יצירת כללי מדיניות לרשת הארגון

מדיניות רשת ארגונית מגדירה את בקרת הגישה לרשת עבור שירותים מנוהלים ברמת הארגון שנחשפים דרך Google Distributed Cloud ‏ (GDC) עם פער אוויר. אפשר להגדיר את אמצעי בקרת הגישה האלה באמצעות המשאב OrganizationNetworkPolicy מ-Networking API.

כדי לקבל את ההרשאות שנדרשות להגדרת מדיניות הרשת של הארגון, צריך לבקש מאדמין ניהול הזהויות והרשאות הגישה (IAM) בארגון להקצות לכם את התפקיד Org Network Policy Admin (אדמין מדיניות הרשת של הארגון) ‏(org-network-policy-admin).

אפשר להגדיר מדיניות רשת ארגונית לבקרת גישה לשירותים המנוהלים הבאים של GDC:

• כל השירותים
• מסוף GDC
• ‫Distributed Cloud CLI
• שרת API גלובלי
• ניהול זהויות והרשאות גישה (IAM)
• מערכות לניהול מפתחות (KMS)
• אחסון אובייקטים
• System Artifact Registry (SAR)
• ‫Vertex AI
  • השירותים ב-Vertex AI שהמדיניות תומכת בהם כוללים את Optical Character Recognition API,‏ Speech-to-Text API,‏ Translation API ו-Workbench.
• ניהול מכונות וירטואליות (VMM)

מדיניות ברירת המחדל

כברירת מחדל, השירותים המנוהלים הבאים של GDC פועלים לפי העקרונות הבאים:

שירות GDC	עקרונות
כל השירותים	allow-all
מסוף GDC	allow-all
gdcloud CLI	allow-all
שרת Global API	deny-by-default
IAM	deny-by-default
KMS	deny-by-default
אחסון אובייקטים	deny-by-default
SAR	allow-all
‫Vertex AI ושירותים נתמכים	deny-by-default
VMM	deny-by-default

דוגמה למדיניות רשת של ארגון

בדוגמה הבאה מוצג משאב OrganizationNetworkPolicy שמאפשר לתעבורה מכתובת IP לגשת לשירות מנוהל של GDC.

kubectl --kubeconfig MANAGEMENT_API_SERVER apply -f - <<EOF
apiVersion: networking.gdc.goog/v1
kind: OrganizationNetworkPolicy
metadata:
  name: POLICY_NAME
  namespace: platform
spec:
  subject:
    services:
      matchTypes:
      - "SERVICE_NAME"
  ingress:
    - from:
      - ipBlock:
          cidr: CIDR
      - ipBlock:
          cidr: CIDR
EOF

מחליפים את המשתנים הבאים:

משתנה	תיאור
MANAGEMENT_API_SERVER	נתיב ה-kubeconfig של שרת ה-API האזורי. אם עדיין לא יצרתם קובץ kubeconfig לשרת ה-API באזור היעד, תוכלו לקרוא פרטים נוספים במאמר בנושא כניסה.
POLICY_NAME	השם שרוצים לתת למדיניות. לדוגמה, allow-ui-access.
SERVICE_NAME	שם השירות שרוצים להחיל עליו את המדיניות. משתמשים בערכים הבאים לכל שירות: כל השירותים: all מסוף GDC: ui-console ‫gdcloud CLI: api-server שרת API גלובלי: global-api-server ‫IAM: iam ‫KMS: kms אחסון אובייקטים: object-storage ‫SAR: system-artifact-registry ‫Vertex AI: ai ‫VMM: vmm
CIDR	טווח כתובות ה-IP בסימון CIDR שממנו תותר גישה, למשל 10.251.0.0/24. אפשר להוסיף כמה רשומות ipBlock כדי לאפשר גישה מכמה טווחים.