אבטחת האפליקציה באמצעות VPC Service Controls

כדי לאבטח כמו שצריך את אפליקציית Gemini Enterprise ולצמצם את הסיכון לזליגת נתונים, צריך להגדיר מתחם אבטחה היקפית של VPC Service Controls. אתם יכולים להשתמש ב-VPC Service Controls וב-Access Context Manager כדי להגן על אפליקציית Gemini Enterprise ולשלוט בגישה אליה ולנתונים הארגוניים שמחוברים אליה.

הגדרת VPC Service Controls עם Gemini Enterprise

כדי להגן על המשאבים של Gemini Enterprise באמצעות VPC Service Controls:

  1. מוודאים שהגדרתם גבול גזרה של VPC Service Controls. אתם יכולים ליצור גבולות גזרה חדשים במיוחד לאפליקציית Gemini Enterprise, או להשתמש בגבולות גזרה קיימים שכוללים מקורות מידע שקשורים לנושא.

    מידע על גבולות גזרה לשירות זמין במאמר פרטים והגדרה של גבולות גזרה לשירות.

  2. מוסיפים את הפרויקט ב- Google Cloud שמכיל את אפליקציית Gemini Enterprise לרשימת המשאבים המוגנים בגבולות הגזרה לשירות.

  3. מוסיפים את ממשקי ה-API הבאים לרשימת השירותים המוגבלים להיקף:

    • ‫Discovery Engine API: discoveryengine.googleapis.com

אחרי שמפעילים את גבולות הגזרה לשירות ומוסיפים את Discovery Engine API לרשימת השירותים המוגבלים, VPC Service Controls מפעיל את אמצעי האבטחה הבאים:

הגבלת הגישה הציבורית באמצעות Access Context Manager

אפליקציות Gemini Enterprise נגישות באופן ציבורי באינטרנט. כברירת מחדל, כדי לגשת ל-Gemini Enterprise, המשתמשים צריכים לעבור אימות ולקבל הרשאה. ב-VPC Service Controls וב-Access Context Manager יש אמצעי בקרה נוספים שמאפשרים להגביל את הגישה.

באמצעות Access Context Manager אפשר להגדיר בקרת גישה פרטנית שמבוססת על מאפיינים לפרויקטים ולמשאבים ב- Google Cloud. כדי לעשות זאת, צריך להגדיר מדיניות גישה, שהיא מאגר ברמת הארגון של רמות גישה וגבולות גזרה לשירות.

רמות הגישה מתארות את הדרישות שצריך לעמוד בהן כדי שהבקשה תאושר. לדוגמה, אתם יכולים להגביל בקשות על סמך הפרמטרים הבאים:

  • סוג המכשיר ומערכת ההפעלה (נדרש רישיון Chrome Enterprise Premium)
  • כתובת IP
  • זהות המשתמש
ארכיטקטורת עזר באמצעות VPC Service Controls.
ארכיטקטורה לדוגמה שמשתמשת ב-VPC Service Controls כדי להגן על Gemini Enterprise.

בארכיטקטורה לדוגמה הזו, רמת הגישה של רשת משנה עם כתובת IP ציבורית משמשת ליצירת מדיניות הגישה של VPC Service Controls.

כדי להגביל את הגישה ל-Gemini Enterprise באמצעות Access Context Manager, צריך לפעול לפי ההוראות במאמר יצירת רמת גישה בסיסית. מציינים את האפשרויות הבאות:

  1. בקטע יצירת תנאים ב, בוחרים באפשרות מצב בסיסי.

  2. בשדה שם רמת הגישה, מזינים corp-public-block.

  3. בקטע תנאים, באפשרות כשהתנאי מתקיים, מחזירים, בוחרים באפשרות TRUE.

  4. בקטע IP Subnetworks, בוחרים באפשרות Public IP.

  5. בטווח כתובות ה-IP, מציינים את כתובת ה-IP החיצונית.

החלת VPC Service Controls על מאגרי נתונים קיימים

אי אפשר לאכוף את ההיקף של VPC Service Controls בפרויקט עם מאגרי נתונים קיימים.

כדי לאכוף את VPC Service Controls במאגר נתונים קיים:

  1. מוחקים את מאגר הנתונים ויוצרים אותו מחדש.

    כך מפעילים את אמצעי הבקרה על השירות ומאפשרים לתנועה לזרום בצורה תקינה.

יצירת מאגרי נתונים אחרי הפעלת VPC Service Controls

המטרה העיקרית של VPC Service Controls היא למנוע זליגת נתונים על ידי יצירת גבולות גזרה לשירות מסביב לפרויקטים ולמשאבים שלכם. מאגרי נתונים חדשים (שמגבים פעולות של Gemini Enterprise, כמו שליחת אימייל או יצירת כרטיס ב-Jira) הם נתיבים פוטנציאליים שדרכם נתונים יכולים לצאת מההיקף הזה, ולכן VPC Service Controls חוסם את היצירה של מאגרי נתונים חדשים עד שאדמין מאשר אותם באופן מפורש באמצעות אילוצים מנוהלים של מדיניות הארגון.

כשמפעילים את VPC Service Controls בפרויקט Google Cloud שמכיל אפליקציית Gemini Enterprise, ממשק המשתמש מונע יצירה של מאגרי נתונים חדשים. מאגרי נתונים שנוצרו לפני שהופעל ההיקף – וכל השירותים שהופעלו בעבר לפי בקשה דרך נציג Google – ממשיכים לפעול. רק היצירה של מאגרים חדשים מוגבלת.

כדי לאפשר לאדמינים ליצור מאגר נתונים חדש בתוך ההיקף:

  1. מוסיפים את מקור הנתונים לאילוץ הגבלת מקורות הנתונים המותרים למחברי נתונים של מדיניות הארגון המנוהלת. הוספת מקור נתונים לאילוץ הזה מאפשרת באופן אוטומטי את הדומיינים החיוניים המוכרים שלו (לדוגמה, graph.microsoft.com ו-api.atlassian.com).

  2. אם מאגר הנתונים צריך דומיינים שייחודיים לארגון (לדוגמה, cymbal.atlassian.net או cymbal.com), צריך להוסיף את הדומיינים האלה לאילוץ Restrict egress domains for data connectors במדיניות הארגון המנוהלת.

לסקירה כללית של האילוצים האלה, ראו אילוצים של מדיניות מנוהלת.