Proteger repositórios em um perímetro de serviço

O VPC Service Controls ajuda a configurar perímetros de segurança em torno de Google Cloudserviços gerenciados pelo Google para evitar a cópia ou transferência não autorizada de dados. É possível controlar a movimentação de artefatos no limite do perímetro, acessar repositórios usando endereços IP particulares e configurar regras de entrada e saída para serviços conectados.

Como usar o Artifact Registry com o VPC Service Controls

Se você estiver usando o Artifact Registry e clusters particulares do Google Kubernetes Engine em um projeto dentro de um perímetro de serviço, poderá acessar imagens de contêiner dentro do perímetro de serviço, bem como Google Cloudimagens fornecidas pelo Google.

As imagens armazenadas em cache do Docker Hub armazenadas em mirror.gcr.io não são incluídas no perímetro de serviço, a menos que uma regra de saída seja adicionada para permitir a saída para o cache do Docker do Artifact Registry que hospeda mirror.gcr.io.

Para usar mirror.gcr.io em um perímetro de serviço, adicione a seguinte regra de saída:

- egressTo:
    operations:
    - serviceName: artifactregistry.googleapis.com
      methodSelectors:
      - method: artifactregistry.googleapis.com/DockerRead
    resources:
    - projects/342927644502
  egressFrom:
    identityType: ANY_IDENTITY

Para saber mais sobre as regras de entrada e saída, consulte Regras de entrada e saída.

É possível acessar o Artifact Registry usando os endereços IP dos domínios padrão das APIs e serviços do Google, ou usando estes endereços IP especiais:

• 199.36.153.4/30 (restricted.googleapis.com)
• 199.36.153.8/30 (private.googleapis.com)

Para detalhes sobre essas opções, consulte Como configurar o Acesso privado do Google. Para ver um exemplo de configuração que usa 199.36.153.4/30 (restricted.googleapis.com), consulte a documentação sobre acesso ao registro com um IP virtual.

Verifique se os Google Cloud serviços que precisam acessar o Artifact Registry também estão no perímetro de serviço, incluindo a Autorização binária, Artifact Analysis e ambientes de execução, como o Google Kubernetes Engine e o Cloud Run. Consulte a lista de serviços com suporte para mais detalhes sobre cada serviço.

Para instruções gerais sobre como adicionar o Artifact Registry a um perímetro de serviço, consulte Como criar um perímetro de serviço.

Acessar imagens em repositórios gcr.io

Para acessar imagens em repositórios gcr.io do Artifact Registry, ao definir políticas de entrada ou saída, use o tipo de identidade ANY_IDENTITY. Não é possível usar os tipos de identidade ANY_SERVICE_ACCOUNT ou ANY_USER_ACCOUNT para imagens no domínio gcr.io.

Como usar a Análise de artefatos com o VPC Service Controls

Para saber como adicionar o Artifact Analysis ao seu perímetro, consulte Como proteger o Artifact Analysis em um perímetro de serviço perimeter.