לפני שמתחילים
כדי לשלוט בתעבורת הנתונים היוצאת, צריך את התפקידים הנדרשים לניהול זהויות והרשאות גישה:
- עריכת פרויקטים: גישה לניהול ולמחיקה של פרויקטים. בקשו ממנהל חשבון ארגוני ב-IAM להקצות לכם את התפקיד 'עריכת פרויקטים' (
project-editor).
אכיפת מדיניות של תעבורת נתונים ללא תנועה יוצאת (egress)
כברירת מחדל, מדיניות התנועה ללא תעבורת נתונים יוצאת נאכפת כשיוצרים פרויקט חדש. אתם יכולים לוודא שהמדיניות הזו נאכפת כשאתם יוצרים פרויקט.
המסוף
כדי לאכוף את המדיניות של איסור תעבורת נתונים יוצאת, צריך לבצע את השלבים הבאים כשיוצרים פרויקט:
- במסוף GDC, נכנסים ל-Projects.
- לוחצים על הכפתור Add Project כדי ליצור פרויקט.
- בדפים Project name ו-Attach clusters, ממלאים את הפרטים הנדרשים לפרויקט.
- בדף Network, בקטע Egress Control, מוודאים שהתיבה Enforce no-egress traffic policy מסומנת.
- לוחצים על הבא.
- בודקים את הפרטים בדף Review.
- לוחצים על יצירה.
API
כברירת מחדל, מדיניות התעבורה ללא תנועה יוצאת נאכפת כשיוצרים פרויקט. כדי לאכוף את המדיניות של אי-תעבורת נתונים יוצאת באמצעות ה-API, צריך לוודא שהמטא-נתונים של הפרויקט לא מכילים את התווית networking.gdc.goog/enable-default-egress-allow-to-outside-the-org. אם התווית כבר קיימת, מסירים אותה.
apiVersion: resourcemanager.global.gdc.goog/v1
kind: Project
metadata:
name: PROJECT_NAME
namespace: platform
אישור תעבורת נתונים יוצאת
כברירת מחדל, בפרויקט נאכפת מדיניות של אי-תנועה יוצאת. אלה כללי המדיניות שמוגדרים כברירת מחדל בפרויקט שבו נאכפת מדיניות ללא תנועה יוצאת:
- לאפשר תנועה נכנסת רק מאותו פרויקט. כל תנועה אחרת נדחית.
- לאפשר תנועה יוצאת לכל היעדים באותו ארגון. כל תנועה אחרת נדחית, כלומר תנועה חיצונית מחוץ לארגון נדחית.
כשאוכפים את מדיניות התעבורה ללא תעבורת נתונים יוצאת (egress), היא חוסמת את כל התעבורה היוצאת מהפרויקט לכל יעד מחוץ לארגון. הגדרה זו מבטלת את כללי מדיניות הרשת של הפרויקט (PNP) שעשויים לאפשר תעבורת נתונים יוצאת.
אם אתם מאפשרים תעבורת נתונים יוצאת על ידי ביטול הסימון של תיבת הסימון המתאימה במסוף GDC לפרויקט, כללי מדיניות ברירת המחדל של הפרויקט הם:
- לאפשר תנועה נכנסת רק מאותו פרויקט. כל תנועה אחרת נדחית.
לאפשר תנועה יוצאת לכל היעדים, כולל פרויקטים חיצוניים מארגונים אחרים.
המסוף
בצע את השלבים הבאים כדי לאפשר תעבורת נתונים יוצאת בפרויקט:
- במסוף GDC, לוחצים על Projects בתפריט הניווט.
- לוחצים על שם הפרויקט שבו רוצים לאפשר תעבורת נתונים יוצאת (egress).
- לוחצים על Edit בשדה Egress Control.
- בדף Edit Egress Control, מבטלים את הסימון של התיבה Enforce no-egress traffic policy.
- לוחצים על Save. השדה Egress Control משקף שהמדיניות מושבתת.
API
כדי לאפשר תעבורת נתונים יוצאת, צריך להוסיף את התווית networking.gdc.goog/enable-default-egress-allow-to-outside-the-org: "true" למטא-נתונים של הפרויקט. אם מפתח התווית הזה קיים, מדיניות ברירת המחדל של תנועה ללא תעבורת נתונים יוצאת מושבתת, והמערכת מתעלמת מערך התווית.
apiVersion: resourcemanager.global.gdc.goog/v1
kind: Project
metadata:
name: PROJECT_NAME
namespace: platform
labels:
networking.gdc.goog/enable-default-egress-allow-to-outside-the-org: "true"
כדי להגביל את תעבורת הנתונים היוצאת, צריך ליצור כללי מדיניות של תעבורת נתונים יוצאת (egress) ב-ProjectNetworkPolicy לפרויקטים. מידע נוסף זמין במאמר הגדרת מדיניות הרשת של הפרויקט.