Configura los Controles del servicio de VPC para Backup and DR en el caso de copias de seguridad administradas por el dispositivo

En esta página, se proporciona una descripción general de los Controles del servicio de VPC y cómo puedes integrarlos con Backup and DR para proteger tus datos y recursos.

Acerca de los Controles del servicio de VPC

Los Controles del servicio de VPC ayudan a mitigar el riesgo de robo de datos de la consola de administración de dispositivos de Backup and DR. Puedes usar los Controles del servicio de VPC para crear perímetros de servicio que protejan los recursos y los datos de varios servicios. Si Backup and DR está protegido por un perímetro, los recursos externos al perímetro no pueden comunicarse con la consola de administración de dispositivos. Sin embargo, puedes permitir que los recursos externos al perímetro de servicio accedan a la consola de administración y a la API. Para obtener más información, consulta Cómo permitir el acceso a recursos protegidos desde fuera de un perímetro.

Para obtener una descripción general de los Controles del servicio de VPC, sus beneficios de seguridad, y sus capacidades en los productos de la CLI de gcloud, consulta la Descripción general de los Controles del servicio de VPC.

Antes de comenzar

Antes de comenzar a configurar los Controles del servicio de VPC para Backup and DR, haz lo siguiente:

  1. En la Google Cloud consola de, en la página Selector de proyectos, selecciona crear un proyecto de la CLI de gcloud.
  2. Asegúrate de tener habilitada la facturación para tu Google Cloud proyecto de. Obtén información para verificar si la facturación está habilitada en un proyecto.
  3. Sigue las instrucciones de la sección Habilita las APIs y habilita la API de Access Context Manager para tu proyecto.

Configura los niveles de acceso y las políticas de dirección para el depósito de copias de seguridad

Si el dispositivo de copia de seguridad o recuperación y el depósito de copias de seguridad se encuentran en el mismo perímetro de Controles del servicio de VPC, no es necesario que configures los niveles de acceso ni las políticas de dirección. De lo contrario, elige una de las siguientes situaciones de configuración según los requisitos de configuración del perímetro de seguridad.

  • Si el dispositivo de copia de seguridad o recuperación y el depósito de copias de seguridad se encuentran en perímetros, pero existen en perímetros diferentes:
    • Configura excepciones de entrada en el perímetro donde existen recursos del depósito de copias de seguridad. Agrega backupdr.googleapis.com y storage.googleapis.com a la regla de entrada. La fuente puede ser la dirección IP, la red o el proyecto en el que está presente el dispositivo de copia de seguridad o recuperación.
    • Configura excepciones de salida en el perímetro donde existen dispositivos de copia de seguridad o recuperación. Agrega backupdr.googleapis.com y storage.googleapis.com a la regla de salida. El destino es el proyecto en el que existe el recurso del depósito de copias de seguridad. Puedes combinarlo con la dirección IP del dispositivo de copia de seguridad o recuperación, o cualquier otra propiedad.
  • Si solo los recursos del depósito de copias de seguridad están en el perímetro: Configura excepciones de entrada en el perímetro donde existen recursos del depósito de copias de seguridad. Agrega backupdr.googleapis.com y storage.googleapis.com a la regla de entrada. La fuente puede ser la dirección IP, la red o el proyecto en el que está presente el dispositivo de copia de seguridad o recuperación.
  • Si solo existe un dispositivo de copia de seguridad o recuperación en el perímetro: Configura excepciones de salida en el perímetro donde existen dispositivos de copia de seguridad o recuperación. Agrega backupdr.googleapis.com y storage.googleapis.com a la regla de salida. El destino es el proyecto en el que existe el recurso del backup vault. Puedes combinarlo con la dirección IP del dispositivo de copia de seguridad o recuperación, o cualquier otra propiedad.

Configura los niveles de acceso y las políticas de dirección para Compute Engine

Si el proyecto de administrador y el proyecto de carga de trabajo se encuentran en el mismo perímetro de Controles del servicio de VPC, no es necesario que configures los niveles de acceso ni las políticas de dirección. De lo contrario, elige una de las siguientes situaciones de configuración según los requisitos de configuración del perímetro de seguridad.

