アプライアンス管理のバックアップ用に Backup and DR の VPC Service Controls を構成する

このページでは、VPC Service Controls の概要と、Backup and DR と統合してデータ とリソースを保護する方法について説明します。

VPC Service Controls について

VPC Service Controls を使用すると、 Backup and DR アプライアンス管理コンソールからのデータ引き出しのリスクを軽減できます。 VPC Service Controls を使用すると、さまざまなサービスのリソースとデータを保護するサービス境界を作成できます。 Backup and DR が境界で保護されている場合、境界外のリソースはアプライアンス管理コンソールと通信できません。ただし、サービス境界外のリソースが管理コンソールと API にアクセスできるようにすることはできます。詳細については、保護されたリソースへの境界外部からのアクセスの許可をご覧ください。

VPC Service Controls、そのセキュリティ上のメリット、 gcloud CLI プロダクト全体の機能の概要については、VPC Service Controls の概要をご覧ください。

始める前に

Backup and DR 用に VPC Service Controls を構成する前に、次の操作を行います。

  1. コンソールで、[**プロジェクト セレクタ**] ページに移動し、gcloud CLI プロジェクトを作成します。 Google Cloud
  2. プロジェクトで課金が有効になっていることを確認します。 Google Cloud プロジェクトで課金が有効になっているかどうかを確認する方法をご覧ください。
  3. API を有効にするの手順に沿って、プロジェクトのAccess Context Manager API を有効にします。

Backup Vault のアクセスレベルと方向ポリシーを構成する

バックアップ/リカバリ アプライアンスと Backup Vault が同じ VPC Service Controls 境界内にある場合は、アクセスレベルと方向ポリシーを構成する必要はありません。 それ以外の場合は、セキュリティ境界の構成要件に基づいて、次のいずれかの構成シナリオを選択します。

  • バックアップ/リカバリ アプライアンスと Backup Vault が境界内にあるが、異なる境界に存在する場合:
    • Backup Vault リソースが存在する境界で上り（内向き）の例外を構成します。 上り（内向き）ルールに backupdr.googleapis.com と storage.googleapis.com の両方を追加します。ソースは、 IP アドレス、 ネットワーク、またはバックアップ/リカバリ アプライアンスが存在するプロジェクトにできます。
    • バックアップ/リカバリ アプライアンスが存在する境界で下り（外向き）の例外を構成します。 下り（外向き）ルールに backupdr.googleapis.com と storage.googleapis.com の両方を追加します。ターゲットは、Backup Vault リソースが存在するプロジェクトです。バックアップ/リカバリ アプライアンスの IP アドレスやその他のプロパティと組み合わせることができます。
  • Backup Vault リソースのみが境界内にある場合: Backup Vault リソースが存在する境界で上り（内向き）の例外を構成します。 上り（内向き）ルールに backupdr.googleapis.com と storage.googleapis.com の両方を追加します。ソースは、IP アドレス、ネットワーク、またはバックアップ/リカバリ アプライアンスが存在するプロジェクトにできます。
  • 境界内にバックアップ/リカバリ アプライアンスのみが存在する場合: バックアップ/リカバリ アプライアンスが存在する境界で下り（外向き）の例外を構成します。 下り（外向き）ルールに backupdr.googleapis.com と storage.googleapis.com の両方を追加します。ターゲットは、Backup Vault リソースが存在するプロジェクトです。バックアップ/リカバリ アプライアンスの IP アドレスやその他のプロパティと組み合わせることができます。

Compute Engine のアクセスレベルと方向ポリシーを構成する

管理者プロジェクトとワークロード プロジェクトが同じ VPC Service Controls 境界内にある場合は、アクセスレベルと方向ポリシーを構成する必要はありません。 それ以外の場合は、セキュリティ境界の構成要件に基づいて、次のいずれかの構成シナリオを選択します。

