-manager perimeters update PERIMETER_ID \
--policy=POLICY_ID \
--add-restricted-services=databaseinsights.googleapis.com

    מחליפים את מה שכתוב בשדות הבאים:

    • ‫PERIMETER_ID: המזהה של ההיקף או המזהה המלא של ההיקף.
    • ‫POLICY_ID: המזהה של מדיניות הגישה.

יצירה וניהול של רמות גישה

כדי ליצור ולנהל רמות גישה, פועלים לפי ההוראות במאמר מתן גישה למשאבים מוגנים מחוץ להיקף ההרשאות.