Mengizinkan akses endpoint publik ke resource yang dilindungi dari luar perimeter Kontrol Layanan VPC

Halaman ini menjelaskan cara mengizinkan traffic dari alamat IP internal di jaringan VPC ke perimeter layanan menggunakan aturan ingress dan egress.

Arsitektur referensi

Dalam arsitektur referensi berikut, VPC Bersama di-deploy dengan model Gemini di project layanan, ph-fm-svc-project (project layanan model dasar) dengan atribut kebijakan layanan berikut yang mengizinkan akses publik yang diketahui ke Gemini Enterprise API untuk AI Generatif di Gemini Enterprise Agent Platform:

• Satu perimeter Kontrol Layanan VPC
• Tingkat akses - Rentang CIDR endpoint publik eksternal yang diketahui
• Identitas pengguna yang ditentukan project

Membuat tingkat akses

Access Context Manager memungkinkan Google Cloud administrator organisasi menentukan kontrol akses berbasis atribut yang terperinci untuk project dan resource di Google Cloud. Administrator pertama-tama menentukan kebijakan akses, yang merupakan container berskala organisasi untuk tingkat akses dan perimeter layanan.

Tingkat akses menjelaskan persyaratan yang harus dipenuhi agar permintaan dapat diproses. Contohnya mencakup:

• Jenis perangkat dan sistem operasi (memerlukan lisensi Chrome Enterprise Premium)
• Alamat IP
• Identitas pengguna

Dalam arsitektur referensi ini, tingkat akses subnetwork IP publik digunakan untuk membuat kebijakan akses Kontrol Layanan VPC.

1. Di pemilih project di bagian atas Google Cloud konsol, klik tab All, lalu pilih organisasi Anda.

2. Buat tingkat akses dasar dengan mengikuti petunjuk di halaman Membuat tingkat akses dasar. Tentukan opsi berikut:

   1. Di bagian Create conditions in, pilih Basic mode.
   2. Di kolom Access level title, masukkan corp-public-block.
   3. Di bagian Conditions, untuk opsi When condition is met, return, pilih TRUE.
   4. Di bagian IP Subnetworks, pilih Public IP.
   5. Untuk rentang alamat IP, tentukan rentang CIDR eksternal Anda yang memerlukan akses ke perimeter Kontrol Layanan VPC.

Membuat perimeter layanan Kontrol Layanan VPC

Saat Anda membuat perimeter layanan, izinkan akses ke layanan yang dilindungi dari luar perimeter dengan menentukan tingkat akses (alamat IP) saat membuat perimeter Kontrol Layanan VPC selain project yang dilindungi. Saat menggunakan Kontrol Layanan VPC dengan VPC Bersama, praktik terbaiknya adalah membuat satu perimeter besar yang mencakup project host dan layanan; hanya memilih project layanan dalam perimeter berarti endpoint jaringan yang termasuk dalam project layanan tampak berada di luar perimeter, karena subnet dikaitkan dengan project host.

Memilih jenis konfigurasi untuk perimeter baru

Di bagian ini, Anda akan membuat perimeter layanan Kontrol Layanan VPC dalam mode uji coba. Dalam mode uji coba, perimeter mencatat pelanggaran seolah-olah perimeter tersebut diterapkan, tetapi tidak mencegah akses ke layanan yang dibatasi. Sebaiknya gunakan mode uji coba sebelum beralih ke mode diterapkan sebagai praktik terbaik.

1. Di menu navigasi konsol, klik Security, lalu klik Kontrol Layanan VPC. Google Cloud

   Buka halaman Kontrol Layanan VPC

2. Jika diminta, pilih organisasi, folder, atau project Anda.

3. Di halaman Kontrol Layanan VPC, klik mode uji coba.

4. Klik New perimeter.

5. Di tab New VPC Service Perimeter, di kotak Perimeter Name , masukkan nama perimeter. Jika tidak, terima nilai default.

   Nama perimeter dapat memiliki panjang maksimal 50 karakter, harus diawali dengan huruf, dan hanya boleh berisi huruf Latin ASCII (a-z, A-Z), angka (0-9), atau garis bawah (_). Nama perimeter peka huruf besar/kecil dan harus unik dalam kebijakan akses.

Memilih resource yang akan dilindungi

1. Klik Resources to protect.

2. Untuk menambahkan project atau jaringan VPC yang ingin Anda amankan dalam perimeter, lakukan hal berikut:

   1. Klik Add Resources.

   2. Untuk menambahkan project ke perimeter, di panel Add resources , klik Add project.

      1. Untuk memilih project, di dialog Add projects, centang kotak project tersebut. Centang kotak centang untuk project berikut:

         • aiml-host-project
         • ph-fm-svc-project

      2. Klik Add selected resources. Project yang ditambahkan akan muncul di bagian Projects.

Memilih layanan yang dibatasi

Dalam arsitektur referensi ini, cakupan API yang dibatasi terbatas, hanya mengaktifkan API yang diperlukan untuk Gemini. Namun, sebagai praktik terbaik, sebaiknya batasi semua layanan saat Anda membuat perimeter untuk mengurangi risiko pemindahan data yang tidak sah dari Google Cloud layanan.

Catatan: Contoh ini menunjukkan pola untuk implementasi Agent Platform dasar Jika Anda menggunakan layanan tambahan, tambahkan layanan tersebut ke daftar layanan yang dibatasi.

Untuk memilih layanan yang akan diamankan dalam perimeter, lakukan hal berikut:

1. Klik Restricted Services.

2. Di panel Restricted Services, klik Add services.

3. Di dialog Specify services to restrict, pilih Agent Platform API.

4. Klik Add Agent Platform API.

Opsional: Memilih layanan yang dapat diakses VPC

Setelan layanan yang dapat diakses VPC membatasi kumpulan layanan yang dapat diakses dari endpoint jaringan di dalam perimeter layanan Anda. Dalam arsitektur referensi ini, kami mempertahankan setelan default All Services.

1. Klik VPC accessible services.

2. Di panel VPC accessible services, pilih All services.

Memilih tingkat akses

Izinkan akses ke resource yang dilindungi dari luar perimeter dengan melakukan hal berikut:

1. Klik Access Levels.

2. Klik kotak Choose Access Level.

   Anda juga dapat menambahkan tingkat akses setelah perimeter dibuat.

3. Centang kotak yang sesuai dengan tingkat akses corp-public-block.

Kebijakan ingress dan egress

Dalam arsitektur referensi ini, Anda tidak perlu menentukan setelan apa pun di panel Ingress Policy atau Egress Policy.

Membuat perimeter

Setelah menyelesaikan langkah-langkah konfigurasi sebelumnya, buat perimeter dengan mengklik Create perimeter.

Memvalidasi perimeter dalam mode uji coba

Dalam arsitektur referensi ini, perimeter layanan dikonfigurasi dalam mode uji coba, sehingga Anda dapat menguji efek kebijakan akses tanpa penerapan. Artinya, Anda dapat melihat dampak kebijakan terhadap lingkungan jika kebijakan tersebut aktif, tetapi tanpa risiko mengganggu traffic yang sah.

Setelah memvalidasi perimeter dalam mode uji coba, alihkan ke mode diterapkan.

Untuk mempelajari cara memvalidasi perimeter dalam mode uji coba, lihat Logging uji coba Kontrol Layanan VPC.