  • 管理者プロジェクトとワークロード プロジェクトの両方が異なるサービス境界に存在する場合:
    • 管理者プロジェクトは、backupdr.googleapis.com と compute.googleapis.com の両方について、Backup Vault サービス エージェントからワークロード プロジェクトへの下り（外向き）ルールを追加する必要があります。
    • ワークロード プロジェクトは、 Backup Vault サービス エージェントからの呼び出しを許可する上り（内向き）ルールと、backupdr.googleapis.com と compute.googleapis.com の両方について、Backup Vault サービス エージェントから管理者プロジェクトへの下り（外向き）ルールを追加する必要があります。
  • 管理者プロジェクトにのみサービス境界がある場合: 管理者プロジェクトは、Backup Vault サービス エージェントからワークロード プロジェクトへの下り（外向き）ルールを backupdr.googleapis.com と compute.googleapis.com の両方について追加する必要があります。
  • ワークロード プロジェクトにのみサービス境界がある場合: ワークロード プロジェクトは、Backup Vault サービス エージェントからの呼び出しを許可する上り（内向き）ルールと、backupdr.googleapis.com と compute.googleapis.com の両方について、Backup Vault サービス エージェントから管理者プロジェクトへの下り（外向き）ルールを追加する必要があります。

Cloud SQL と AlloyDB のアクセスレベルと方向ポリシーを構成する

管理者プロジェクトとワークロード プロジェクトは、同じ VPC Service Controls 境界内にある必要があります。

Backup and DR 用に VPC Service Controls を構成する

次の手順で、Backup and DR 用に VPC Service Controls を構成します。

  1. サービス境界を作成する
  2. Google API とサービスへの接続を構成する

以降のセクションで、この手順について詳しく説明します。

サービス境界を作成する

次の手順でサービス境界を作成します。

  1. コンソール Google Cloud で、プロジェクト セレクタ ページに移動し、VPC サービス境界で保護する Backup and DR プロジェクトを選択します。
  2. サービス境界を作成する サービス境界を作成するの手順に沿って、サービス境界を作成します。

  3. サービス境界で、[**制限付きサービス**] セクションに次の API を追加します。

    • 必須: Backup and DR API - backupdr.googleapis.com
    • 省略可: Compute Engine API - compute.googleapis.com
    • 省略可: Resource Manager API - cloudresourcemanager.googleapis.com
    • 省略可: Workflows API - workflows.googleapis.com
    • 省略可: Cloud Key Management Service API - cloudkms.googleapis.com
    • 省略可: Identity and Access Management API - iam.googleapis.com
    • 省略可: Cloud Logging API - logging.googleapis.com
    • 省略可: Cloud Storage API - storage.googleapis.com
    • 省略可: Cloud SQL Admin API - sqladmin.googleapis.com
    • 省略可: AlloyDB - alloydb.googleapis.com

  4. 共有 VPC を使用している場合は、[リソースを追加] セクションでホスト プロジェクトとサービス プロジェクトを追加します。

境界を設定すると、デフォルトでは、Backup and DR アプライアンス管理コンソールと API へのアクセスはセキュリティ境界内からのみ許可されます。

バックアップ/リカバリ アプライアンスがサービス境界外に Cloud API リクエストを行う場合（たとえば、同じ境界内にないプロジェクトまたは VPC ネットワークに Compute Engine インスタンスを復元する場合）、VPC Service Controls のアクセス違反が発生することがあります。API リクエストを許可するには、バックアップ/リカバリ アプライアンス サービス アカウントの VPC Service Controls サービス境界に適切な 上り（内向き）ルールと下り（外向き）ルール を作成する必要があります。

Google API とサービスへの接続を構成する

VPC Service Controls 構成でネットワーク トラフィックを制御するには、restricted.googleapis.com ドメインを介して Google API とサービスへのアクセスを構成します。このドメインは、VPC Service Controls をサポートしていない Google API とサービスへのアクセスをブロックします。詳細については、 ドメイン オプションをご覧ください。

