Crear políticas de red de organización

Una política de red de la organización define el control de acceso a la red para los servicios gestionados a nivel de organización que se exponen a través de Google Distributed Cloud (GDC) air-gapped. Puedes definir estos controles de acceso mediante el OrganizationNetworkPolicy recurso de la API de redes.

Para obtener los permisos que necesitas para configurar la política de red de la organización, pide a tu administrador de gestión de identidades y accesos (IAM) de la organización que te asigne el rol de administrador de políticas de red de la organización (org-network-policy-admin).

Puedes definir una política de red de la organización para los controles de acceso de los siguientes servicios gestionados de GDC:

• Todos los servicios
• Consola de GDC
• CLI de Distributed Cloud
• Servidor de la API global
• Gestión de identidades y accesos (IAM)
• Sistemas de gestión de claves (KMS)
• Almacenamiento de objetos
• Registro de artefactos del sistema (SAR)
• Vertex AI
  • Entre los servicios de Vertex AI que admite una política se incluyen la API Optical Character Recognition, API Speech-to-Text, API Translation, y Workbench.
• Gestión de máquinas virtuales (VMM)

Política predeterminada

De forma predeterminada, los siguientes servicios gestionados de GDC tienen los siguientes principios:

Servicio de GDC	Principio
Todos los servicios	allow-all
Consola de GDC	allow-all
CLI de gdcloud	allow-all
Servidor de la API global	deny-by-default
IAM	deny-by-default
KMS	deny-by-default
Almacenamiento de objetos	deny-by-default
SAR	allow-all
Vertex AI y servicios admitidos	deny-by-default
VMM	deny-by-default

Ejemplo de política de red de la organización

A continuación, se muestra un ejemplo de un recurso OrganizationNetworkPolicy que permite que el tráfico de una dirección IP acceda a un servicio gestionado de GDC.

kubectl --kubeconfig MANAGEMENT_API_SERVER apply -f - <<EOF
apiVersion: networking.gdc.goog/v1
kind: OrganizationNetworkPolicy
metadata:
  name: POLICY_NAME
  namespace: platform
spec:
  subject:
    services:
      matchTypes:
      - "SERVICE_NAME"
  ingress:
    - from:
      - ipBlock:
          cidr: CIDR
      - ipBlock:
          cidr: CIDR
EOF

Sustituye las siguientes variables:

Variable	Descripción
MANAGEMENT_API_SERVER	Ruta de kubeconfig del servidor de la API zonal. Si aún no has generado un archivo kubeconfig para el servidor de la API en la zona de destino, consulta el artículo Iniciar sesión para obtener más información.
POLICY_NAME	Nombre que se le asignará a la política. Por ejemplo, allow-ui-access.
SERVICE_NAME	Nombre del servicio al que se aplicará la política. Usa los siguientes valores para cada servicio: Todos los servicios: all Consola de GDC: ui-console CLI de gdcloud: api-server Servidor de la API global: global-api-server IAM: iam KMS: kms Almacenamiento de objetos: object-storage SAR: system-artifact-registry Vertex AI: ai VMM: vmm
CIDR	El intervalo de direcciones IP en notación CIDR desde el que se permitirá el acceso, como 10.251.0.0/24. Puedes añadir varias entradas ipBlock para permitir el acceso desde varios intervalos.