Configurar o VPC Service Controls para o Backup e DR em backups gerenciados por appliance

Esta página oferece uma visão geral do VPC Service Controls e de como integrá-lo ao Backup e DR para proteger seus dados e recursos.

Sobre o VPC Service Controls

O VPC Service Controls ajuda a reduzir o risco de exfiltração de dados do console de gerenciamento de dispositivos de backup e DR. É possível usar o VPC Service Controls para criar perímetros de serviço que protejam os recursos e os dados de vários serviços. Se o backup e DR estiverem protegidos por um perímetro, os recursos de fora dele não poderão se comunicar com o console de gerenciamento de dispositivos. No entanto, é possível permitir que recursos de fora do perímetro de serviço acessem o console de gerenciamento e a API. Para mais informações, consulte Permitir acesso a recursos protegidos de fora de um perímetro.

Para uma visão geral do VPC Service Controls, dos benefícios de segurança, e dos recursos nos produtos da CLI gcloud, consulte a Visão geral do VPC Service Controls.

Antes de começar

Antes de começar a configurar o VPC Service Controls para backup e DR, faça o seguinte:

  1. No Google Cloud console do, na página **Seletor de projetos**, selecione criar um projeto da CLI gcloud.
  2. Verifique se o faturamento foi ativado para o Google Cloud projeto. Saiba como verificar se o faturamento está ativado em um projeto.
  3. Siga as instruções na seção Ativar APIs e ative a API Access Context Manager para seu projeto.

Configurar níveis de acesso e políticas de direção para o backup vault

Se o dispositivo de backup/recuperação e o backup vault estiverem no mesmo perímetro do VPC Service Controls, não será necessário configurar níveis de acesso e políticas de direção. Caso contrário, escolha um dos seguintes cenários de configuração com base nos requisitos de configuração do perímetro de segurança.

  • Se o dispositivo de backup/recuperação e o backup vault estiverem em perímetros diferentes:
    • Configure exceções de entrada no perímetro em que os recursos do backup vault existem. Adicione backupdr.googleapis.com e storage.googleapis.com à regra de entrada. A origem pode ser o endereço IP, a rede ou o projeto em que o dispositivo de backup/recuperação está presente.
    • Configure exceções de saída no perímetro em que os dispositivos de backup/recuperação existem. Adicione backupdr.googleapis.com e storage.googleapis.com à regra de saída. O destino é o projeto em que o recurso do backup vault existe. É possível combinar isso com o endereço IP do dispositivo de backup/recuperação ou qualquer outra propriedade.
  • Se apenas os recursos do backup vault estiverem no perímetro: configure exceções de entrada no perímetro em que os recursos do backup vault existem. Adicione backupdr.googleapis.com e storage.googleapis.com à regra de entrada. A origem pode ser o endereço IP, a rede ou o projeto em que o dispositivo de backup/recuperação está presente.
  • Se apenas o dispositivo de backup/recuperação existir no perímetro: configure exceções de saída no perímetro em que os dispositivos de backup/recuperação existem. Adicione backupdr.googleapis.com e storage.googleapis.com à regra de saída. O destino é o projeto em que o recurso do backup vault existe. É possível combinar isso com o endereço IP do dispositivo de backup/recuperação ou qualquer outra propriedade.

Configurar níveis de acesso e políticas de direção para o Compute Engine

Se o projeto do administrador e o projeto da carga de trabalho estiverem no mesmo perímetro do VPC Service Controls, não será necessário configurar níveis de acesso e políticas de direção. Caso contrário, escolha um dos seguintes cenários de configuração com base nos requisitos de configuração do perímetro de segurança.

  • Se o projeto do administrador e o projeto da carga de trabalho existirem em perímetros de serviço diferentes:
    • O projeto do administrador precisa adicionar uma regra de saída para o agente de serviço do backup vault ao projeto da carga de trabalho para backupdr.googleapis.com e compute.googleapis.com.
    • O projeto da carga de trabalho precisa adicionar uma regra de entrada para permitir chamadas do agente de serviço do backup vault e uma regra de saída para o agente de serviço do backup vault ao projeto do administrador para backupdr.googleapis.com e compute.googleapis.com.
  • Se apenas o projeto do administrador tiver um perímetro de serviço: O projeto do administrador precisa adicionar uma regra de saída para o agente de serviço do backup vault ao projeto da carga de trabalho para backupdr.googleapis.com e compute.googleapis.com.
  • Se apenas o projeto da carga de trabalho tiver um perímetro de serviço: o projeto da carga de trabalho precisa adicionar uma regra de entrada para permitir chamadas do agente de serviço do backup vault e uma regra de saída para o agente de serviço do backup vault ao projeto do administrador para backupdr.googleapis.com e compute.googleapis.com.

Configurar níveis de acesso e políticas de direção para o Cloud SQL e o AlloyDB

O projeto do administrador e o projeto da carga de trabalho precisam estar no mesmo perímetro do VPC Service Controls.

Configurar o VPC Service Controls para backup e DR

Siga estas etapas para configurar o VPC Service Controls para backup e DR:

  1. Criar um perímetro de serviço
  2. Configurar a conectividade com as APIs e os serviços do Google

As seções a seguir descrevem essas etapas em detalhes.

Criar um perímetro de serviço

Use as instruções a seguir para criar um perímetro de serviço:

  1. No Google Cloud console do, na página do seletor de projetos, selecione o projeto de backup e DR que você quer que o perímetro de serviço da VPC proteja.
  2. Crie um perímetro de serviço usando as instruções descritas em Criar um perímetro de serviço.

