VPC Service Controls für Cloud FTP konfigurieren

Für Cloud FTP ist Zugriff auf Cloud Storage-Buckets erforderlich, um Daten in die Buckets hochzuladen und aus ihnen herunterzuladen. Wenn Ihre Organisation VPC Service Controls verwendet, um Cloud Storage zu schützen, ist eine zusätzliche Einrichtung erforderlich, um mit Cloud FTP Daten zu übertragen. In diesem Dokument wird beschrieben, wie Sie einen VPC Service Controls-Dienstperimeter mit Regeln für eingehenden Traffic erstellen, mit denen Cloud FTP Cloud Storage-Daten übertragen kann, die innerhalb des Perimeters gespeichert sind.

Hintergrundinformationen zu VPC Service Controls finden Sie unter VPC Service Controls.

Erforderliche Rollen

Bitten Sie Ihren Administrator, Ihnen für Ihre Organisation die IAM-Rolle Access Context Manager-Administrator (roles/accesscontextmanager.policyAdmin) zuzuweisen, um die Berechtigungen zu erhalten, die Sie zum Erstellen eines Dienstperimeters benötigen. Weitere Informationen zum Zuweisen von Rollen finden Sie unter Zugriff auf Projekte, Ordner und Organisationen verwalten.

Sie können die erforderlichen Berechtigungen auch über benutzerdefinierte Rollen oder andere vordefinierte Rollen erhalten.

Dienstperimeter konfigurieren

Wenn Sie einem SFTP-Server erlauben möchten, Cloud Storage-Daten in einem Perimeter zu übertragen, folgen Sie der Anleitung zum Erstellen eines Dienstperimeters. Geben Sie die folgenden Informationen an:

  • Perimetertyp: Wählen Sie Regulär aus.
  • Zu schützende Ressourcen: Fügen Sie dem Perimeter die folgenden Projekte hinzu:
    • Die Projekte, die die Cloud Storage-Buckets enthalten, die Sie schützen möchten
    • Das Projekt, das den SFTP-Server enthält
  • Eingeschränkte Dienste: Fügen Sie dem Perimeter die folgenden Dienste hinzu:
    • Cloud FTP API (ftp.googleapis.com)
    • Cloud Storage API (storage.googleapis.com)
  • Über VPC zugängliche Dienste: Wählen Sie Alle eingeschränkten Dienste aus.
  • Zugriffsebenen: Fügen Sie eine Zugriffsebene mit den folgenden Bedingungen hinzu:
    • Bei erfüllter Bedingung Folgendes zurückgeben: Wählen Sie Wahr aus.
    • Wählen Sie Öffentliche IP-Adresse aus.
    • IP-Subnetzwerke: Die IP-Adressen oder CIDR-Bereiche der SFTP-Clients die eine Verbindung zum Server herstellen.
  • Regel für eingehenden Traffic:
    • Geben Sie im Abschnitt Von die folgenden Werte an:
      • Identitäten: Wählen Sie Beliebige Identität aus, um allen Nutzern des SFTP-Servers Zugriff zu gewähren. Wenn Sie den Zugriff nur auf bestimmte Nutzer beschränken möchten, geben Sie die E-Mail-Adressen der Dienstkonten der Nutzer an. Eine Anleitung zum Abrufen des Dienstkontos eines Nutzers finden Sie unter Details zu einem Nutzer abrufen.
      • Quellen:Wählen Sie die von Ihnen erstellte Zugriffsebene aus.
    • Geben Sie im Abschnitt An die folgenden Werte an:
      • Ressourcen: Wählen Sie die Projekte aus, die die Cloud Storage-Buckets enthalten, die Sie schützen möchten.
      • Vorgänge oder IAM-Rollen:
        • Fügen Sie eine Regel für eingehenden Traffic hinzu, die auf ftp.googleapis.com ausgerichtet ist.
        • Wenn Cloud Storage (storage.googleapis.com) durch Zugriffsebenen für die Gerätesicherheit geschützt ist, z. B. Chrome Enterprise Premium, fügen Sie auch eine Regel für eingehenden Traffic auf Methodenebene hinzu, die auf storage.googleapis.com ausgerichtet ist. Beschränken Sie die API-Methoden auf Cloud FTP-Vorgänge mit langer Ausführungszeit: ftp.googleapis.com/operations.*

Weitere Konfigurationsoptionen

  • Wenn sich das Projekt mit den Cloud Storage-Buckets in einem vorhandenen Dienstperimeter befindet, können Sie die Zugriffsebenen und die Regel für eingehenden Traffic des Perimeters aktualisieren, um den Cloud FTP API-Dienst zu schützen.
  • Wenn sich Ihre Cloud Storage- und Cloud FTP-Ressourcen in verschiedenen Dienstperimetern befinden, dann erstellen Sie eine Perimeter-Bridge , damit Projekte und Dienste in verschiedenen Perimetern miteinander kommunizieren können.

Beschränkungen

  • Bei externen Servern wird die Perimeter-Erzwingung dynamisch angewendet, wenn der Dienst ftp.googleapis.com in der Liste der eingeschränkten Dienste des Perimeters enthalten ist.
  • Bei internen Servern wird die Perimeter-Erzwingung nur beim Erstellen des Servers validiert. Wenn Sie einen Perimeter ändern, nachdem Sie einen internen Server erstellt haben, werden Perimeter-Änderungen (z. B. Perimeter-Mitgliedschaft, Regeln für eingehenden Traffic oder Netzwerkzuordnungen) auf dem vorhandenen internen Server nicht erkannt oder erzwungen. Sie müssen den internen Server neu erstellen, um die aktualisierten Perimeter-Steuerelemente zu erzwingen.
  • SFTP- und SSH-Sitzungen enthalten keine Metadaten zur Gerätesicherheit, z. B. Chrome Enterprise Premium-Geräteattribute oder Endpunktprüfungszertifikate. Daher können mit Regeln für eingehenden Traffic nur Bedingungen für IP-Adresse und Identität erzwungen werden.

Fehlerbehebung

Hilfe zur Fehlerbehebung finden Sie unter VPC Service Controls – Fehlerbehebung.

Nächste Schritte