VPC Service Controls

בעזרת VPC Service Controls ארגונים יכולים להגדיר גבולות גזרה מסביב לGoogle Cloud משאבים כדי לצמצם את הסיכונים לזליגת נתונים. בעזרת VPC Service Controls אפשר ליצור גבולות גזרה שמגנים על המשאבים ועל הנתונים של שירותים שאתם מגדירים באופן מפורש.

חבילות של שירותי Firestore

ממשקי ה-API הבאים כלולים ב-VPC Service Controls:

  • firestore.googleapis.com
  • datastore.googleapis.com
  • firestorekeyvisualizer.googleapis.com

כשמגבילים את השירות firestore.googleapis.com בגבול גזרה, הגבול מגביל גם את השירותים datastore.googleapis.com ו-firestorekeyvisualizer.googleapis.com.

הגבלת הגישה לשירות datastore.googleapis.com

השירות datastore.googleapis.com כלול בחבילה של השירות firestore.googleapis.com. כדי להגביל את השירות datastore.googleapis.com, צריך להגביל את השירות firestore.googleapis.com באופן הבא:

  • כשיוצרים גבולות גזרה לשירות באמצעות מסוף Google Cloud , מוסיפים את Firestore כשירות המוגבל.

  • כשיוצרים גבולות גזרה לשירות באמצעות Google Cloud CLI, משתמשים ב-firestore.googleapis.com במקום ב-datastore.googleapis.com.

    --perimeter-restricted-services=firestore.googleapis.com

שירותים בחבילה מדור קודם של App Engine ל-Datastore

שירותים בחבילה מדור קודם של App Engine ל-Datastore לא תומכים בהיקפי שירות. הגנה על שירות Datastore באמצעות גבולות גזרה לשירות חוסמת תעבורה משירותים בחבילה מדור קודם של App Engine. שירותים מדור קודם שנמכרים בחבילה כוללים:

VIP מוגבל

כדי להשתמש ב-Firestore עם תאימות ל-MongoDB עם כתובת VIP מוגבלת, צריך להגדיר קישוריות לדומיין של כתובת ה-VIP שמשמשת את Firestore עם תאימות ל-MongoDB. הדומיין הזה וכתובות ה-IP שלו משמשים רק את שירות Firestore עם תאימות ל-MongoDB, והם תואמים ל-VPC Service Controls.

הוראות מפורטות זמינות במאמר הגדרת גישה פרטית ל-Google ב-Firestore עם תאימות ל-MongoDB.

הגנה על תעבורת נתונים יוצאת (egress) בפעולות ייבוא וייצוא

‫Firestore עם תאימות ל-MongoDB תומך ב-VPC Service Controls, אבל נדרש בו עוד הגדרה כדי לקבל הגנה מלאה על תעבורת נתונים יוצאת (egress) בפעולות ייבוא וייצוא. צריך להשתמש בסוכן השירות של Firestore כדי לאשר פעולות ייבוא וייצוא, במקום בחשבון השירות שמוגדר כברירת מחדל של App Engine. כדי להציג ולהגדיר את חשבון ההרשאה לפעולות ייבוא וייצוא, פועלים לפי ההוראות הבאות.