Configura los Controles del servicio de VPC para Cloud FTP

Cloud FTP requiere acceso a los buckets de Cloud Storage para subir y descargar datos en ellos. Si tu organización usa los Controles del servicio de VPC para proteger Cloud Storage, se requiere una configuración adicional para usar Cloud FTP y transferir datos. En este documento, se describe cómo crear un perímetro de servicio de Controles del servicio de VPC con reglas de entrada que permitan que Cloud FTP transfiera datos de Cloud Storage que se almacenan dentro del perímetro.

Para obtener información general sobre los Controles del servicio de VPC, consulta Descripción general de los Controles del servicio de VPC.

Roles obligatorios

Para obtener los permisos que necesitas para crear un perímetro de servicio, pídele a tu administrador que te otorgue el rol de IAM de Administrador de Access Context Manager (roles/accesscontextmanager.policyAdmin) en tu organización. Para obtener más información sobre cómo otorgar roles, consulta Administra el acceso a proyectos, carpetas y organizaciones.

También puedes obtener los permisos necesarios a través de roles personalizados o cualquier otro rol predefinido.

Configurar el perímetro de servicio

Para permitir que un servidor SFTP transfiera datos de Cloud Storage en un perímetro, sigue los pasos para crear un perímetro de servicio. Proporciona la siguiente información:

  • Tipo de perímetro: selecciona Normal.
  • Recursos que se deben proteger: Agrega los siguientes proyectos al perímetro:
    • Los proyectos que contienen los buckets de Cloud Storage que deseas proteger
    • El proyecto que contiene el servidor de SFTP
  • Servicios restringidos: Agrega los siguientes servicios al perímetro:
    • API de Cloud FTP (ftp.googleapis.com)
    • API de Cloud Storage (storage.googleapis.com)
  • Servicios de VPC accesibles: Selecciona Todos los servicios restringidos.
  • Niveles de acceso: Agrega un nivel de acceso con las siguientes condiciones:
    • Cuando se cumpla la condición, devolver: Selecciona Verdadero.
    • Selecciona IP pública.
    • Subredes IP: Son las direcciones IP o los rangos CIDR de los clientes de SFTP que se conectan al servidor.
  • Política de entrada:
    • En la sección De, proporciona los siguientes valores:
      • Identidades: Selecciona Cualquier identidad para proporcionar acceso a todos los usuarios del servidor SFTP. O bien, si deseas limitar el acceso solo a usuarios específicos, proporciona las direcciones de correo electrónico de las cuentas de servicio de los usuarios. Para conocer los pasos que debes seguir para obtener la cuenta de servicio de un usuario, consulta Obtén detalles sobre un usuario.
      • Fuentes: Selecciona el nivel de acceso que creaste.
    • En la sección Para, proporciona los siguientes valores:
      • Recursos: Selecciona los proyectos que contienen los buckets de Cloud Storage que deseas proteger.
      • Operaciones o roles de IAM:
        • Agrega una regla de entrada orientada a ftp.googleapis.com.
        • Si Cloud Storage (storage.googleapis.com) está protegido por niveles de acceso de postura del dispositivo, como Chrome Enterprise Premium, también agrega una regla de entrada a nivel de método orientada a storage.googleapis.com. Restringe los métodos de la API a las operaciones de larga duración de Cloud FTP: ftp.googleapis.com/operations.*

Otras opciones de configuración

  • Si el proyecto que contiene los buckets de Cloud Storage se encuentra en un perímetro de servicio existente, puedes actualizar los niveles de acceso y la política de entrada del perímetro para agregar protección al servicio de la API de Cloud FTP.
  • Si tus recursos de Cloud Storage y Cloud FTP están en perímetros de servicio diferentes, crea un puente perimetral para permitir que se comuniquen los proyectos y servicios en perímetros diferentes.

Limitaciones

  • En el caso de los servidores externos, la aplicación del perímetro se realiza de forma dinámica cada vez que el servicio de ftp.googleapis.com se incluye en la lista de servicios restringidos del perímetro.
  • En el caso de los servidores internos, la aplicación de medidas por incumplimiento del perímetro solo se valida cuando se crea el servidor. Este comportamiento significa que, si cambias un perímetro después de crear un servidor interno, no se detectarán ni aplicarán los cambios en el perímetro (como la membresía del perímetro, las políticas de entrada o las asociaciones de red) en el servidor interno existente. Debes volver a crear el servidor interno para aplicar los controles de perímetro actualizados.
  • Las sesiones de SFTP y SSH no llevan metadatos de postura del dispositivo, como los atributos de dispositivo de Chrome Enterprise Premium o los certificados de Verificación de extremos. Este comportamiento significa que las reglas de entrada solo pueden aplicar condiciones de identidad y dirección IP.

Soluciona problemas

Para obtener ayuda con la solución de problemas, consulta Solución de problemas de los Controles del servicio de VPC.

¿Qué sigue?