Menggunakan Kontrol Layanan VPC

Kontrol Layanan VPC adalah Google Cloud fitur yang memungkinkan Anda menyiapkan perimeter layanan untuk mencegah pemindahan data yang tidak sah.

Kontrol Layanan VPC di Developer Connect tidak melindungi dari kemungkinan pemindahan data yang tidak sah ke sistem pengelolaan kode sumber eksternal. Panduan ini menunjukkan kontrol lebih lanjut yang menggunakan Kebijakan Organisasi Kustom untuk membantu memblokir skenario ini. SCMS

Lihat Menyiapkan perimeter layanan menggunakan Kontrol Layanan VPC untuk mengetahui informasi selengkapnya tentang cara menggunakan Kontrol Layanan VPC.

  • Buat kebijakan organisasi kustom yang membatasi koneksi yang dapat dibuat oleh developer Anda.

  • Buat kebijakan organisasi kustom yang memungkinkan developer Anda membuat dan memperbarui koneksi hanya melalui resource Direktori Layanan tertentu.

Sebelum memulai

Untuk menggunakan contoh command line dalam panduan ini, instal dan konfigurasi Google Cloud CLI.

Peran yang diperlukan

Guna mendapatkan izin yang diperlukan untuk membuat atau mengedit kebijakan organisasi kustom, minta administrator untuk memberi Anda peran IAM Administrator Kebijakan Organisasi (roles/orgpolicy.policyAdmin) di resource organisasi. Untuk mengetahui informasi selengkapnya tentang cara memberikan peran, lihat Mengelola akses ke project, folder, dan organisasi.

Anda mungkin juga bisa mendapatkan izin yang diperlukan melalui peran khusus atau peran bawaan lainnya.

Membuat batasan untuk membatasi SCMS yang dapat dibuat koneksinya oleh tim Anda

Salah satu cara untuk mengurangi kemungkinan pemindahan data yang tidak sah ke SCMS adalah dengan membatasi SCMS mana yang diizinkan untuk koneksi. Anda dapat membuat kebijakan organisasi kustom yang mengizinkan koneksi ke satu atau beberapa SCMS yang ditentukan.

Kebijakan organisasi berikut membatasi koneksi repositori untuk mengizinkan koneksi hanya ke GitHub Enterprise:

name: organizations/ORGANIZATION_ID/customConstraints/CONSTRAINT_NAME
resourceTypes:
- developerconnect.googleapis.com/Connection
methodTypes:
- CREATE
- UPDATE
condition: |
  resource.githubEnterpriseConfig.hostUri=="https://github.mycompany.net"
actionType: ALLOW
displayName: Connection GitHub Enterprise Host Constraint
description: |
  Allows creation/update of Developer Connect connections only to GitHub Enterprise host github.mycompany.net

Membuat batasan untuk mewajibkan koneksi melalui Direktori Layanan

Anda dapat mengurangi kemungkinan pemindahan data yang tidak sah dengan membuat kebijakan organisasi kustom yang hanya mengizinkan koneksi ke endpoint Direktori Layanan tertentu.

Kebijakan organisasi berikut hanya mengizinkan koneksi ke endpoint Direktori Layanan tertentu:

name: organizations/ORGANIZATION_ID/customConstraints/CONSTRAINT_NAME
resourceTypes:
- developerconnect.googleapis.com/Connection
methodTypes:
- CREATE
- UPDATE
condition: |
  resource.gitlabEnterpriseConfig.serviceDirectoryConfig.service=="projects/my-project/locations/us-central1/namespaces/ns/services/myendpoint"
actionType: ALLOW
displayName: Connection GitLab Enterprise Service Directory endpoint
description: |
  Allows creation/update of Developer Connect connections only through a specific Service Directory resource

Langkah berikutnya