Use os VPC Service Controls com o Batch

Este documento explica como usar os VPC Service Controls com o Batch. Os VPC Service Controls permitem-lhe proteger os recursos e os dados dos Google Cloud serviços isolando recursos específicos em perímetros de serviço. Um perímetro de serviço bloqueia as ligações com serviços fora do perímetro e quaisquer ligações da Internet que não sejam explicitamente permitidas. Google Cloud

Para mais informações sobre os conceitos de rede e quando configurar a rede, consulte o artigo Vista geral da rede em lote.

Antes de começar

  1. Se nunca usou o Batch, reveja o artigo Comece a usar o Batch e ative o Batch concluindo os pré-requisitos para projetos e utilizadores.

  2. Para receber as autorizações de que precisa para usar os VPC Service Controls com o Batch, peça ao seu administrador que lhe conceda as seguintes funções de IAM:

    Para mais informações sobre a atribuição de funções, consulte o artigo Faça a gestão do acesso a projetos, pastas e organizações.

    Também pode conseguir as autorizações necessárias através de funções personalizadas ou outras funções predefinidas.

  3. Se criar uma tarefa que é executada num perímetro de serviço, tem de identificar a rede que quer usar para a tarefa. A rede que especificar para uma tarefa executada num perímetro de serviço tem de cumprir os seguintes requisitos: Para mais informações, consulte o artigo Crie e faça a gestão de redes VPC.

Configure um perímetro de serviço para o Batch

Para configurar um perímetro de serviço para o Batch, faça o seguinte:

  1. Planeie a configuração do seu perímetro de serviço. Para uma vista geral das fases de configuração dos perímetros de serviço, consulte a documentação do VPC Service Controls para detalhes e configuração do perímetro de serviço.

    Para usar o Batch, o perímetro de serviço tem de cumprir os seguintes requisitos:

    • Serviços restritos: para proteger o Batch num perímetro de serviço, tem de incluir os serviços necessários para as suas tarefas do Batch nesse perímetro, como os seguintes serviços: Google Cloud

      • API Batch (batch.googleapis.com)
      • Cloud Logging API (logging.googleapis.com): obrigatória se quiser que os seus trabalhos escrevam registos no Cloud Logging. (Recomendado)
      • API Container Registry (containerregistry.googleapis.com): obrigatória se enviar uma tarefa que use contentores com uma imagem do Container Registry.
      • API Artifact Registry (artifactregistry.googleapis.com): obrigatória se enviar uma tarefa que use contentores com uma imagem do Artifact Registry.
      • API Filestore (file.googleapis.com): obrigatória se a sua tarefa usar uma partilha de ficheiros do Filestore.
      • API Cloud Storage (storage.googleapis.com): necessária para algumas tarefas que usam um contentor do Cloud Storage. Obrigatório se usar uma imagem para a tarefa em lote que não tenha o agente do serviço de processamento em lote pré-instalado.

      Para saber como ativar cada um destes serviços no seu perímetro de serviço, consulte os serviços acessíveis por VPC.

      Para cada serviço que incluir além do Batch, também tem de verificar se o seu perímetro de serviço cumpre os requisitos indicados para esse serviço na documentação Produtos e limitações suportados pelo VPC Service Controls.

    • Redes VPC: cada tarefa do Batch requer uma rede VPC, pelo que o seu perímetro de serviço tem de incluir uma rede VPC na qual as tarefas do Batch possam ser executadas. Para saber como configurar uma rede VPC que possa executar os seus trabalhos do Batch dentro de um perímetro de serviço, consulte os seguintes documentos:

  2. Crie um novo perímetro de serviço ou atualize um perímetro de serviço existente para cumprir estes requisitos.

Crie um trabalho que seja executado num perímetro de serviço

Quando cria uma tarefa que é executada num perímetro de serviço, também tem de bloquear o acesso externo para todas as VMs em que uma tarefa é executada e especificar uma rede e uma sub-rede que permitam à tarefa aceder às APIs necessárias.

Para criar uma tarefa que seja executada num perímetro de serviço, siga os passos na documentação para Criar uma tarefa que bloqueie o acesso externo para todas as VMs e especifique uma rede que cumpra os requisitos de rede para uma tarefa que seja executada num perímetro de serviço.

O que se segue?