Cloud FTP 用に VPC Service Controls を構成する

Cloud FTP では、バケット内のデータをアップロードおよびダウンロードするために、Cloud Storage バケットへのアクセスが必要です。組織で VPC Service Controls を使用して Cloud Storage を保護している場合は、Cloud FTP を使用してデータを転送するために追加の設定が必要です。このドキュメントでは、Cloud FTP が境界内に保存されている Cloud Storage データを転送できるようにする上り（内向き）ルールを使用して、VPC Service Controls サービス境界を作成する方法について説明します。

VPC Service Controls の背景情報については、VPC Service Controls の概要をご覧ください。

必要なロール

サービス境界の作成に必要な権限を取得するには、組織に対する Access Context Manager 管理者 （roles/accesscontextmanager.policyAdmin）IAM ロールを付与するよう管理者に依頼してください。ロールの付与については、プロジェクト、フォルダ、組織に対するアクセス権の管理をご覧ください。

必要な権限は、カスタムロールや他の事前定義ロールから取得することもできます。

サービス境界を構成する

SFTP サーバーが境界内で Cloud Storage データを転送できるようにするには、サービス境界を作成する手順に沿って操作します。次の情報をお知らせください。

  • 境界のタイプ: [標準] を選択します。
  • 保護するリソース: 次のプロジェクトを境界に追加します。
    • 保護する Cloud Storage バケットを含むプロジェクト
    • SFTP サーバーを含むプロジェクト
  • 制限付きサービス: 次のサービスを境界に追加します。
    • Cloud FTP API（ftp.googleapis.com）
    • Cloud Storage API（storage.googleapis.com）
  • VPC のアクセス可能なサービス: [すべての制限付きサービス] を選択します。
  • アクセスレベル: 次の条件でアクセスレベルを追加します。
    • [条件を満たしている場合に返される値:]: [True] を選択します。
    • [パブリック IP] を選択します。
    • IP サブネットワーク: サーバーに接続する SFTP クライアントの IP アドレスまたは CIDR 範囲。
  • 上り（内向き）ポリシー:
    • [送信元] セクションで、次の値を指定します。
      • ID: [任意の ID] を選択して、SFTP サーバーのすべてのユーザーにアクセス権を付与します。特定のユーザーにのみアクセスを制限する場合は、ユーザーのサービス アカウントのメールアドレスを指定します。ユーザーのサービス アカウントを取得する手順については、ユーザーの詳細を取得するをご覧ください。
      • ソース: 作成したアクセスレベルを選択します。
    • [宛先] セクションで、次の値を指定します。
      • リソース: 保護する Cloud Storage バケットを含むプロジェクトを選択します。
      • オペレーションまたは IAM ロール:
        • ftp.googleapis.com をターゲットとする上り（内向き）ルールを追加します。
        • Cloud Storage（storage.googleapis.com）が Chrome Enterprise Premium などのデバイス ポスチャー アクセスレベルで保護されている場合は、storage.googleapis.com をターゲットとするメソッドレベルの下り（内向き）ルールも追加します。API メソッドを Cloud FTP の長時間実行オペレーションに制限します。ftp.googleapis.com/operations.*

その他の構成オプション

  • Cloud Storage バケットを含むプロジェクトが既存のサービス境界内にある場合は、境界のアクセスレベルと上り（内向き）ポリシーを更新して、Cloud FTP API サービスの保護を追加できます。
  • Cloud Storage リソースと Cloud FTP リソースが異なるサービス境界にある場合は、境界ブリッジを作成して、異なる境界内のプロジェクトとサービスが通信できるようにします。

制限事項

  • 外部サーバーの場合、境界の制限付きサービスのリストに ftp.googleapis.com サービスが含まれている場合は、境界の適用が動的に適用されます。
  • 内部サーバーの場合、境界の適用はサーバーの作成時にのみ検証されます。この動作は、内部サーバーの作成後に境界を変更した場合、既存の内部サーバーで境界の変更（境界メンバーシップ、上り（内向き）ポリシー、ネットワーク関連付けなど）が検出または適用されないことを意味します。更新された境界コントロールを適用するには、内部サーバーを再作成する必要があります。
  • SFTP セッションと SSH セッションでは、Chrome Enterprise Premium のデバイス属性や Endpoint Verification 証明書などのデバイス ポスチャー メタデータは伝送されません。この動作は、上り（内向き）ルールで IP アドレスと ID の条件のみを適用できることを意味します。

トラブルシューティング

トラブルシューティングのヘルプについては、VPC Service Controls のトラブルシューティングをご覧ください。

次のステップ