אבטחת מופעים באמצעות VPC Service Controls

בדף הזה מוסבר איך להגן על מופעי Managed Lustre באמצעות היקף שירות עם VPC Service Controls.

‫VPC Service Controls מגנים מפני זליגת נתונים ומספקים שכבת אבטחה נוספת למופעים. מידע נוסף על VPC Service Controls זמין במאמר סקירה כללית על VPC Service Controls.

אחרי שמגנים על Managed Lustre API באמצעות גבולות גזרה לשירות, בקשות ל-Managed Lustre API שמגיעות מלקוחות מחוץ לגבולות הגזרה חייבות לכלול את כללי רמת הגישה המתאימים.

אבטחת מכונות Managed Lustre ב-Google Cloud באמצעות VPC Service Controls

  1. יצירת גבולות גזרה לשירות

  2. מוסיפים את Managed Lustre API למתחם השירות. הוראות להוספת שירות לגבולות הגזרה לשירות מופיעות במאמר בנושא עדכון של גבולות גזרה לשירות.

שימוש ב-VPC Service Controls עם מפתחות הצפנה בניהול הלקוח (CMEK)

כשיוצרים מופע מנוהל של Lustre שמוגן באמצעות CMEK בתוך גבול גזרה של VPC Service Controls, מפתח Cloud KMS צריך להיות אחד מהבאים:

  • במסגרת אותו היקף אבטחה של VPC Service Controls, או
  • אפשר לגשת אליו באמצעות כלל יציאה.

אם המופע שמוגן באמצעות CMEK ומפתחות Cloud KMS נמצאים באותו היקף, לא נדרש שום הגדרה נוספת.

אם מפתחות Cloud KMS נמצאים מחוץ למתחם ההיקפי, צריך להוסיף את הכלל הבא למתחם ההיקפי של VPC Service Controls:

{
  "egressFrom": {
    "identityType": "ANY_SERVICE_ACCOUNT",
    "sourceRestriction": "SOURCE_RESTRICTION_ENABLED",
    "sources": [
      {
        "resource": "projects/CONSUMER_PROJECT_NUMBER"
      }
    ]
  },
  "egressTo": {
    "operations": [
      {
        "methodSelectors": [{"method": "*"}],
        "serviceName": "cloudkms.googleapis.com"
      }
    ],
    "resources": [
      "projects/KMS_PROJECT_NUMBER"
    ]
  }
}

מחליפים את ה-placeholders באופן הבא:

  • ‫CONSUMER_PROJECT_NUMBER הוא מספר הפרויקט שיכיל את מכונת Managed Lustre שמוגנת באמצעות CMEK.
  • ‫KMS_PROJECT_NUMBER הוא מספר הפרויקט שמכיל את המפתחות של Cloud Key Management Service.

איך למצוא את מספר הפרויקט

מגבלות של VPC Service Controls במכונות Managed Lustre

ההגבלה הבאה חלה כשמשתמשים ב-VPC Service Controls עם Managed Lustre:

  • אם אתם משתמשים גם ב-VPC משותף וגם ב-VPC Service Controls, הפרויקט המארח שמכיל את הרשת והפרויקט של השירות שמכיל את מופע Managed Lustre צריכים להיות באותו מתחם אבטחה היקפית. הפרדה בין פרויקט המארח לפרויקט השירות באמצעות היקף יכולה לגרום למופעים קיימים להיות לא זמינים ולמנוע יצירה של מופעים חדשים.