יצירת כללי מדיניות לרשת הארגון

מדיניות הרשת של הארגון מגדירה את בקרת הגישה לרשת של שירותים מנוהלים ברמת הארגון, שחשופים דרך Google Distributed Cloud (GDC)‎ עם air gap. אפשר להגדיר את אמצעי בקרת הגישה האלה באמצעות המשאב OrganizationNetworkPolicy מ-Networking API.

כדי לקבל את ההרשאות שדרושות להגדרת מדיניות רשת ב-Kubernetes של הארגון, בקשו ממנהל חשבון ארגוני ב-IAM להקצות לכם את התפקיד "אדמין של מדיניות הרשת של הארגון" (org-network-policy-admin).

אתם יכולים להגדיר מדיניות רשת ב-Kubernetes בארגון לבקרת גישה לשירותים המנוהלים הבאים של GDC:

• כל השירותים
• מסוף GDC
• Distributed Cloud CLI
• שרת API גלובלי
• ניהול זהויות והרשאות גישה (IAM)
• מערכות לניהול מפתחות (KMS)
• מאגר אובייקטים
• System Artifact Registry (SAR)
• Vertex AI
  • השירותים ב-Vertex AI שתומכים במדיניות כוללים את Optical Character Recognition API,‏ Speech-to-Text API,‏ Translation API ו-Workbench.
• ניהול מכונות וירטואליות (VMM)

מדיניות ברירת המחדל

כברירת מחדל, השירותים המנוהלים הבאים של GDC פועלים לפי העקרונות הבאים:

שירות GDC	עיקרון
כל השירותים	allow-all
מסוף GDC	allow-all
gdcloud CLI	allow-all
שרת API גלובלי	deny-by-default
IAM	deny-by-default
KMS	deny-by-default
אחסון אובייקטים	deny-by-default
SAR	allow-all
‫Vertex AI ושירותים נתמכים	deny-by-default
VMM	deny-by-default

דוגמה למדיניות רשת ב-Kubernetes ברמת הארגון

הדוגמה הבאה היא של משאב OrganizationNetworkPolicy שמאפשר לתנועה מכתובת IP לגשת לשירות מנוהל ב-GDC.

kubectl --kubeconfig MANAGEMENT_API_SERVER apply -f - <<EOF
apiVersion: networking.gdc.goog/v1
kind: OrganizationNetworkPolicy
metadata:
  name: POLICY_NAME
  namespace: platform
spec:
  subject:
    services:
      matchTypes:
      - "SERVICE_NAME"
  ingress:
    - from:
      - ipBlock:
          cidr: CIDR
      - ipBlock:
          cidr: CIDR
EOF

מחליפים את המשתנים הבאים:

משתנה	תיאור
MANAGEMENT_API_SERVER	הנתיב של kubeconfig בשרת ה-API האזורי. אם עדיין לא יצרתם קובץ kubeconfig לשרת ה-API באזור היעד, עיינו בפרטים בקטע כניסה.
POLICY_NAME	השם שרוצים לתת למדיניות. לדוגמה, allow-ui-access.
SERVICE_NAME	שם השירות שעליו רוצים להחיל את המדיניות. משתמשים בערכים הבאים לכל שירות: כל השירותים: all מסוף GDC‏: ui-console ‫gdcloud CLI: ‏api-server שרת API גלובלי: global-api-server IAM:‏ iam KMS:‏ kms מאגר אובייקטים: object-storage SAR: system-artifact-registry ‫Vertex AI: ai VMM: vmm
CIDR	טווח כתובות ה-IP בסימון CIDR שמהן תתאפשר גישה, למשל 10.251.0.0/24. אפשר להוסיף כמה רשומות של ipBlock כדי לאפשר גישה מכמה טווחים.