Configurazione dei Controlli di servizio VPC

Per mitigare il rischio di esfiltrazione di dati dalle istanze AlloyDB per PostgreSQL, puoi utilizzare i Controlli di servizio VPC per configurare perimetri di servizio e livelli di accesso che proteggono le risorse e i dati di AlloyDB.

Per una panoramica generale dei Controlli di servizio VPC, dei relativi vantaggi per la sicurezza e delle relative funzionalità nei prodotti Google Cloud , consulta la panoramica dei Controlli di servizio VPC.

Prima di iniziare

  1. Nella console Google Cloud , vai alla pagina Selettore progetti.

    Vai al selettore di progetti

  2. Seleziona o crea un progetto Google Cloud .
  3. Verifica che la fatturazione sia attivata per il tuo progetto Google Cloud . Scopri come verificare se la fatturazione è abilitata per un progetto.
  4. Abilita l'API Compute Engine

    Abilita l'API Compute Engine

  5. Abilita l'API Service Networking.

    Abilita l'API Service Networking

  6. Aggiungi i ruoli di Identity and Access Management (IAM) all'utente o al service account che utilizzi per configurare e amministrare i Controlli di servizio VPC. Per saperne di più, consulta Ruoli IAM per l'amministrazione dei Controlli di servizio VPC.
  7. Esamina le limitazioni relative all'utilizzo dei Controlli di servizio VPC con AlloyDB.

Proteggi AlloyDB utilizzando i Controlli di servizio VPC

Prima di iniziare, consulta la panoramica dei Controlli di servizio VPC e le limitazioni di AlloyDB quando utilizzi i Controlli di servizio VPC.

La configurazione dei Controlli di servizio VPC per un progetto AlloyDB prevede i seguenti passaggi:

  1. Crea e gestisci un perimetro di servizio.

    Innanzitutto, seleziona il progetto AlloyDB che vuoi proteggere con il perimetro di servizio VPC, quindi crea e gestisci il perimetro di servizio.

  2. Crea e gestisci i livelli di accesso.

    Facoltativamente, per consentire l'accesso esterno alle risorse protette all'interno di un perimetro, puoi utilizzare i livelli di accesso. I livelli di accesso si applicano solo alle richieste di risorse protette provenienti dall'esterno del perimetro di servizio. Non puoi utilizzare i livelli di accesso per concedere alle risorse o alle VM protette l'autorizzazione ad accedere a dati e servizi all'esterno del perimetro.

Crea e gestisci un perimetro di servizio

Per creare e gestire un perimetro di servizio, completa i seguenti passaggi:

  1. Seleziona il progetto AlloyDB che vuoi proteggere con il perimetro di servizio VPC.

  2. Crea un perimetro di servizio seguendo le istruzioni riportate in Creazione di un perimetro di servizio.

  3. Aggiungi altre istanze al perimetro di servizio. Per aggiungere istanze AlloyDB esistenti al perimetro, segui le istruzioni riportate in Aggiornamento di un perimetro di servizio.

  4. Aggiungi le API al perimetro di servizio. Per ridurre il rischio di esfiltrazione dei dati da AlloyDB, devi limitare l'API AlloyDB, l'API Compute Engine, l'API Cloud Storage, l'API Artifact Registry, l'API Certificate Authority Service e l'API Cloud Key Management Service. Per saperne di più sull'aggiornamento dei perimetri di servizio, consulta il comando gcloud access-context-manager perimeters update.

    Per aggiungere API come servizi limitati, segui questi passaggi:

    Console

    1. Nella console Google Cloud , vai alla pagina Controlli di servizio VPC.

      Vai a Controlli di servizio VPC

    2. Nella pagina Controlli di servizio VPC, fai clic sul nome del perimetro di servizio che vuoi modificare nella tabella.
    3. Fai clic su Modifica.
    4. Nella pagina Modifica perimetro di servizio VPC, fai clic su Aggiungi servizi.
    5. Aggiungi API AlloyDB, API Compute Engine, API Cloud Storage, API Artifact Registry, API Certificate Authority Service e API Cloud KMS.
    6. Fai clic su Salva.

    gcloud

    gcloud access-context-manager perimeters update PERIMETER_ID \
--policy=POLICY_ID \
--add-restricted-services=alloydb.googleapis.com,compute.googleapis.com,storage.googleapis.com,artifactregistry.googleapis.com,privateca.googleapis.com,cloudkms.googleapis.com

    Sostituisci quanto segue:

    • PERIMETER_ID: l'ID del perimetro o l'identificatore completo del perimetro.
    • POLICY_ID: l'ID della policy di accesso.

  5. Se hai abilitato le funzionalità avanzate di Query Insights, aggiungi l'API databaseinsights.googleapis.com al perimetro di servizio come servizio limitato:

    Console

    1. Nella console Google Cloud , vai alla pagina Controlli di servizio VPC.

      Vai a Controlli di servizio VPC

    2. Nella pagina Controlli di servizio VPC, fai clic sul nome del perimetro di servizio che vuoi modificare nella tabella.
    3. Fai clic su Modifica.
    4. Nella pagina Modifica perimetro di servizio VPC, fai clic su Aggiungi servizi.
    5. Aggiungi databaseinsights.googleapis.com.
    6. Fai clic su Salva.

    gcloud

    gcloud access-context-manager perimeters update PERIMETER_ID \
--policy=POLICY_ID \
--add-restricted-services=databaseinsights.googleapis.com

    Sostituisci quanto segue:

    • PERIMETER_ID: l'ID del perimetro o l'identificatore completo del perimetro.
    • POLICY_ID: l'ID della policy di accesso.

Crea e gestisci i livelli di accesso

Per creare e gestire i livelli di accesso, segui le istruzioni riportate in Consenti l'accesso alle risorse protette dall'esterno di un perimetro.