הגבלת האינטראקציה עם מכונות וירטואליות רק ל-Confidential VM

אתם יכולים להגדיר perimeter אבטחה כדי לוודא שהמכונות הווירטואליות החסויות שלכם יכולות לתקשר רק עם מכונות וירטואליות חסויות אחרות. השירותים הבאים מאפשרים לעשות את זה:

• רשתות של ענן וירטואלי פרטי (VPC) משותף

• מגבלות שקשורות למדיניות הארגון

• כללי חומת אש

אפשר להגדיר היקף אבטחה סביב מכונות וירטואליות סודיות שנמצאות באותו פרויקט או בפרויקטים נפרדים.

התפקידים הנדרשים

כדי לקבל את ההרשאות שדרושות ליצירת היקף אבטחה, צריך לבקש מהאדמין להקצות לכם את תפקידי ה-IAM הבאים בארגון:

• אדמין ארגוני (roles/resourcemanager.organizationAdmin)
• אדמין של רשת VPC משותפת ב-Compute (roles/compute.xpnAdmin)
• אדמין IAM בפרויקט (roles/resourcemanager.projectIamAdmin)
• משתמש ברשת Compute (roles/compute.networkUser)
• אדמין מכונות של Compute (roles/compute.instanceAdmin)

להסבר על מתן תפקידים, ראו איך מנהלים את הגישה ברמת הפרויקט, התיקייה והארגון.

יכול להיות שאפשר לקבל את ההרשאות הנדרשות גם באמצעות תפקידים בהתאמה אישית או תפקידים מוגדרים מראש.

מידע נוסף על התפקידים האלה מופיע במאמר תפקידי אדמין נדרשים שבמאמר סקירה כללית על רשתות VPC משותפות.

יצירת היקף Confidential VM

כדי ליצור מתחם אבטחה סביב מופעי מכונות וירטואליות חסויות, צריך לבצע את ההוראות הבאות:

1. יוצרים תיקייה בארגון בשם confidential-perimeter.

2. בתוך התיקייה, יוצרים פרויקט מארח של VPC משותף. ההגדרה הזו מגדירה את הגבולות של מכונה וירטואלית חסויה.

אחרי שיוצרים פרויקט מארח של VPC, משתפים את הפרויקט על ידי הענקת גישה לצוות הרשת.

אכיפת גבולות הגזרה

כדי למנוע מפרויקטים של שירות לאפשר למופעי VM לא Confidential VMs ליצור אינטראקציה עם גבולות הגזרה, צריך להחיל את האילוצים הבאים של מדיניות הארגון על התיקייה confidential-perimeter, כמו שמצוין.

מגבלה	ערך	תיאור
constraints/compute.restrictNonConfidentialComputing	deny compute.googleapis.com	מכריח את כל פרויקטי השירות ליצור רק מכונות וירטואליות חסויות.
constraints/compute.restrictSharedVpcHostProjects	under: FOLDER_ID	מונעת מפרויקטים בתוך ההיקף ליצור פרויקט מארח נוסף של VPC משותף. מחליפים את FOLDER_ID ב מזהה של התיקייה confidential-perimeter.
constraints/compute.restrictVpcPeering	is: []	מונעת מפרויקטים של שירותים לבצע פירינג של רשתות וחיבורי רשת מחוץ לגבולות הגזרה.
constraints/compute.vmExternalIpAccess	is: []	האפשרות הזו מחייבת את כל המכונות הווירטואליות מסוג Confidential VM בפרויקטים של שירות להשתמש בכתובות IP פנימיות.
constraints/compute.restrictLoadBalancerCreationForTypes	allowedValues: ["INTERNAL_TCP_UDP", "INTERNAL_HTTP_HTTPS",]	מונע מכל המכונות הווירטואליות להגדיר נקודת כניסה שגלויה באינטרנט. אפשר לבטל את ההגדרה הזו בפרויקטים ספציפיים בפרימטר שצריכים לקבל תנועה נכנסת – לדוגמה, רשת הפרימטר.

כדי לשלוט בהעברת נתונים ברשת מחוץ לגבולות גזרה, משתמשים בכללי חומת אש של VPC.

המאמרים הבאים

אתם יכולים להשתמש ב-VPC Service Controls כדי להרחיב את היקף האבטחה כך שיכלולGoogle Cloud משאבים. מידע נוסף זמין במאמר סקירה כללית על VPC Service Controls.