Configura los Controles del servicio de VPC para Cloud FTP

Cloud FTP requiere acceso a los buckets de Cloud Storage para subir y descargar datos en ellos. Si tu organización usa los Controles del servicio de VPC para proteger Cloud Storage, se requiere una configuración adicional para usar Cloud FTP y transferir datos. En este documento, se describe cómo crear un perímetro de servicio de los Controles del servicio de VPC con reglas de entrada que permitan que Cloud FTP transfiera datos de Cloud Storage almacenados dentro del perímetro.

Para obtener información general sobre los Controles del servicio de VPC, consulta Descripción general de los Controles del servicio de VPC.

Roles obligatorios

Para obtener los permisos que necesitas para crear un perímetro de servicio, pídele a tu administrador que te otorgue el rol de IAM Administrador de Access Context Manager (roles/accesscontextmanager.policyAdmin) en tu organización. Para obtener más información sobre cómo otorgar roles, consulta Administra el acceso a proyectos, carpetas y organizaciones.

También puedes obtener los permisos necesarios mediante roles personalizados o cualquier otro rol predefinido.

Configurar el perímetro de servicio

Para permitir que un servidor SFTP transfiera datos de Cloud Storage en un perímetro, sigue los pasos para crear un perímetro de servicio. Proporciona la siguiente información:

  • Tipo de perímetro: Selecciona Regular.
  • Recursos que se deben proteger: Agrega los siguientes proyectos al perímetro:
    • Los proyectos que contienen los buckets de Cloud Storage que deseas proteger
    • El proyecto que contiene el servidor SFTP
  • Servicios restringidos: Agrega los siguientes servicios al perímetro:
    • API de Cloud FTP (ftp.googleapis.com)
    • API de Cloud Storage (storage.googleapis.com)
  • Servicios de VPC accesibles: selecciona Todos los servicios restringidos.
  • Niveles de acceso: Agrega un nivel de acceso con las siguientes condiciones:
    • Cuando se cumpla la condición, devolver: Selecciona Verdadero.
    • Selecciona IP pública.
    • Subredes de IP: Las direcciones IP o los rangos CIDR de los clientes SFTP que se conectan al servidor.
  • Política de entrada:
    • En la sección De, proporciona los siguientes valores:
      • Identidades: selecciona Cualquier identidad para proporcionar acceso a todos los usuarios del servidor SFTP. O bien, si deseas limitar el acceso solo a usuarios específicos, proporciona las direcciones de correo electrónico de las cuentas de servicio de los usuarios. Para obtener los pasos para obtener la cuenta de servicio de un usuario, consulta Obtén detalles sobre un usuario.
      • Fuentes: Selecciona el nivel de acceso que creaste.
    • En la sección A, proporciona los siguientes valores:
      • Recursos: Selecciona los proyectos que contienen los buckets de Cloud Storage que deseas proteger.
      • Operaciones o roles de IAM:
        • Agrega una regla de entrada que apunte a ftp.googleapis.com.
        • Si Cloud Storage (storage.googleapis.com) está protegido por niveles de acceso de postura del dispositivo, como Chrome Enterprise Premium, también agrega una regla de entrada a nivel del método que apunte a storage.googleapis.com. Restringe los métodos de la API a las operaciones de larga duración de Cloud FTP: ftp.googleapis.com/operations.*

Otras opciones de configuración

  • Si el proyecto que contiene los buckets de Cloud Storage se encuentra en un perímetro de servicio existente, puedes actualizar los niveles de acceso y la política de entrada del perímetro para agregar protección para el servicio de la API de Cloud FTP.
  • Si tus recursos de Cloud Storage y Cloud FTP se encuentran en diferentes perímetros de servicio, entonces crea un puente perimetral para permitir que los proyectos y servicios en diferentes perímetros se comuniquen.

Limitaciones

  • En el caso de los servidores externos, la aplicación del perímetro se aplica de forma dinámica cada vez que el servicio ftp.googleapis.com se incluye en la lista de servicios restringidos del perímetro.
  • En el caso de los servidores internos, la aplicación del perímetro se valida solo cuando se crea el servidor. Este comportamiento significa que, si cambias un perímetro después de crear un servidor interno, no se detectará ni se aplicará ningún cambio de perímetro (como la membresía del perímetro, las políticas de entrada o las asociaciones de red) en el servidor interno existente. Debes volver a crear el servidor interno para aplicar los controles de perímetro actualizados.
  • Las sesiones de SFTP y SSH no contienen metadatos de postura del dispositivo, como los atributos del dispositivo de Chrome Enterprise Premium o los certificados de Endpoint Verification. Este comportamiento significa que las reglas de entrada solo pueden aplicar condiciones de identidad y dirección IP.

Soluciona problemas

Para obtener ayuda para solucionar problemas, consulta Solución de problemas de los Controles del servicio de VPC.

¿Qué sigue?