Google API とサービスの DNS ルールを構成しない場合、DNS ルールは デフォルト ドメインのドメイン オプション を使用して解決されます。

Backup and DR では次のドメインが使用されます。

  • *.backupdr.cloud.google.com は、アプライアンス管理コンソールへのアクセスに使用されます。
  • *.googleapis.com は、他の Google サービスへのアクセスに使用されます。

DNS レコード セクションで、次の restricted.googleapis.com エンドポイントへの接続を構成します 。

ドメイン DNS 名 CNAME レコード A レコード
*.googleapis.com googleapis.com. DNS 名: *.googleapis.com. リソース レコードのタイプ: A
リソース レコードのタイプ: CNAME IPv4 アドレス:
正規名: googleapis.com. 199.36.153.4,
199.36.153.5,
199.36.153.6,
199.36.153.7
*.backupdr.cloud.google.com backupdr.cloud.google.com. DNS 名: *.backupdr.cloud.google.com. リソース レコードのタイプ: A
リソース レコードのタイプ: CNAME IPv4 アドレス:
正規名: backupdr.cloud.google.com. 199.36.153.4,
199.36.153.5,
199.36.153.6,
199.36.153.7
*.backupdr.googleusercontent.com backupdr.googleusercontent.com DNS 名: *.backupdr.googleusercontent.com. リソース レコードのタイプ: A
リソース レコードのタイプ: CNAME IPv4 アドレス:
正規名: backupdr.googleusercontent.com. 199.36.153.4,
199.36.153.5,
199.36.153.6,
199.36.153.7

DNS レコードを作成する

次の手順で DNS レコードを作成します。

  1. コンソール Google Cloud で、[DNS ゾーンの作成] ページに移動します。

    [DNS ゾーンの作成] に移動

  2. [**ゾーンのタイプ**] で [**非公開**] を選択します。

  3. [ゾーン名] フィールドに名前を入力します。例: backup-dr-new-zone

  4. [DNS 名] フィールドに、所有しているドメイン名を使用してゾーンの名前を入力します（例: backupdr.cloud.google.com）。

  5. （省略可）説明を追加します。

  6. [オプション] で、[デフォルト（限定公開）] を選択します。

  7. [作成] をクリックします。

  8. [ゾーンの詳細] ページで、[標準を追加] をクリックします。

  9. [レコードセットを作成] ページで、次の手順に沿って CNAME レコードのレコードセットを追加します。

    1. [DNS 名] フィールドに「*.backupdr.cloud.google.com」と入力します。
    2. [**リソース レコードのタイプ**] で [**CNAME**] を選択します。
    3. [正規名] フィールドに「backupdr.cloud.google.com」と入力します。
    4. [作成] をクリックします。

  10. [ゾーンの詳細] ページで、[標準を追加] をクリックし、次の手順に沿って IP アドレスを含むレコードセットを追加します。

    1. [DNS 名] フィールドに「*.backupdr.cloud.google.com」と入力します。
    2. [リソース レコードのタイプ] で [A] を選択します。
    3. [IPv4 アドレス] フィールドに「199.36.153.4」、「199.36.153.5」、 「199.36.153.6」、「199.36.153.7」と入力します。
    4. [作成] をクリックします。

詳細については、Google API とサービスへのプライベート接続の設定をご覧ください。

トラブルシューティング

Backup and DR 用に VPC Service Controls を構成する際に問題が発生した場合は、VPC Service Controls トラブルシューティングをご覧ください。

制限事項

gcloud コマンド gcloud services vpc-peerings enable-vpc-service-controls を使用して、サービス プロデューサー プロジェクトからインターネットのデフォルト ルートを削除した場合、 アプライアンス管理コンソールにアクセスまたは作成できないことがあります。 この問題が発生した場合は、Google Cloud カスタマーケアに お問い合わせください。

Compute Engine バックアップ イメージをマウントする前に、サービス プロジェクトとホスト プロジェクトを同じ境界に追加します。そうしないと、利用可能なネットワークが表示されないことがあります。