  • Si el proyecto de administrador y el proyecto de carga de trabajo existen en perímetros de servicio diferentes:
    • El proyecto de administrador debe agregar una regla de salida para el agente de servicio del backup vault al proyecto de carga de trabajo para backupdr.googleapis.com y compute.googleapis.com.
    • El proyecto de carga de trabajo debe agregar una regla de entrada para permitir llamadas desde el agente de servicio de backup vault y una regla de salida para el agente de servicio de backup vault al proyecto de administrador para backupdr.googleapis.com y compute.googleapis.com.
  • Si solo el proyecto de administrador tiene un perímetro de servicio: El proyecto de administrador debe agregar una regla de salida para el agente de servicio del depósito de copias de seguridad al proyecto de carga de trabajo para backupdr.googleapis.com y compute.googleapis.com.
  • Si solo el proyecto de carga de trabajo tiene un perímetro de servicio: El proyecto de carga de trabajo debe agregar una regla de entrada para permitir llamadas desde el agente de servicio de backup vault y una regla de salida para el agente de servicio de backup vault al proyecto de administrador para backupdr.googleapis.com y compute.googleapis.com.

Configura los niveles de acceso y las políticas de dirección para Cloud SQL y AlloyDB

El proyecto de administrador y el proyecto de carga de trabajo deben estar dentro del mismo perímetro de Controles del servicio de VPC.

Configura los Controles del servicio de VPC para Backup and DR

Usa los siguientes pasos para configurar los Controles del servicio de VPC para Backup and DR:

  1. Crea un perímetro de servicio
  2. Configura la conectividad a los servicios y las APIs de Google

En las siguientes secciones, se describen estos pasos en detalle.

Crea un perímetro de servicio

Usa las siguientes instrucciones para crear un perímetro de servicio:

  1. En la Google Cloud consola de, en la página del selector de proyectos, selecciona el proyecto de Backup and DR que deseas que proteja el perímetro de servicio de VPC.
  2. Crea un perímetro de servicio con las instrucciones que se describen en Crea un perímetro de servicio.

  3. Agrega las siguientes APIs al perímetro de servicio en la sección Servicios restringidos:

    • Obligatorio: API de Backup and DR: backupdr.googleapis.com
    • Opcional: API de Compute Engine: compute.googleapis.com
    • Opcional: API de Resource Manager: cloudresourcemanager.googleapis.com
    • Opcional: API de Workflows: workflows.googleapis.com
    • Opcional: API de Cloud Key Management Service: cloudkms.googleapis.com
    • Opcional: API de Identity and Access Management: iam.googleapis.com
    • Opcional: API de Cloud Logging: logging.googleapis.com
    • Opcional: API de Cloud Storage: storage.googleapis.com
    • Opcional: API de Cloud SQL Admin: sqladmin.googleapis.com
    • Opcional: AlloyDB: alloydb.googleapis.com

  4. Si usas una VPC compartida, agrega el host y los proyectos de servicio en la sección Agregar recursos.

Una vez que configuras un perímetro, de forma predeterminada, solo se permite el acceso a la consola de administración de dispositivos y a la API de Backup and DR desde dentro del perímetro de seguridad.

Si un dispositivo de copia de seguridad o recuperación realiza solicitudes de API de Cloud fuera del perímetro de servicio, por ejemplo, para recuperar una instancia de Compute Engine en un proyecto o una red de VPC que no está en el mismo perímetro, es posible que veas una violación de acceso de los Controles del servicio de VPC. Para permitir solicitudes de API, debes crear reglas de entrada y salida adecuadas en el perímetro de servicio de los Controles del servicio de VPC para la cuenta de servicio del dispositivo de copia de seguridad o recuperación.

Configura la conectividad a los servicios y las APIs de Google

En una configuración de Controles del servicio de VPC, para controlar el tráfico de red, configura el acceso a los servicios y las APIs de Google a través del dominio restricted.googleapis.com. Este dominio bloquea el acceso a los servicios y las APIs de Google que no admiten los Controles del servicio de VPC. Para obtener más información, consulta Opciones de dominio.

