Proteggere i repository in un perimetro di servizio

I Controlli di servizio VPC ti aiutano a configurare perimetri di sicurezza intorno ai Google Cloudservizi gestiti per impedire la copia o il trasferimento non autorizzati di dati. Puoi controllare lo spostamento degli artefatti oltre il confine del perimetro, accedere ai repository utilizzando indirizzi IP privati e configurare regole in entrata e in uscita per i servizi connessi.

Utilizzo di Artifact Registry con Controlli di servizio VPC

Se utilizzi Artifact Registry e cluster privati Google Kubernetes Engine in un progetto all'interno di un perimetro di servizio, puoi accedere alle immagini container all'interno del perimetro di servizio, nonché alle immagini Google Cloudfornite.

Le immagini Docker Hub memorizzate nella cache su mirror.gcr.io non sono incluse nel perimetro di servizio, a meno che non venga aggiunta una regola in uscita per consentire l'uscita dalla cache Docker di Artifact Registry che ospita mirror.gcr.io.

Per utilizzare mirror.gcr.io all'interno di un perimetro di servizio, aggiungi la seguente regola in uscita:

- egressTo:
    operations:
    - serviceName: artifactregistry.googleapis.com
      methodSelectors:
      - method: artifactregistry.googleapis.com/DockerRead
    resources:
    - projects/342927644502
  egressFrom:
    identityType: ANY_IDENTITY

Per informazioni sulle regole in entrata e in uscita, consulta Regole in entrata e in uscita.

Puoi accedere ad Artifact Registry utilizzando gli indirizzi IP per i domini predefiniti delle API di Google e dei servizi, o utilizzando questi indirizzi IP speciali:

• 199.36.153.4/30 (restricted.googleapis.com)
• 199.36.153.8/30 (private.googleapis.com)

Per informazioni dettagliate su queste opzioni, consulta Configurazione dell'accesso privato Google. Per un esempio di configurazione che utilizza 199.36.153.4/30 (restricted.googleapis.com), consulta la documentazione relativa all'accesso al registro con un IP virtuale.

Assicurati che Google Cloud anche i servizi che devono accedere ad Artifact Registry si trovino nel perimetro di servizio, inclusi Autorizzazione binaria, Artifact Analysis, e ambienti di runtime come Google Kubernetes Engine e Cloud Run. Per informazioni dettagliate su ogni servizio, consulta l' elenco dei servizi supportati.

Per istruzioni generali su come aggiungere Artifact Registry a un perimetro di servizio, consulta Creazione di un perimetro di servizio.

Accedere alle immagini nei repository gcr.io

Per accedere alle immagini nei repository gcr.io di Artifact Registry, quando imposti le policy in entrata o in uscita, utilizza il tipo di identità ANY_IDENTITY. Non puoi utilizzare i tipi di identità ANY_SERVICE_ACCOUNT o ANY_USER_ACCOUNT per le immagini nel dominio gcr.io.

Utilizzo di Artifact Analysis con Controlli di servizio VPC

Per scoprire come aggiungere Artifact Analysis al tuo perimetro, consulta la protezione di Artifact Analysis in un perimetro di servizio.