Protege repositorios en un perímetro de servicio

Los Controles del servicio de VPC te ayudan a configurar perímetros de seguridad en torno a los servicios administrados por Google Cloudpara evitar la copia o transferencia de datos no autorizadas. Puedes controlar el movimiento de artefactos a través del límite del perímetro, acceder a repositorios con direcciones IP privadas y configurar reglas de entrada y salida para los servicios conectados.

Usa Artifact Registry con los Controles del servicio de VPC

Si usas Artifact Registry y clústeres privados de Google Kubernetes Engine en un proyecto dentro de un perímetro de servicio, puedes acceder a imágenes de contenedor dentro del perímetro de servicio, así como a imágenes proporcionadas por Google Cloud.

Las imágenes almacenadas en caché de Docker Hub almacenadas en mirror.gcr.io no se incluyen en el perímetro de servicio, a menos que se agregue una regla de salida para permitir la salida a la caché de Docker de Artifact Registry que aloja mirror.gcr.io.

Para usar mirror.gcr.io dentro de un perímetro de servicio, agrega la siguiente regla de salida:

- egressTo:
    operations:
    - serviceName: artifactregistry.googleapis.com
      methodSelectors:
      - method: artifactregistry.googleapis.com/DockerRead
    resources:
    - projects/342927644502
  egressFrom:
    identityType: ANY_IDENTITY

Para obtener información sobre las reglas de entrada y salida, consulta Reglas de entrada y salida.

Puedes acceder a Artifact Registry con las direcciones IP de los dominios predeterminados de los servicios y las APIs de Google, o con estas direcciones IP especiales:

• 199.36.153.4/30 (restricted.googleapis.com)
• 199.36.153.8/30 (private.googleapis.com)

Para obtener detalles acerca de estas opciones, consulta Cómo configurar el Acceso privado a Google. Para ver una configuración de ejemplo que usa 199.36.153.4/30 (restricted.googleapis.com), consulta la documentación sobre el acceso de registro con una IP virtual.

Asegúrate de que los servicios que necesitan acceder a Artifact Registry también estén en Google Cloud el perímetro de servicio, incluidos Autorización Binaria, Artifact Analysis, y entornos de ejecución como Google Kubernetes Engine y Cloud Run. Consulta la lista de servicios compatibles para obtener detalles sobre cada servicio.

Para obtener instrucciones generales sobre cómo agregar Artifact Registry a un perímetro de servicio, consulta Crear un perímetro de servicio.

Accede a imágenes en repositorios gcr.io

Para acceder a imágenes en repositorios gcr.io de Artifact Registry, cuando configures políticas de entrada o salida, usa el tipo de identidad ANY_IDENTITY. No puedes usar los tipos de identidad ANY_SERVICE_ACCOUNT o ANY_USER_ACCOUNT para imágenes en el dominio gcr.io.

Usa Artifact Analysis con los Controles del servicio de VPC

Para obtener información sobre cómo agregar Artifact Analysis a tu perímetro, consulta Cómo proteger Artifact Analysis en un perímetro de servicio.