Si no configuras reglas de DNS para los servicios y las APIs de Google, se resuelven con la opción de dominio para los dominios predeterminados.

Backup and DR usa los siguientes dominios:

  • *.backupdr.cloud.google.com se usa para acceder a la consola de administración de dispositivos.
  • *.googleapis.com se usa para acceder a otros servicios de Google.

Configura la conectividad a los siguientes extremos restricted.googleapis.com en la sección de registros DNS.

Dominio Nombre de DNS Registro CNAME Registro A
*.googleapis.com googleapis.com. Nombre de DNS: *.googleapis.com. Tipo de registro de recursos: A
Tipo de registro de recursos: CNAME Direcciones IPv4:
Nombre canónico: googleapis.com. 199.36.153.4,
199.36.153.5,
199.36.153.6,
199.36.153.7
*.backupdr.cloud.google.com backupdr.cloud.google.com. Nombre de DNS: *.backupdr.cloud.google.com. Tipo de registro de recursos: A
Tipo de registro de recursos: CNAME Direcciones IPv4:
Nombre canónico: backupdr.cloud.google.com. 199.36.153.4,
199.36.153.5,
199.36.153.6,
199.36.153.7
*.backupdr.googleusercontent.com backupdr.googleusercontent.com Nombre de DNS: *.backupdr.googleusercontent.com. Tipo de registro de recursos: A
Tipo de registro de recursos: CNAME Direcciones IPv4:
Nombre canónico: backupdr.googleusercontent.com. 199.36.153.4,
199.36.153.5,
199.36.153.6,
199.36.153.7

Genera un registro DNS.

Usa las siguientes instrucciones para crear un registro DNS:

  1. En la Google Cloud consola de, dirígete a la página Crea una zona del DNS.

    Ir a Crea una zona del DNS

  2. En Tipo de zona, selecciona Privada.

  3. En el campo Nombre de la zona, ingresa un nombre. Por ejemplo, backup-dr-new-zone.

  4. En el campo Nombre de DNS, ingresa un nombre para la zona con un nombre de dominio de tu propiedad, por ejemplo, backupdr.cloud.google.com.

  5. Opcional: agrega una descripción.

  6. En Opciones, selecciona Predeterminada (privada).

  7. Haz clic en Crear.

  8. En la página Detalles de la zona, haz clic en Agregar estándar.

  9. En la página Crear conjunto de registros, sigue estos pasos para agregar un conjunto de registros para el registro CNAME:

    1. En el campo Nombre de DNS, ingresa *.backupdr.cloud.google.com.
    2. En Tipo de registro de recursos, selecciona CNAME.
    3. En el campo Nombre canónico, ingresa backupdr.cloud.google.com.
    4. Haz clic en Crear.

  10. En la página Detalles de la zona, haz clic en Agregar estándar y sigue estos pasos para agregar un conjunto de registros con direcciones IP:

    1. En el campo Nombre de DNS, ingresa *.backupdr.cloud.google.com.
    2. Selecciona A como el Tipo de registro de recursos.
    3. En el campo Direcciones IPv4, ingresa 199.36.153.4, 199.36.153.5, 199.36.153.6 y 199.36.153.7.
    4. Haz clic en Crear.

Para obtener más información, consulta Configura la conectividad privada a los servicios y las APIs de Google.

Solucionar problemas

Si tienes algún problema mientras configuras los Controles del servicio de VPC para Backup and DR, consulta la sección Solución de problemas de los Controles del servicio de VPC troubleshooting.

Limitaciones

Si quitaste la ruta predeterminada de Internet del proyecto del productor de servicios con el comando gcloud: gcloud services vpc-peerings enable-vpc-service-controls, es posible que no puedas acceder a la consola de administración de dispositivos ni crearla. Comunícate con Atención al cliente de Google Cloud si tienes este problema.

Antes de activar una imagen de copia de seguridad de Compute Engine, agrega los proyectos de servicio y host al mismo perímetro. De lo contrario, es posible que no veas las redes disponibles.