Mengonfigurasi Kontrol Layanan VPC

Untuk mengurangi risiko pemindahan data yang tidak sah dari instance AlloyDB untuk PostgreSQL, Anda dapat menggunakan Kontrol Layanan VPC untuk mengonfigurasi perimeter layanan dan tingkat akses yang melindungi resource dan data AlloyDB Anda.

Untuk ringkasan umum Kontrol Layanan VPC, manfaat keamanannya, dan kemampuannya di seluruh produk Google Cloud , lihat Ringkasan Kontrol Layanan VPC.

Sebelum memulai

1. Di konsol Google Cloud , buka halaman Project Selector.

   Buka pemilih project

2. Pilih atau buat Google Cloud project.
   Catatan: Jika Anda tidak berencana untuk menyimpan resource yang Anda buat dalam prosedur ini, buat project baru alih-alih memilih project yang ada. Setelah menyelesaikan langkah ini, Anda dapat menghapus project, yang menghapus semua resource yang terkait dengan project ini.
3. Pastikan penagihan diaktifkan untuk project Google Cloud Anda. Pelajari cara memeriksa apakah penagihan diaktifkan di project.
4. Aktifkan Compute Engine API.

   Mengaktifkan Compute Engine API

5. Aktifkan Service Networking API.

   Aktifkan Service Networking API

6. Tambahkan peran Identity and Access Management (IAM) ke akun pengguna atau layanan yang Anda gunakan untuk menyiapkan dan mengelola Kontrol Layanan VPC. Untuk mengetahui informasi selengkapnya, lihat Peran IAM untuk mengelola Kontrol Layanan VPC.
7. Tinjau batasan saat Anda menggunakan Kontrol Layanan VPC dengan AlloyDB.

Catatan: Jika cluster AlloyDB Anda berada di jaringan VPC Bersama, Anda harus menyertakan project layanan AlloyDB (misalnya, projects/PROJECT_NUMBER) dan project host atau resource jaringan VPC Bersama (misalnya, //compute.googleapis.com/projects/HOST_PROJECT_ID/global/networks/SHARED_VPC_NETWORK) dalam perimeter layanan.

Mengamankan AlloyDB menggunakan Kontrol Layanan VPC

Sebelum memulai, tinjau Ringkasan Kontrol Layanan VPC dan Batasan AlloyDB saat menggunakan Kontrol Layanan VPC.

Mengonfigurasi Kontrol Layanan VPC untuk project AlloyDB mencakup langkah-langkah berikut:

1. Membuat dan mengelola perimeter layanan.

   Pertama, Anda memilih project AlloyDB yang ingin dilindungi oleh perimeter layanan VPC, lalu membuat dan mengelola perimeter layanan.

2. Membuat dan mengelola tingkat akses.

   Secara opsional, untuk mengizinkan akses eksternal ke resource yang dilindungi di dalam perimeter, Anda dapat menggunakan tingkat akses. Tingkat akses hanya berlaku untuk permintaan resource yang dilindungi yang berasal dari luar perimeter layanan. Anda tidak dapat menggunakan tingkat akses untuk memberi resource atau VM yang dilindungi izin untuk mengakses data dan layanan di luar perimeter.

Membuat dan mengelola perimeter layanan

Untuk membuat dan mengelola perimeter layanan, selesaikan langkah-langkah berikut:

1. Pilih project AlloyDB yang ingin Anda lindungi dengan perimeter layanan VPC.

2. Buat perimeter layanan dengan mengikuti petunjuk di bagian Membuat perimeter layanan.

3. Menambahkan lebih banyak instance ke perimeter layanan. Untuk menambahkan instance AlloyDB yang ada ke perimeter, ikuti petunjuk di bagian Memperbarui perimeter layanan.

4. Tambahkan API ke perimeter layanan. Untuk mengurangi risiko pemindahan data yang tidak sah dari AlloyDB, Anda harus membatasi AlloyDB API, Compute Engine API, Cloud Storage API, Artifact Registry API, Certificate Authority Service API, dan Cloud Key Management Service API. Untuk mengetahui informasi selengkapnya tentang cara memperbarui perimeter layanan, lihat perintah gcloud access-context-manager perimeters update.

   Untuk menambahkan API sebagai layanan yang dibatasi, ikuti langkah-langkah berikut:

   Konsol

   1. Di konsol Google Cloud , buka halaman Kontrol Layanan VPC.

      Buka Kontrol Layanan VPC

   2. Di halaman Kontrol Layanan VPC, pada tabel yang ada, klik nama perimeter layanan yang ingin Anda ubah.
   3. Klik Edit.
   4. Di halaman Edit VPC Service Perimeter, klik Add Services.
   5. Tambahkan AlloyDB API, Compute Engine API, Cloud Storage API, Artifact Registry API, Certificate Authority Service API, dan Cloud KMS API.
   6. Klik Simpan.

   gcloud

   gcloud access-context-manager perimeters update PERIMETER_ID \
   --policy=POLICY_ID \
   --add-restricted-services=alloydb.googleapis.com,compute.googleapis.com,storage.googleapis.com,artifactregistry.googleapis.com,privateca.googleapis.com,cloudkms.googleapis.com
   

   Ganti kode berikut:

   • PERIMETER_ID: ID perimeter atau ID yang sepenuhnya memenuhi syarat untuk perimeter.
   • POLICY_ID: ID kebijakan akses.

5. Jika Anda mengaktifkan fitur insight kueri lanjutan, tambahkan databaseinsights.googleapis.com API ke perimeter layanan sebagai layanan yang dibatasi:

   Konsol

   1. Di konsol Google Cloud , buka halaman Kontrol Layanan VPC.

      Buka Kontrol Layanan VPC

   2. Di halaman Kontrol Layanan VPC, pada tabel yang ada, klik nama perimeter layanan yang ingin Anda ubah.
   3. Klik Edit.
   4. Di halaman Edit VPC Service Perimeter, klik Add Services.
   5. Tambahkan databaseinsights.googleapis.com.
   6. Klik Simpan.

   gcloud

   gcloud access-context-manager perimeters update PERIMETER_ID \
   --policy=POLICY_ID \
   --add-restricted-services=databaseinsights.googleapis.com
   

   Ganti kode berikut:

   • PERIMETER_ID: ID perimeter atau ID yang sepenuhnya memenuhi syarat untuk perimeter.
   • POLICY_ID: ID kebijakan akses.

Membuat dan mengelola tingkat akses

Untuk membuat dan mengelola tingkat akses, ikuti petunjuk di Mengizinkan akses ke resource yang dilindungi dari luar perimeter.