Melindungi repositori di perimeter layanan

Kontrol Layanan VPC membantu Anda mengonfigurasi perimeter keamanan di sekitar Google Cloudlayanan terkelola Google untuk membantu mencegah penyalinan atau transfer data yang tidak sah. Anda dapat mengontrol pergerakan artefak di seluruh batas perimeter, mengakses repositori menggunakan alamat IP pribadi, serta mengonfigurasi aturan ingress dan egress untuk layanan yang terhubung.

Menggunakan Artifact Registry dengan Kontrol Layanan VPC

Jika Anda menggunakan Artifact Registry dan cluster pribadi Google Kubernetes Engine dalam project di dalam perimeter layanan, Anda dapat mengakses image container di dalam perimeter layanan serta image yang disediakan olehGoogle Cloud.

Image Docker Hub yang di-cache dan disimpan di mirror.gcr.io tidak disertakan dalam perimeter layanan kecuali jika aturan keluar ditambahkan untuk mengizinkan keluar ke cache Docker Artifact Registry yang menghosting mirror.gcr.io.

Untuk menggunakan mirror.gcr.io dalam perimeter layanan, tambahkan aturan egress berikut:

- egressTo:
    operations:
    - serviceName: artifactregistry.googleapis.com
      methodSelectors:
      - method: artifactregistry.googleapis.com/DockerRead
    resources:
    - projects/342927644502
  egressFrom:
    identityType: ANY_IDENTITY

Untuk mempelajari aturan ingress dan egress, lihat Aturan ingress dan egress.

Anda dapat mengakses Artifact Registry menggunakan alamat IP untuk domain default Google API dan layanan Google, atau menggunakan alamat IP khusus ini:

  • 199.36.153.4/30 (restricted.googleapis.com)
  • 199.36.153.8/30 (private.googleapis.com)

Untuk mengetahui detail tentang opsi ini, lihat Mengonfigurasi Akses Google Pribadi. Untuk contoh konfigurasi yang menggunakan 199.36.153.4/30 (restricted.googleapis.com), lihat dokumentasi untuk akses registry dengan IP virtual.

Pastikan layanan Google Cloud yang perlu mengakses Artifact Registry juga berada di perimeter layanan, termasuk Otorisasi Biner, Artifact Analysis, dan lingkungan runtime seperti Google Kubernetes Engine dan Cloud Run. Lihat daftar layanan yang didukung untuk mengetahui detail tentang setiap layanan.

Untuk mengetahui petunjuk umum cara menambahkan Artifact Registry ke perimeter layanan, lihat Membuat perimeter layanan.

Mengakses image di repositori gcr.io

Untuk mengakses image di repositori gcr.io Artifact Registry, saat menetapkan kebijakan ingress atau egress, gunakan jenis identitas ANY_IDENTITY. Anda tidak dapat menggunakan jenis identitas ANY_SERVICE_ACCOUNT atau ANY_USER_ACCOUNT untuk image di domain gcr.io.

Menggunakan Artifact Analysis dengan Kontrol Layanan VPC

Untuk mempelajari cara menambahkan Artifact Analysis ke perimeter Anda, lihat mengamankan Artifact Analysis di perimeter layanan.