使用 VPC Service Controls 保护实例的安全

本页面介绍了如何使用 VPC Service Controls 通过服务边界保护您的 Managed Lustre 实例。

VPC Service Controls 可避免数据渗漏，并为实例提供额外的安全防护。如需详细了解 VPC Service Controls，请参阅 VPC Service Controls 概览。

受服务边界保护后，来自边界外客户端的 Managed Lustre API 请求必须具有适当的访问权限级别规则。

使用 VPC Service Controls 保护 Google Cloud Managed Lustre 实例

1. 创建服务边界。

2. 将 Managed Lustre API 添加到服务边界。如需了解如何将服务添加到服务边界，请参阅更新服务边界。

将 VPC Service Controls 与客户管理的加密密钥 (CMEK) 搭配使用

在 VPC Service Controls 边界内创建受 CMEK 保护的 Managed Lustre 实例时，您的 Cloud KMS 密钥必须满足以下条件之一：

• 位于同一 VPC Service Controls 边界内；或
• 可通过出站规则访问。

当受 CMEK 保护的实例和 Cloud KMS 密钥位于同一边界内时，无需进行进一步配置。

如果 Cloud KMS 密钥位于边界之外，请将以下规则添加到您的 VPC Service Controls 边界：

{
  "egressFrom": {
    "identityType": "ANY_SERVICE_ACCOUNT",
    "sourceRestriction": "SOURCE_RESTRICTION_ENABLED",
    "sources": [
      {
        "resource": "projects/CONSUMER_PROJECT_NUMBER"
      }
    ]
  },
  "egressTo": {
    "operations": [
      {
        "methodSelectors": [{"method": "*"}],
        "serviceName": "cloudkms.googleapis.com"
      }
    ],
    "resources": [
      "projects/KMS_PROJECT_NUMBER"
    ]
  }
}

按如下所示替换占位符：

• CONSUMER_PROJECT_NUMBER 是将包含受 CMEK 保护的 Managed Lustre 实例的项目的编号。
• KMS_PROJECT_NUMBER 是包含 Cloud Key Management Service 密钥的项目的编号。

了解如何查找项目编号。

VPC Service Controls 对 Managed Lustre 实例的限制

将 VPC Service Controls 与 Managed Lustre 搭配使用时，存在以下限制：

• 如果您同时使用共享 VPC 和 VPC Service Controls，则包含网络的宿主项目与包含 Managed Lustre 实例的服务项目必须位于同一边界内。使用边界分隔宿主项目和服务项目可能会导致现有实例不可用，并且可能会阻止创建新实例。