הגדרת VPC Service Controls לגיבויים שמנוהלים על ידי מכשיר Backup and DR

בדף הזה מופיעה סקירה כללית של VPC Service Controls והסבר על האופן שבו אפשר לשלב אותו עם Backup and DR כדי לאבטח את הנתונים והמשאבים.

מידע על VPC Service Controls

VPC Service Controls עוזר לצמצם את הסיכון לזליגת נתונים ממסוף הניהול של מכשיר Backup and DR. אפשר להשתמש ב-VPC Service Controls כדי ליצור גבולות גזרה לשירות שמגנים על המשאבים והנתונים של שירותים שונים. אם Backup and DR מוגן על ידי גבול גזרה, משאבים מחוץ לגבול הגזרה לא יכולים לתקשר עם מסוף הניהול של האפליקציה. עם זאת, אתם יכולים לאפשר למשאבים מחוץ לגבולות גזרה לשירות לגשת למסוף הניהול ול-API. מידע נוסף זמין במאמר בנושא מתן גישה למשאבים מוגנים מחוץ לגבולות גזרה.

במאמר סקירה כללית על VPC Service Controls תוכלו לקרוא סקירה כללית על VPC Service Controls, על היתרונות שלו מבחינת אבטחה ועל היכולות שלו במוצרים של gcloud CLI.

לפני שמתחילים

לפני שמתחילים להגדיר את VPC Service Controls ל-Backup and DR, צריך לבצע את הפעולות הבאות:

1. במסוף Google Cloud , בדף Project Selector, בוחרים באפשרות create a ה-CLI של gcloud project.
2. מוודאים שהחיוב מופעל בפרויקט Google Cloud . כך בודקים אם החיוב מופעל בפרויקט
3. פועלים לפי ההוראות שבקטע הפעלת ממשקי API ומפעילים את Access Context Manager API בפרויקט.

הגדרת רמות גישה ומדיניות כיוון לכספת הגיבוי

אם מכשיר הגיבוי/השחזור וכספת הגיבוי נמצאים באותו אזור של VPC Service Controls, לא צריך להגדיר רמות גישה ומדיניות כיוון. אחרת, בוחרים אחד מתרחישי ההגדרה הבאים בהתאם לדרישות ההגדרה של היקף האבטחה.

• אם מכשיר הגיבוי/השחזור וכספת הגיבוי נמצאים בהיקפים, אבל הם נמצאים בהיקפים שונים:
  • מגדירים חריגות לכניסה בפרימטר שבו קיימים משאבים של מאגר גיבוי. מוסיפים את backupdr.googleapis.com ואת storage.googleapis.com לכלל הכניסה. המקור יכול להיות כתובת ה-IP, הרשת או הפרויקט שבו נמצא מכשיר הגיבוי או השחזור.
  • מגדירים חריגים לתעבורת נתונים יוצאת (egress) בגבולות הגזרה שבהם קיימים מכשירי גיבוי או שחזור. מוסיפים את backupdr.googleapis.com ואת storage.googleapis.com לכלל היציאה. יעד הגיבוי הוא הפרויקט שבו נמצא משאב מאגר הגיבוי. אפשר לשלב את זה עם כתובת ה-IP של מכשיר הגיבוי או השחזור, או עם כל מאפיין אחר.
• אם רק משאבי כספת הגיבוי נמצאים ב-perimeter: מגדירים חריגות של תעבורת נתונים נכנסת ב-perimeter שבו נמצאים משאבי כספת הגיבוי. מוסיפים את backupdr.googleapis.com וגם את storage.googleapis.com לכלל הכניסה. המקור יכול להיות כתובת IP, רשת או פרויקט שבו נמצא מכשיר הגיבוי או השחזור.
• אם רק מכשיר גיבוי/שחזור קיים בהיקף: מגדירים חריגים ליציאה בהיקף שבו קיימים מכשירי גיבוי/שחזור. מוסיפים את backupdr.googleapis.com ואת storage.googleapis.com לכלל לתעבורת נתונים יוצאת. יעד הוא הפרויקט שבו קיים משאב של מאגר גיבוי. אפשר לשלב את זה עם כתובת ה-IP של מכשיר הגיבוי או השחזור, או עם כל נכס אחר.

הגדרת רמות גישה ומדיניות כיוון ל-Compute Engine

אם פרויקט האדמין ופרויקט עומס העבודה נמצאים באותו אזור של VPC Service Controls, לא צריך להגדיר רמות גישה וכללי מדיניות לגבי כיוון התעבורה. אחרת, בוחרים אחד מתרחישי ההגדרה הבאים בהתאם לדרישות ההגדרה של היקף האבטחה.

