Sécuriser des volumes NetApp avec un périmètre de service

Cette page vous explique comment protéger vos volumes Google Cloud NetApp Volumes avec un périmètre de service à l'aide de VPC Service Controls.

VPC Service Controls améliore la sécurité des services Google Cloud en créant un périmètre de service qui empêche l'accès non autorisé aux données. Ce périmètre protège contre les tentatives d'exfiltration de données accidentelles ou intentionnelles par des entités externes ou internes. Pour accorder l'accès, vous devez ajouter des entités à votre périmètre. Pour en savoir plus sur VPC Service Controls, consultez la présentation de VPC Service Controls.

VPC Service Controls protège l'accès à l'API NetApp Volumes, qui est utilisée pour la gestion administrative des ressources NetApp Volumes. Vous ne pouvez pas accéder au contenu d'un volume avec cette API.

L'accès aux données du contenu d'un volume est accordé à l'aide du protocole NFS, SMB ou iSCSI. La sécurité de l'accès aux données est assurée par des contrôles d'accès aux volumes et aux fichiers spécifiques à ces protocoles, qui sont indépendants de VPC Service Controls. Pour se connecter à un volume, un client NFS, SMB ou iSCSI doit être connecté au même réseau que le volume. Pour en savoir plus, consultez les sections suivantes :

Sécuriser vos volumes à l'aide de VPC Service Controls

  1. Créez un périmètre de service.

  2. Ajoutez l'API NetApp Volumes à votre périmètre de service. Pour obtenir des instructions sur l'ajout d'un service à votre périmètre de service, consultez Mettre à jour un périmètre de service.

Limites de VPC Service Controls

Certaines fonctionnalités de NetApp Volumes nécessitent d'accéder aux ressources Google dans votre périmètre. Les fonctionnalités suivantes sont connues pour entraîner des problèmes lorsque vous activez VPC Service Controls.

  • Clés de chiffrement gérées par le client (CMEK) : NetApp Volumes a besoin d'accéder à la clé KMS que vous avez spécifiée pour les CMEK. Pour en savoir plus, consultez Vérifier l'accès aux clés.

  • Réplication de volumes entre projets (fonctionnalité en disponibilité générale (GA) sur liste d'autorisation) : pour les niveaux de service Flex Unified, Standard, Premium et Extreme, la réplication entre projets dans différents périmètres nécessite des règles d'entrée et de sortie VPC Service Controls dans les deux projets pour autoriser les flux d'API NetApp. Pour en savoir plus, consultez Points à prendre en compte pour la réplication de volumes.

Pour en savoir plus sur les produits et services compatibles avec VPC Service Controls, consultez Produits compatibles et limites.

Règles VPC Service Controls pour la réplication de volumes entre projets

Pour activer la réplication de volumes inter-projets, vous devez ajouter une règle de sortie et une règle d'entrée au périmètre VPC Service Controls pour les projets source et de destination.

Règle de sortie

Ajoutez la règle de trafic sortant suivante aux projets source et de destination de la réplication de volumes interprojets.

Avant d'appliquer la règle, vous devez remplacer SOURCE_PROJECT et DESTINATION_PROJECT par les ID de vos projets. Dans le champ identities, ajoutez les ID Google des administrateurs NetApp Volumes qui gèrent la réplication.

   {
       "egressFrom": {
           "identities": [
               "your_google_id@your_domain.com"
           ],
           "sources": [
               {
                   "resource": "projects/SOURCE_PROJECT"
               },
               {
                   "resource": "projects/DESTINATION_PROJECT"
               }
           ]
       },
       "egressTo": {
           "operations": [
               {
                   "methodSelectors": [
                       {
                           "method": "*"
                       }
                   ],
                   "serviceName": "netapp.googleapis.com"
               }
           ],
           "resources": [
               "projects/SOURCE_PROJECT",
               "projects/DESTINATION_PROJECT"
           ]
       },
       "title": "NetApp Volumes cross-project volume replication"
   }

Règle dIngress

Ajoutez la règle d'entrée suivante aux projets source et de destination de la réplication de volumes inter-projets.

Avant d'appliquer la règle, vous devez remplacer SOURCE_PROJECT et DESTINATION_PROJECT par les ID de vos projets. Dans le champ identities, ajoutez les ID Google des administrateurs NetApp Volumes qui gèrent la réplication.

   {
       "ingressFrom": {
           "identities": [
               "your_google_id@your_domain.com"
           ],
           "sources": [
               {
                   "resource": "projects/SOURCE_PROJECT"
               },
               {
                   "resource": "projects/DESTINATION_PROJECT"
               }
           ]
       },
       "ingressTo": {
           "operations": [
               {
                   "methodSelectors": [
                       {
                           "method": "*"
                       }
                   ],
                   "serviceName": "netapp.googleapis.com"
               }
           ],
           "resources": [
               "projects/SOURCE_PROJECT",
               "projects/DESTINATION_PROJECT"
           ]
       },
       "title": "NetApp Volumes cross-project volume replication"
   }

Étapes suivantes

Configurer l'accès à Google Cloud NetApp Volumes