Protéger les dépôts dans un périmètre de service

VPC Service Controls vous aide à configurer des périmètres de sécurité autour des services gérés par Google Cloudpour empêcher la copie ou le transfert non autorisé de données. Vous pouvez contrôler le déplacement des artefacts au-delà de la limite du périmètre, accéder aux dépôts à l'aide d'adresses IP privées et configurer des règles d'entrée et de sortie pour les services connectés.

Utiliser Artifact Registry avec VPC Service Controls

Si vous utilisez Artifact Registry et des clusters privés Google Kubernetes Engine dans un projet au sein d'un périmètre de service, vous pouvez accéder aux images de conteneurs à l'intérieur du périmètre de service, ainsi qu'aux images fournies par Google CloudGoogle Cloud.

Les images Docker Hub mises en cache stockées sur mirror.gcr.io ne sont pas incluses dans le périmètre de service, sauf si une règle de sortie est ajoutée pour autoriser la sortie vers le cache Docker Artifact Registry qui héberge mirror.gcr.io.

Pour utiliser mirror.gcr.io dans un périmètre de service, ajoutez la règle de sortie suivante :

- egressTo:
    operations:
    - serviceName: artifactregistry.googleapis.com
      methodSelectors:
      - method: artifactregistry.googleapis.com/DockerRead
    resources:
    - projects/342927644502
  egressFrom:
    identityType: ANY_IDENTITY

Pour en savoir plus sur les règles d'entrée et de sortie, consultez la section Règles d'entrée et de sortie.

Vous pouvez accéder à Artifact Registry à l'aide des adresses IP des API Google par défaut et des domaines de service, ou en utilisant les adresses IP spéciales suivantes :

• 199.36.153.4/30 (restricted.googleapis.com)
• 199.36.153.8/30 (private.googleapis.com)

Pour en savoir plus sur ces options, consultez la page Configurer l'accès privé à Google. Pour obtenir un exemple de configuration utilisant 199.36.153.4/30 (restricted.googleapis.com), consultez la documentation sur l'accès au registre à l'aide d'une adresse IP virtuelle.

Assurez-vous que les Google Cloud services qui doivent accéder à Artifact Registry se trouvent également dans le périmètre de service, y compris autorisation binaire, Artifact Analysis, et les environnements d'exécution tels que Google Kubernetes Engine et Cloud Run. Pour en savoir plus sur chaque service, consultez la liste des services compatibles.

Pour obtenir des instructions générales concernant l'ajout d'Artifact Registry à un périmètre de service, consultez la page Créer un périmètre de service.

Accéder aux images dans les dépôts gcr.io

Pour accéder aux images dans les dépôts gcr.io d'Artifact Registry, lorsque vous définissez des règles d'entrée ou de sortie, utilisez le type d'identité ANY_IDENTITY. Vous ne pouvez pas utiliser les types d'identité ANY_SERVICE_ACCOUNT ni ANY_USER_ACCOUNT pour les images du domaine gcr.io.

Utiliser Artifact Analysis avec VPC Service Controls

Pour savoir comment ajouter Artifact Analysis à votre périmètre, consultez la section Sécuriser Artifact Analysis dans un périmètre de service.