Créer des règles de réseau pour l'organisation

Une règle de réseau d'organisation définit le contrôle des accès réseau pour les services gérés au niveau de l'organisation exposés via Google Distributed Cloud (GDC) avec isolation physique. Vous pouvez définir ces contrôles des accès à l'aide de la ressource OrganizationNetworkPolicy de l'API Networking.

Pour obtenir les autorisations nécessaires pour configurer la règle de réseau de l'organisation, demandez à votre administrateur IAM de l'organisation de vous accorder le rôle d'administrateur des règles de réseau de l'organisation (org-network-policy-admin).

Vous pouvez définir une règle de réseau d'administration pour les contrôles d'accès aux services gérés GDC suivants :

• Tous les services
• Console GDC
• CLI Distributed Cloud
• Serveur d'API global
• Identity and Access Management (IAM)
• Systèmes de gestion des clés (KMS)
• Stockage d'objets
• System Artifact Registry (SAR)
• Vertex AI
  • Les services de Vertex AI compatibles avec une règle incluent l'API Optical Character Recognition, l'API Speech-to-Text, l'API Translation et Workbench.
• Gestion des machines virtuelles (VMM)

Règle par défaut

Par défaut, les services gérés GDC suivants ont les principes suivants :

Service GDC	Principe
Tous les services	allow-all
Console GDC	allow-all
gdcloud CLI	allow-all
Serveur d'API global	deny-by-default
IAM	deny-by-default
KMS	deny-by-default
Stockage d'objets	deny-by-default
SAR	allow-all
Vertex AI et services compatibles	deny-by-default
VMM	deny-by-default

Exemple de règle de réseau d'organisation

Voici un exemple de ressource OrganizationNetworkPolicy qui autorise le trafic provenant d'une adresse IP à accéder à un service géré GDC.

kubectl --kubeconfig MANAGEMENT_API_SERVER apply -f - <<EOF
apiVersion: networking.gdc.goog/v1
kind: OrganizationNetworkPolicy
metadata:
  name: POLICY_NAME
  namespace: platform
spec:
  subject:
    services:
      matchTypes:
      - "SERVICE_NAME"
  ingress:
    - from:
      - ipBlock:
          cidr: CIDR
      - ipBlock:
          cidr: CIDR
EOF

Remplacez les variables suivantes :

Variable	Description
MANAGEMENT_API_SERVER	Chemin d'accès du fichier kubeconfig pour le serveur d'API zonal. Si vous n'avez pas encore généré de fichier kubeconfig pour le serveur d'API dans votre zone cible, consultez Se connecter pour en savoir plus.
POLICY_NAME	Nom à attribuer à la règle. Par exemple, allow-ui-access.
SERVICE_NAME	Nom du service auquel appliquer la règle. Utilisez les valeurs suivantes pour chaque service : Tous les services : all Console GDC : ui-console gdcloud CLI : api-server Serveur d'API global : global-api-server IAM : iam KMS : kms Stockage d'objets : object-storage SAR : system-artifact-registry Vertex AI : ai VMM : vmm
CIDR	Plage d'adresses IP au format CIDR à partir de laquelle l'accès est autorisé, par exemple 10.251.0.0/24. Vous pouvez ajouter plusieurs entrées ipBlock pour autoriser l'accès à partir de plusieurs plages.