Suporte do VPC Service Controls para o Looker (Google Cloud Core)

O VPC Service Controls pode melhorar sua capacidade de reduzir o risco de exfiltração de dados de Google Cloud serviços. É possível usar o VPC Service Controls para criar perímetros de serviço que ajudem a proteger os recursos e os dados de serviços especificados explicitamente.

Para adicionar o serviço do Looker (Google Cloud Core) a um perímetro de serviço do VPC Service Controls, siga as instruções sobre como criar um perímetro de serviço na página de documentação Criar um perímetro de serviço e selecione API do Looker (Google Cloud Core) na caixa de diálogo Especificar serviços a serem restritos. Para saber mais sobre como usar o VPC Service Controls, acesse a página de documentação Visão geral do VPC Service Controls.

O VPC Service Controls oferece suporte a instâncias do Looker (Google Cloud Core) que atendem a dois critérios:

Funções exigidas

Para entender as funções do IAM necessárias para configurar o VPC Service Controls, acesse a página Controle de acesso com o IAM da documentação do VPC Service Controls.

Remover a rota padrão

Quando uma instância do Looker (Google Cloud Core) é criada em um Google Cloud projeto que está dentro de um perímetro do VPC Service Controls ou em um projeto que é adicionado a um perímetro do VPC Service Controls, é necessário remover a rota padrão para a Internet.

Para remover a rota padrão para a Internet, selecione uma das seguintes opções:

gcloud

gcloud services vpc-peerings enable-vpc-service-controls --network=NETWORK --service=servicenetworking.googleapis.com

Substitua NETWORK pela rede VPC da instância do Looker (Google Cloud Core).

Para mais informações, acesse a página de documentação gcloud services vpc-peerings enable-vpc-service-controls.

REST

Método HTTP e URL:

PATCH https://servicenetworking.googleapis.com/v1/{parent=services/*}:enableVpcServiceControls

Solicitar corpo JSON:

{
"consumerNetwork": NETWORK
}

Substitua NETWORK pela rede VPC da instância do Looker (Google Cloud Core).

Para mais informações, acesse a página de documentação Método: services.enableVpcServiceControls.

Conectar-se a recursos ou serviços fora do perímetro do VPC Service Controls

Para se conectar a outro Google Cloud recurso ou serviço, talvez seja necessário configurar regras de entrada e saída se o projeto em que o recurso está localizado estiver fora do perímetro do VPC Service Controls.

Para informações sobre como acessar outros recursos externos, siga as instruções para o tipo de recurso a que você quer se conectar na página de documentação Acessar serviços externos usando o acesso a serviços particulares ou Acesso de saída do Looker (Google Cloud Core) a serviços externos usando o Private Service Connect (dependendo se a instância usa o acesso a serviços particulares ou o Private Service Connect).

Adicionar chaves CMEK a um perímetro

Às vezes, uma instância do Looker (Google Cloud Core) que está ativada com chaves de criptografia gerenciadas pelo cliente (CMEK) tem a chave do Cloud KMS hospedada em um Google Cloud projeto diferente. Para esse cenário, quando você ativa o VPC Service Controls, é necessário adicionar o projeto de hospedagem de chave KMS ao perímetro de segurança.

A seguir