שימוש ב-VPC Service Controls

‫VPC Service Controls הוא תכונה שמאפשרת להגדיר גבולות גזרה לשירות כדי להגן מפני זליגת נתונים. Google Cloud

‫VPC Service Controls ב-Developer Connect לא מגן מפני העברה אפשרית של נתונים למערכות חיצוניות לניהול קוד מקור. במדריך הזה מוצגים אמצעי בקרה נוספים שמשתמשים במדיניות ארגונית מותאמת אישית כדי לעזור לחסום את התרחישים האלה. SCMSs

מידע נוסף על השימוש ב-VPC Service Controls זמין במאמר הגדרת גבולות גזרה לשירות באמצעות VPC Service Controls.

  • יוצרים מדיניות ארגונית מותאמת אישית שמגבילה את האפשרויות של המפתחים ליצור חיבורים.

  • יוצרים מדיניות ארגונית מותאמת אישית שמאפשרת למפתחים ליצור ולעדכן חיבורים רק דרך משאב ספציפי של Service Directory.

לפני שמתחילים

כדי להשתמש בדוגמאות של שורת הפקודה במדריך הזה, צריך להתקין ולהגדיר את Google Cloud CLI.

התפקידים הנדרשים

כדי לקבל את ההרשאות שנדרשות ליצירה או לעריכה של מדיניות ארגונית בהתאמה אישית, צריך לבקש מהאדמין להקצות לכם את תפקיד ה-IAM‏ Organization Policy Administrator (אדמין מדיניות ארגונית) ‏(roles/orgpolicy.policyAdmin) במשאב הארגון. כדי לקרוא הסבר על מתן תפקידים, ראו איך מנהלים את הגישה ברמת הפרויקט, התיקייה והארגון.

יכול להיות שאפשר לקבל את ההרשאות הנדרשות גם באמצעות תפקידים בהתאמה אישית או תפקידים מוגדרים מראש.

יצירת אילוץ להגבלת מערכות ה-SCM שאליהן הצוות יכול ליצור חיבורים

דרך אחת לצמצם את הסיכון לזליגת מידע למערכת SCMS היא להגביל את מערכות ה-SCMS שאליהן מותר להתחבר. אתם יכולים ליצור מדיניות ארגונית בהתאמה אישית שתאפשר חיבור למערכות SCMS ספציפיות.

מדיניות הארגון הבאה מגבילה את החיבורים למאגרים כך שיתאפשרו חיבורים רק ל-GitHub Enterprise:

name: organizations/ORGANIZATION_ID/customConstraints/CONSTRAINT_NAME
resourceTypes:
- developerconnect.googleapis.com/Connection
methodTypes:
- CREATE
- UPDATE
condition: |
  resource.githubEnterpriseConfig.hostUri=="https://github.mycompany.net"
actionType: ALLOW
displayName: Connection GitHub Enterprise Host Constraint
description: |
  Allows creation/update of Developer Connect connections only to GitHub Enterprise host github.mycompany.net

יצירת אילוץ שדורש חיבורים דרך Service Directory

כדי לצמצם את הסיכון להעברת נתונים לא מורשית, אפשר ליצור מדיניות ארגונית בהתאמה אישית שמאפשרת חיבורים רק לנקודת קצה ספציפית של ספריית השירותים.

מדיניות הארגון הבאה מאפשרת חיבורים רק לנקודת קצה ספציפית של Service Directory:

name: organizations/ORGANIZATION_ID/customConstraints/CONSTRAINT_NAME
resourceTypes:
- developerconnect.googleapis.com/Connection
methodTypes:
- CREATE
- UPDATE
condition: |
  resource.gitlabEnterpriseConfig.serviceDirectoryConfig.service=="projects/my-project/locations/us-central1/namespaces/ns/services/myendpoint"
actionType: ALLOW
displayName: Connection GitLab Enterprise Service Directory endpoint
description: |
  Allows creation/update of Developer Connect connections only through a specific Service Directory resource

המאמרים הבאים