Repositories in einem Dienstperimeter schützen

VPC Service Controls helfen Ihnen, Sicherheitsperimeter um Google Cloudverwaltete Dienste zu konfigurieren, um das unbefugte Kopieren oder Übertragen von Daten zu verhindern. Sie können die Artefaktbewegung über die Perimetergrenze hinweg steuern, mit privaten IP-Adressen auf Repositories zugreifen und Regeln für ein- und ausgehenden Traffic für verbundene Dienste konfigurieren.

Artifact Registry mit VPC Service Controls verwenden

Wenn Sie Artifact Registry und private Google Kubernetes Engine-Cluster in einem Projekt innerhalb eines Dienstperimeters verwenden, können Sie auf Container-Images innerhalb des Dienstperimeters sowie auf Google Cloud-bereitgestellte Images zugreifen.

Auf mirror.gcr.io gespeicherte Docker Hub-Images im Cache sind nicht im Dienstperimeter enthalten, es sei denn, es wird eine Regel für ausgehenden Traffic hinzugefügt, um ausgehenden Traffic zum Artifact Registry-Docker-Cache zuzulassen, der mirror.gcr.io hostet.

Wenn Sie mirror.gcr.io innerhalb eines Dienstperimeters verwenden möchten, fügen Sie die folgende Regel für ausgehenden Traffic hinzu:

- egressTo:
    operations:
    - serviceName: artifactregistry.googleapis.com
      methodSelectors:
      - method: artifactregistry.googleapis.com/DockerRead
    resources:
    - projects/342927644502
  egressFrom:
    identityType: ANY_IDENTITY

Informationen zu Regeln für ein- und ausgehenden Traffic finden Sie unter Regeln für ein- und ausgehenden Traffic.

Sie können über die IP-Adressen für die Standarddomains von Google APIs und -Diensten, oder über diese speziellen IP-Adressen auf Artifact Registry zugreifen:

  • 199.36.153.4/30 (restricted.googleapis.com)
  • 199.36.153.8/30 (private.googleapis.com)

Weitere Informationen zu diesen Optionen finden Sie unter Privaten Google-Zugriff konfigurieren. Eine Beispielkonfiguration, die 199.36.153.4/30 (restricted.googleapis.com) verwendet, finden Sie in der Dokumentation zu Registry-Zugriff mit einer virtuellen IP-Adresse.

Achten Sie darauf, dass sich auch die Dienste, die auf Artifact Registry zugreifen müssen, in Google Cloud dem Dienstperimeter befinden, einschließlich Binärautorisierung, Artefaktanalyse und Laufzeitumgebungen wie Google Kubernetes Engine und Cloud Run. Eine Liste der unterstützten Dienste mit Details zu den einzelnen Diensten finden Sie hier.

Allgemeine Anleitungen zum Hinzufügen der Artifact Registry zu einem Dienstperimeter, siehe Dienstperimeter erstellen.

Auf Images in gcr.io-Repositories zugreifen

Wenn Sie auf Images in Artifact Registry-gcr.io-Repositories zugreifen möchten, verwenden Sie beim Festlegen von Richtlinien für ein- und ausgehenden Traffic den Identitätstyp ANY_IDENTITY. Sie können die Identitätstypen ANY_SERVICE_ACCOUNT oder ANY_USER_ACCOUNT nicht für Images in der Domain gcr.io verwenden.

Artifact Analysis mit VPC Service Controls verwenden

Informationen zum Hinzufügen von Artefaktanalyse zu Ihrem Perimeter finden Sie unter Artifact Artefaktanalyse in einem Dienst perimeter schützen.