NetApp-Volumes mit einem Dienstperimeter sichern

Auf dieser Seite erfahren Sie, wie Sie Ihre Google Cloud NetApp Volumes-Volumes mit einem Dienstperimeter über VPC Service Controls schützen.

VPC Service Controls erhöht die Sicherheit von Google Cloud Diensten, indem ein Dienstperimeter erstellt wird, der unbefugten Datenzugriff verhindert. Dieser Perimeter schützt vor versehentlichen oder beabsichtigten Versuchen der Daten-Exfiltration durch externe oder interne Entitäten. Wenn Sie Zugriff gewähren möchten, müssen Sie Ihrem Perimeter Identitäten hinzufügen. Weitere Informationen zu VPC Service Controls finden Sie in der Übersicht zu VPC Service Controls.

VPC Service Controls schützen den Zugriff auf die NetApp Volumes API, die für die administrative Verwaltung von NetApp Volumes-Ressourcen verwendet wird. Mit dieser API können Sie nicht auf die Inhalte eines Bandes zugreifen.

Der Datenzugriff auf den Inhalt eines Volumes wird über das NFS-, SMB- oder iSCSI-Protokoll gewährt. Die Sicherheit des Datenzugriffs wird durch volumen- und dateispezifische Zugriffssteuerungen für diese Protokolle geschützt, die unabhängig von VPC Service Controls sind. Damit eine Verbindung zu einem Volume hergestellt werden kann, muss ein NFS-, SMB- oder iSCSI-Client mit demselben Netzwerk wie das Volume verbunden sein. Weitere Informationen finden Sie in den folgenden Abschnitten:

Volumes mit VPC Service Controls schützen

  1. Dienstperimeter erstellen

  2. Fügen Sie die NetApp Volumes API Ihrem Dienstperimeter hinzu. Eine Anleitung zum Hinzufügen eines Dienstes zu Ihrem Dienstperimeter finden Sie unter Dienstperimeter aktualisieren.

Einschränkungen von VPC Service Controls

Für einige Funktionen von NetApp Volumes ist der Zugriff auf Google-Ressourcen innerhalb Ihres Perimeters erforderlich. Die folgenden Funktionen verursachen bekanntermaßen Probleme, wenn Sie VPC Service Controls aktivieren.

  • Kundenverwaltete Verschlüsselungsschlüssel (CMEK): NetApp Volumes benötigt Zugriff auf den KMS-Schlüssel, den Sie für CMEK angegeben haben. Weitere Informationen finden Sie unter Schlüsselzugriff überprüfen.

  • Volumereplikation über Projekte hinweg (auf der Zulassungsliste stehende Funktion in der allgemeinen Verfügbarkeit): Für die Service-Levels „Flex Unified“, „Standard“, „Premium“ und „Extreme“ ist für die Replikation zwischen Projekten in verschiedenen Perimetern in beiden Projekten VPC Service Controls-Regeln für ausgehenden und eingehenden Traffic erforderlich, um NetApp-API-Abläufe zuzulassen. Weitere Informationen finden Sie unter Überlegungen zur Volume-Replikation.

Weitere Informationen zu Produkten und Diensten, die von VPC Service Controls unterstützt werden, finden Sie unter Unterstützte Produkte und Einschränkungen.

VPC Service Controls-Regeln für die projektübergreifende Volumereplikation

Wenn Sie die projektübergreifende Volumereplikation aktivieren möchten, müssen Sie dem VPC Service Controls-Perimeter sowohl für das Quell- als auch für das Zielprojekt eine Regel für ausgehenden und eine Regel für eingehenden Traffic hinzufügen.

Regel für ausgehenden Traffic

Fügen Sie den Quell- und Zielprojekten der projektübergreifenden Volumereplikation die folgende Egress-Regel hinzu.

Bevor Sie die Regel anwenden, müssen Sie SOURCE_PROJECT und DESTINATION_PROJECT durch Ihre Projekt-IDs ersetzen. Fügen Sie im Feld identities die Google-IDs der NetApp Volumes-Administratoren hinzu, die die Replikation verwalten.

   {
       "egressFrom": {
           "identities": [
               "your_google_id@your_domain.com"
           ],
           "sources": [
               {
                   "resource": "projects/SOURCE_PROJECT"
               },
               {
                   "resource": "projects/DESTINATION_PROJECT"
               }
           ]
       },
       "egressTo": {
           "operations": [
               {
                   "methodSelectors": [
                       {
                           "method": "*"
                       }
                   ],
                   "serviceName": "netapp.googleapis.com"
               }
           ],
           "resources": [
               "projects/SOURCE_PROJECT",
               "projects/DESTINATION_PROJECT"
           ]
       },
       "title": "NetApp Volumes cross-project volume replication"
   }

Regel für eingehenden Traffic

Fügen Sie den Quell- und Zielprojekten der projektübergreifenden Volume-Replikation die folgende Ingress-Regel hinzu.

Bevor Sie die Regel anwenden, müssen Sie SOURCE_PROJECT und DESTINATION_PROJECT durch Ihre Projekt-IDs ersetzen. Fügen Sie für das Feld identities die Google-IDs der NetApp Volumes-Administratoren hinzu, die die Replikation verwalten.

   {
       "ingressFrom": {
           "identities": [
               "your_google_id@your_domain.com"
           ],
           "sources": [
               {
                   "resource": "projects/SOURCE_PROJECT"
               },
               {
                   "resource": "projects/DESTINATION_PROJECT"
               }
           ]
       },
       "ingressTo": {
           "operations": [
               {
                   "methodSelectors": [
                       {
                           "method": "*"
                       }
                   ],
                   "serviceName": "netapp.googleapis.com"
               }
           ],
           "resources": [
               "projects/SOURCE_PROJECT",
               "projects/DESTINATION_PROJECT"
           ]
       },
       "title": "NetApp Volumes cross-project volume replication"
   }

Nächste Schritte

Zugriff auf Google Cloud NetApp Volumes konfigurieren