  3. Adicione as APIs a seguir ao perímetro de serviço na seção Serviços restritos:

    • Obrigatório: API Backup e DR - backupdr.googleapis.com
    • Opcional: API Compute Engine - compute.googleapis.com
    • Opcional: API Resource Manager - cloudresourcemanager.googleapis.com
    • Opcional: API Workflows - workflows.googleapis.com
    • Opcional: API Cloud Key Management Service - cloudkms.googleapis.com
    • Opcional: API Identity and Access Management - iam.googleapis.com
    • Opcional: API Cloud Logging - logging.googleapis.com
    • Opcional: API Storage - storage.googleapis.com
    • Opcional: API Cloud SQL Admin - sqladmin.googleapis.com
    • Opcional: AlloyDB - alloydb.googleapis.com

  4. Se você estiver usando uma VPC compartilhada, adicione o host e os projetos de serviço na seção Adicionar recursos.

Depois de configurar um perímetro, o acesso ao console de gerenciamento de dispositivos de backup e DR e à API só será permitido de dentro do perímetro de segurança.

Se um dispositivo de backup/recuperação fizer solicitações de API do Cloud para fora do perímetro de serviço, por exemplo, para recuperar uma instância do Compute Engine em um projeto ou rede VPC que não esteja no mesmo perímetro, uma violação de acesso do VPC Service Controls poderá aparecer. Para permitir solicitações de API, crie regras de entrada e saída adequadas no perímetro de serviço do VPC Service Controls para a conta de serviço do dispositivo de backup/recuperação.

Configurar a conectividade com as APIs e os serviços do Google

Em uma configuração do VPC Service Controls, para controlar o tráfego de rede, configure o acesso às APIs e aos serviços do Google pelo domínio restricted.googleapis.com. Esse domínio bloqueia o acesso a APIs e serviços do Google que não oferecem suporte ao VPC Service Controls. Para mais informações, consulte Opções de domínio.

Se você não configurar regras de DNS para APIs e serviços do Google, eles serão resolvidos usando a opção de domínio para domínios padrão.

O backup e DR usa os seguintes domínios:

  • *.backupdr.cloud.google.com é usado para acessar o console de gerenciamento de dispositivos.
  • *.googleapis.com é usado para acessar outros serviços do Google.

Configure a conectividade com os endpoints restricted.googleapis.com a seguir na seção de registro DNS.

Domínio Nome do DNS Registro CNAME Registro A
*.googleapis.com googleapis.com. Nome do DNS: *.googleapis.com. Tipo de registro de recurso: A
Tipo de registro de recurso: CNAME Endereços IPv4:
Nome canônico: googleapis.com. 199.36.153.4,
199.36.153.5,
199.36.153.6,
199.36.153.7
*.backupdr.cloud.google.com backupdr.cloud.google.com. Nome do DNS: *.backupdr.cloud.google.com. Tipo de registro de recurso: A
Tipo de registro de recurso: CNAME Endereços IPv4:
Nome canônico: backupdr.cloud.google.com. 199.36.153.4,
199.36.153.5,
199.36.153.6,
199.36.153.7
*.backupdr.googleusercontent.com backupdr.googleusercontent.com Nome do DNS: *.backupdr.googleusercontent.com. Tipo de registro de recurso: A
Tipo de registro de recurso: CNAME Endereços IPv4:
Nome canônico: backupdr.googleusercontent.com. 199.36.153.4,
199.36.153.5,
199.36.153.6,
199.36.153.7

Criar um registro DNS

Use as instruções a seguir para criar um registro DNS:

  1. No Google Cloud console do, acesse a página Criar zona de DNS.

    Acessar a página Criar zona de DNS

  2. Em Tipo de zona, selecione Private.

  3. No campo Nome de zona, insira um nome. Por exemplo, backup-dr-new-zone.

  4. No campo Nome do DNS, insira um nome para a zona usando um nome de domínio de sua propriedade, por exemplo, backupdr.cloud.google.com.

  5. Opcional: adicione uma descrição.

  6. Em Opções, selecione Padrão (privado).

  7. Clique em Criar.

  8. Na página Detalhes da zona, clique em Adicionar padrão.

  9. Na página Criar conjunto de registros, siga estas etapas para adicionar um conjunto de registros para o registro CNAME:

    1. No campo Nome do DNS, insira *.backupdr.cloud.google.com.
    2. Em Tipo de registro de recurso, selecione CNAME.
    3. No campo Nome canônico, insira backupdr.cloud.google.com.
    4. Clique em Criar.

  10. Na página Detalhes da zona, clique em Adicionar padrão e siga estas etapas para adicionar um conjunto de registros com endereços IP:

    1. No campo Nome do DNS, insira *.backupdr.cloud.google.com.
    2. Selecione A como o Tipo de registro de recurso.
    3. No campo Endereços IPv4, insira 199.36.153.4, 199.36.153.5, 199.36.153.6, 199.36.153.7.
    4. Clique em Criar.

Para mais informações, consulte Configurar a conectividade particular com APIs e serviços do Google.

Resolver problemas

Se você encontrar problemas ao configurar o VPC Service Controls para backup e DR, consulte a seção Solução de problemas do VPC Service Controls .

Limitações

Se você removeu a rota padrão da Internet do projeto de produtor de serviços usando o comando gcloud: gcloud services vpc-peerings enable-vpc-service-controls, talvez não seja possível acessar ou criar o console de gerenciamento de dispositivos. Entre em contato com o atendimento ao cliente do Google Cloud se você encontrar esse problema.

Antes de montar uma imagem de backup do Compute Engine, adicione os projetos de serviço e host ao mesmo perímetro. Caso contrário, as redes disponíveis não serão exibidas.