• אם פרויקט האדמין ופרויקט עומס העבודה קיימים בהיקפי שירות שונים:
  • בפרויקט האדמין צריך להוסיף כלל יציאה לסוכן השירות של מאגר הגיבוי בפרויקט העומס, גם ל-backupdr.googleapis.com וגם ל-compute.googleapis.com.
  • בפרויקט של עומס העבודה צריך להוסיף כלל לכניסת נתונים כדי לאפשר קריאות מסוכן השירות של מאגר הגיבוי, וכלל ליציאת נתונים כדי לאפשר קריאות מסוכן השירות של מאגר הגיבוי לפרויקט האדמין, גם ל-backupdr.googleapis.com וגם ל-compute.googleapis.com.
• אם רק לפרויקט האדמין יש היקף שירות: בפרויקט האדמין צריך להוסיף כלל יציאה לסוכן השירות של מאגר הגיבויים בפרויקט של עומס העבודה, גם ל-backupdr.googleapis.com וגם ל-compute.googleapis.com.
• אם רק לפרויקט של עומס העבודה יש היקף שירות: צריך להוסיף לפרויקט של עומס העבודה כלל כניסה כדי לאפשר קריאות מסוכן השירות של מאגר הגיבוי, וכלל יציאה כדי לאפשר לסוכן השירות של מאגר הגיבוי גישה לפרויקט של האדמין גם ל-backupdr.googleapis.com וגם ל-compute.googleapis.com.

הגדרת רמות גישה ומדיניות כיוון ל-Cloud SQL ול-AlloyDB

גם פרויקט האדמין וגם פרויקט עומס העבודה צריכים להיות בתוך אותו היקף של VPC Service Controls.

הגדרת VPC Service Controls ל-Backup and DR

כדי להגדיר את VPC Service Controls ל-Backup and DR:

1. יצירה של גבולות גזרה לשירות
2. הגדרת קישוריות לממשקי API ולשירותים של Google

בקטעים הבאים מוסבר בפירוט איך מבצעים את השלבים האלה.

יצירה של גבולות גזרה לשירות

כדי ליצור גבולות גזרה לשירות:

1. בדף לבחירת הפרויקט במסוף Google Cloud , בוחרים את פרויקט Backup and DR שרוצים שגבולות גזרה לשירות ה-VPC יגנו עליו.
2. יוצרים גבולות גזרה לשירות לפי ההוראות שמתוארות במאמר יצירת גבולות גזרה לשירות.

3. מוסיפים את ממשקי ה-API הבאים לגבולות גזרה לשירות בקטע שירותים מוגבלים:

   • נדרש: Backup and DR API –‏ backupdr.googleapis.com
   • אופציונלי: Compute Engine API – compute.googleapis.com
   • אופציונלי: Resource Manager API –‏ cloudresourcemanager.googleapis.com
   • אופציונלי: Workflows API – workflows.googleapis.com
   • אופציונלי: Cloud Key Management Service API ‏– cloudkms.googleapis.com
   • אופציונלי: Identity and Access Management API –‏ iam.googleapis.com
   • אופציונלי: Cloud Logging API –‏ logging.googleapis.com
   • אופציונלי: Cloud Storage API –‏ storage.googleapis.com
   • אופציונלי: Cloud SQL Admin API –‏ sqladmin.googleapis.com
   • אופציונלי: AlloyDB – alloydb.googleapis.com

4. אם אתם משתמשים ב-VPC משותף, מוסיפים את הפרויקטים המארחים ואת פרויקטי השירות בקטע הוספת משאבים.

אחרי שמגדירים את ההיקף, כברירת מחדל, הגישה למסוף הניהול ול-API של Backup and DR Appliance מותרת רק מתוך היקף האבטחה.

אם מכשיר גיבוי או שחזור שולח בקשות ל-Cloud API מחוץ לגבולות גזרה לשירות, למשל כדי לשחזר מופע של Compute Engine לפרויקט או לרשת VPC שלא נמצאים באותם גבולות גזרה לשירות, יכול להיות שתופיע הודעה על הפרת הגישה של VPC Service Controls. כדי לאפשר בקשות API, צריך ליצור כללי תעבורת נתונים נכנסת (ingress) ותעבורת נתונים יוצאת (egress) מתאימים ב גבולות גזרה לשירות של VPC Service Controls עבור חשבון השירות של מכשיר הגיבוי או השחזור.

הגדרת קישוריות לממשקי API ולשירותים של Google

בהגדרות של VPC Service Controls, כדי לשלוט בתנועת הרשת, צריך להגדיר גישה לממשקי ה-API ולשירותים של Google דרך הדומיין restricted.googleapis.com. בדומיין הזה חסומה הגישה לממשקי API ולשירותים של Google שלא תומכים ב-VPC Service Controls. מידע נוסף זמין במאמר בנושא אפשרויות לדומיין.

