Organisationsnetzwerkrichtlinien erstellen

Eine Organisationsnetzwerkrichtlinie definiert die Netzwerkzugriffssteuerung für verwaltete Dienste auf Organisationsebene, die über Google Distributed Cloud (GDC) air-gapped bereitgestellt werden. Sie können diese Zugriffssteuerungen mit der OrganizationNetworkPolicy-Ressource aus der Networking API definieren.

Bitten Sie Ihren Organisations-IAM-Administrator (Identity and Access Management), Ihnen die Rolle „Org Network Policy Admin“ (org-network-policy-admin) zuzuweisen, um die Berechtigungen zu erhalten, die Sie zum Konfigurieren der Organisationsnetzwerkrichtlinie benötigen.

Sie können eine Organisationsnetzwerkrichtlinie für Zugriffssteuerungen für die folgenden von GDC verwalteten Dienste definieren:

• Alle Dienste
• GDC-Konsole
• Distributed Cloud CLI
• Globaler API-Server
• Key Management Systems (KMS)
• Objektspeicher
• Vertex AI
  • Zu den Diensten in Vertex AI, die von einer Richtlinie unterstützt werden, gehören die Optical Character Recognition API, die Speech-to-Text API, die Translation API und Workbench.

Standardrichtlinie

Standardmäßig gelten für die folgenden von GDC verwalteten Dienste die folgenden Grundsätze:

GDC-Dienst	Grundsatz
Alle Dienste	allow-all
GDC-Konsole	allow-all
gdcloud-Befehlszeile	allow-all
Globaler API-Server	deny-by-default
KMS	deny-by-default
Objektspeicher	deny-by-default
Vertex AI und unterstützte Dienste	deny-by-default

Beispiel für eine Organisationsnetzwerkrichtlinie

Im Folgenden sehen Sie ein Beispiel für eine OrganizationNetworkPolicy-Ressource, die es Traffic von einer IP-Adresse ermöglicht, auf einen von GDC verwalteten Dienst zuzugreifen.

kubectl --kubeconfig MANAGEMENT_API_SERVER apply -f - <<EOF
apiVersion: networking.gdc.goog/v1
kind: OrganizationNetworkPolicy
metadata:
  name: POLICY_NAME
  namespace: platform
spec:
  subject:
    services:
      matchTypes:
      - "SERVICE_NAME"
  ingress:
    - from:
      - ipBlock:
        cidr: IP_ADDRESS
      - ipBlock:
        cidr: IP_ADDRESS
EOF

Ersetzen Sie die folgenden Variablen:

Variable	Beschreibung
MANAGEMENT_API_SERVER	Der kubeconfig-Pfad des zonalen API-Servers. Wenn Sie noch keine kubeconfig-Datei für den API-Server in Ihrer Zielzone generiert haben, finden Sie weitere Informationen unter Anmelden.
POLICY_NAME	Der Name, den Sie der Richtlinie geben möchten. Beispiel: allow-ui-access.
SERVICE_NAME	Der Name des Dienstes, auf den die Richtlinie angewendet werden soll. Verwenden Sie die folgenden Werte für die einzelnen Dienste: Alle Dienste: all GDC-Konsole: ui-console gcloud CLI: api-server Globaler API-Server: global-api-server KMS: kms Objektspeicher: object-storage Vertex AI: ai .
IP_ADDRESS	Die IP-Adresse, für die der Zugriff erlaubt werden soll. Beispiel: 10.251.0.0/24. Sie können auch mehrere IP-Adressen hinzufügen, indem Sie für jede IP-Adresse mehr als ein ipBlock-Feld definieren.