Créer des règles de réseau pour l'organisation

Une règle de réseau d'organisation définit le contrôle des accès au réseau pour les services gérés au niveau de l'organisation exposés via Google Distributed Cloud (GDC) sous air gap. Vous pouvez définir ces contrôles d'accès à l'aide de la OrganizationNetworkPolicy ressource de l' API Networking.

Pour obtenir les autorisations nécessaires pour configurer la règle réseau de l'organisation, demandez à votre administrateur Identity and Access Management (IAM) de l'organisation de vous attribuer le rôle Administrateur de règles réseau de l'organisation (org-network-policy-admin).

Vous pouvez définir une règle de réseau d'organisation pour les contrôles d'accès des services gérés GDC suivants :

• Tous les services
• Console GDC
• CLI Distributed Cloud
• Serveur d'API global
• Identity and Access Management (IAM)
• Systèmes de gestion des clés (KMS)
• Stockage d'objets
• System Artifact Registry (SAR)
• Vertex AI
  • Les services de Vertex AI compatibles avec une règle incluent l' API Optical Character Recognition, API Speech-to-Text, API Translation, et Workbench.
• Gestion des machines virtuelles (VMM)

Règle par défaut

Par défaut, les services gérés GDC suivants ont les principes suivants :

Service GDC	Principe
Tous les services	allow-all
Console GDC	allow-all
gdcloud CLI	allow-all
Serveur d'API global	deny-by-default
IAM	deny-by-default
KMS	deny-by-default
Stockage d'objets	deny-by-default
SAR	allow-all
Vertex AI et services compatibles	deny-by-default
VMM	deny-by-default

Exemple de règle de réseau d'organisation

Voici un exemple de ressource OrganizationNetworkPolicy qui autorise le trafic provenant d'une adresse IP à accéder à un service géré GDC.

kubectl --kubeconfig MANAGEMENT_API_SERVER apply -f - <<EOF
apiVersion: networking.gdc.goog/v1
kind: OrganizationNetworkPolicy
metadata:
  name: POLICY_NAME
  namespace: platform
spec:
  subject:
    services:
      matchTypes:
      - "SERVICE_NAME"
  ingress:
    - from:
      - ipBlock:
          cidr: CIDR
      - ipBlock:
          cidr: CIDR
EOF

Remplacez les variables suivantes :

Variable	Description
MANAGEMENT_API_SERVER	Chemin d'accès kubeconfig du serveur d'API zonal. Si vous n'avez pas encore généré de fichier kubeconfig pour le serveur d'API dans votre zone cible, consultez Se connecter pour en savoir plus.
POLICY_NAME	Nom à attribuer à la règle. Par exemple, allow-ui-access.
SERVICE_NAME	Nom du service auquel appliquer la règle. Utilisez les valeurs suivantes pour chaque service : Tous les services : all Console GDC: ui-console gdcloud CLI: api-server Serveur d'API global : global-api-server IAM: iam KMS: kms Stockage d'objets : object-storage SAR: system-artifact-registry Vertex AI: ai VMM: vmm
CIDR	Plage d'adresses IP au format CIDR à partir de laquelle autoriser l'accès, par exemple 10.251.0.0/24. Vous pouvez ajouter plusieurs entrées ipBlock pour autoriser l'accès à partir de plusieurs plages.