אם לא מגדירים כללי DNS לממשקי Google API ולשירותים של Google, הם נפתרים באמצעות אפשרות הדומיין לדומיינים שמוגדרים כברירת מחדל.

שירות Backup and DR משתמש בדומיינים הבאים:

• משתמשים ב-*.backupdr.cloud.google.com כדי לגשת למסוף הניהול של הציוד.
• אפשר להשתמש ב-*.googleapis.com כדי לגשת לשירותי Google אחרים.

מגדירים קישוריות לנקודות הקצה הבאות של restricted.googleapis.com בקטע רשומת DNS.

דומיין	שם DNS	רשומת CNAME	רשומת A
*.googleapis.com	googleapis.com.	שם DNS: ‏ *.googleapis.com.	סוג רשומת המשאבים: A
		סוג רשומת המשאבים: CNAME	כתובות IPv4:
		שם קנוני: googleapis.com.	199.36.153.4,
			199.36.153.5,
			199.36.153.6,
			199.36.153.7
*.backupdr.cloud.google.com	backupdr.cloud.google.com.	שם DNS: ‏ *.backupdr.cloud.google.com.	סוג רשומת המשאבים: A
		סוג רשומת המשאבים: CNAME	כתובות IPv4:
		שם קנוני: backupdr.cloud.google.com.	199.36.153.4,
			199.36.153.5,
			199.36.153.6,
			199.36.153.7
*.backupdr.googleusercontent.com	backupdr.googleusercontent.com	שם DNS: ‏ *.backupdr.googleusercontent.com.	סוג רשומת המשאבים: A
		סוג רשומת המשאבים: CNAME	כתובות IPv4:
		שם קנוני: backupdr.googleusercontent.com.	199.36.153.4,
			199.36.153.5,
			199.36.153.6,
			199.36.153.7

יצירת רשומת DNS

כדי ליצור רשומת DNS:

1. במסוף Google Cloud , נכנסים לדף יצירת תחום DNS.

   מעבר אל יצירת תחום DNS

2. בקטע Zone type (סוג האזור), בוחרים באפשרות Private (פרטי).

3. מזינים שם בשדה Zone name. לדוגמה, backup-dr-new-zone.

4. בשדה שם DNS מזינים שם לאזור באמצעות שם דומיין שנמצא בבעלותכם, לדוגמה, backupdr.cloud.google.com.

5. אופציונלי: מוסיפים תיאור.

6. בקטע אפשרויות, בוחרים באפשרות ברירת מחדל (פרטי).

7. לוחצים על יצירה.

8. בדף פרטי האזור, לוחצים על הוספת רגיל.

9. בדף Create record set (יצירת קבוצת רשומות), מבצעים את השלבים הבאים כדי להוסיף קבוצת רשומות לרשומת CNAME:

   1. בשדה DNS Name (שם DNS), מזינים *.backupdr.cloud.google.com.
   2. בשדה Resource record type, בוחרים באפשרות CNAME.
   3. בשדה Canonical name, מזינים backupdr.cloud.google.com.
   4. לוחצים על יצירה.

10. בדף פרטי האזור, לוחצים על הוספה רגילה ופועלים לפי השלבים הבאים כדי להוסיף קבוצת רשומות עם כתובות IP:

    1. בשדה DNS Name (שם DNS), מזינים *.backupdr.cloud.google.com.
    2. בוחרים באפשרות A בתור סוג רשומת המשאבים.
    3. בשדה כתובות IPv4, מזינים את הכתובות 199.36.153.4, ‏ 199.36.153.5,‏ 199.36.153.6, ‏ 199.36.153.7.
    4. לוחצים על יצירה.

מידע נוסף זמין במאמר הגדרת קישוריות פרטית ל-Google APIs ולשירותים של Google.

פתרון בעיות

אם נתקלתם בבעיות בהגדרת VPC Service Controls ל-Backup and DR, תוכלו לעיין בקטע פתרון בעיות ב-VPC Service Controls.

מגבלות

אם הסרתם את נתיב ברירת המחדל לאינטרנט מפרויקט לשירות מנוהל באמצעות הפקודה gcloud: gcloud services vpc-peerings enable-vpc-service-controls, יכול להיות שלא תהיה לכם גישה למסוף הניהול של המכשיר או שלא תוכלו ליצור אותו. אם נתקלתם בבעיה הזו, פנו אל Cloud Customer Care של Google Cloud.

לפני שטוענים תמונת גיבוי של Compute Engine, צריך להוסיף את הפרויקט של השירות ואת הפרויקט המארח לאותו גבולות גזרה. אחרת, יכול להיות שלא תראו את הערוצים הזמינים.