Organisationsnetzwerkrichtlinien erstellen

Eine Netzwerkrichtlinie für Organisationen definiert die Netzwerkzugriffssteuerung für verwaltete Dienste auf Organisationsebene, die über Google Distributed Cloud (GDC) mit Air Gap bereitgestellt werden. Sie können diese Zugriffssteuerungen mit der Ressource OrganizationNetworkPolicy aus der Networking API definieren.

Bitten Sie Ihren IAM-Administrator der Organisation, Ihnen die Rolle „Administrator für Organisationsnetzwerkrichtlinien“ (org-network-policy-admin) zuzuweisen, um die Berechtigungen zu erhalten, die Sie zum Konfigurieren der Organisationsnetzwerkrichtlinie benötigen.

Sie können eine Organisationsnetzwerkrichtlinie für Zugriffssteuerungen für die folgenden verwalteten GDC-Dienste definieren:

• Alle Dienste
• GDC-Konsole
• Distributed Cloud CLI
• Globaler API-Server
• Identity and Access Management (IAM)
• Schlüsselverwaltungssysteme (KMS)
• Objektspeicher
• System Artifact Registry (SAR)
• Vertex AI
  • Zu den Diensten in Vertex AI, die von einer Richtlinie unterstützt werden, gehören die Optical Character Recognition API, die Speech-to-Text API, die Translation API und Workbench.
• Virtual Machine Management (VMM)

Standardrichtlinie

Standardmäßig haben die folgenden verwalteten GDC-Dienste die folgenden Prinzipien:

GDC-Dienst	Prinzip
Alle Dienste	allow-all
GDC-Konsole	allow-all
gdcloud CLI	allow-all
Globaler API-Server	deny-by-default
IAM	deny-by-default
KMS	deny-by-default
Objektspeicher	deny-by-default
SAR	allow-all
Vertex AI und unterstützte Dienste	deny-by-default
VMM	deny-by-default

Beispiel für eine Netzwerkrichtlinie für eine Organisation

Das folgende Beispiel zeigt eine OrganizationNetworkPolicy-Ressource, die Traffic von einer IP-Adresse den Zugriff auf einen von GDC verwalteten Dienst ermöglicht.

kubectl --kubeconfig MANAGEMENT_API_SERVER apply -f - <<EOF
apiVersion: networking.gdc.goog/v1
kind: OrganizationNetworkPolicy
metadata:
  name: POLICY_NAME
  namespace: platform
spec:
  subject:
    services:
      matchTypes:
      - "SERVICE_NAME"
  ingress:
    - from:
      - ipBlock:
          cidr: CIDR
      - ipBlock:
          cidr: CIDR
EOF

Ersetzen Sie die folgenden Variablen:

Variable	Beschreibung
MANAGEMENT_API_SERVER	Der kubeconfig-Pfad des zonalen API-Servers. Wenn Sie noch keine kubeconfig-Datei für den API-Server in der Zielzone generiert haben, finden Sie weitere Informationen unter Anmelden.
POLICY_NAME	Der Name, den Sie der Richtlinie geben möchten. Beispiel: allow-ui-access.
SERVICE_NAME	Der Name des Dienstes, auf den die Richtlinie angewendet werden soll. Verwenden Sie für jeden Dienst die folgenden Werte: Alle Dienste: all GDC-Konsole: ui-console gdcloud CLI: api-server Globaler API-Server: global-api-server IAM: iam KMS: kms Objektspeicher: object-storage SAR: system-artifact-registry Vertex AI: ai VMM: vmm
CIDR	Der IP-Adressbereich in CIDR-Notation, von dem aus der Zugriff erlaubt werden soll, z. B. 10.251.0.0/24. Sie können mehrere ipBlock-Einträge hinzufügen, um den Zugriff von mehreren Bereichen aus zu ermöglichen.