הגנה על NetApp Volumes באמצעות גבולות גזרה לשירות

בדף הזה נסביר איך להגן על נפחי Google Cloud NetApp Volumes באמצעות גבולות גזרה לשירות באמצעות VPC Service Controls.

VPC Service Controls משפר את האבטחה של Google Cloud שירותים על ידי יצירת גבול גזרה לשירות שמונע גישה לא מורשית לנתונים. גבולות גזרה אלה מגנים מפני ניסיונות מקריים או מכוונים של ישויות חיצוניות או פנימיות להוציא נתונים מהארגון. כדי להעניק גישה, צריך להוסיף ישויות להיקף. מידע נוסף על VPC Service Controls זמין במאמר סקירה כללית על VPC Service Controls.

‫VPC Service Controls מגנים על הגישה אל NetApp Volumes API, שמשמש לניהול אדמיניסטרטיבי של משאבי NetApp Volumes. אי אפשר לגשת לתוכן של כרך באמצעות ה-API הזה.

הגישה לנתונים בתוכן של נפח אחסון ניתנת באמצעות פרוטוקול NFS,‏ SMB או iSCSI. האבטחה של הגישה לנתונים מוגנת באמצעות אמצעים לבקרת הגישה לנפח ולאמצעים לבקרת הגישה לקבצים שספציפיים לפרוטוקולים האלה, והם לא תלויים ב-VPC Service Controls. כדי להתחבר לנפח אחסון, לקוח NFS,‏ SMB או iSCSI צריך להיות מחובר לאותה רשת כמו נפח האחסון. מידע נוסף זמין בקטעים הבאים:

אבטחת אמצעי האחסון באמצעות VPC Service Controls

  1. יצירת גבולות גזרה לשירות

  2. מוסיפים את NetApp Volumes API לגבולות גזרה לשירות. הוראות להוספת שירות לגבולות הגזרה לשירות מופיעות במאמר בנושא עדכון של גבולות גזרה לשירות.

מגבלות של VPC Service Controls

כדי להשתמש בחלק מהתכונות של NetApp Volumes, צריך גישה למשאבי Google בתוך ההיקף שלכם. התכונות הבאות ידועות כגורמות לבעיות כשמפעילים את VPC Service Controls.

  • מפתחות הצפנה בניהול הלקוח (CMEK): ל-NetApp Volumes צריכה להיות גישה למפתח KMS שציינתם עבור CMEK. מידע נוסף זמין במאמר אימות הגישה למפתחות.

  • שכפול נפח אחסון בין פרויקטים (תכונה ברשימת ההיתרים שזמינה לכולם (GA)): ברמות השירות Flex Unified,‏ Standard,‏ Premium ו-Extreme, שכפול בין פרויקטים באזורים שונים מחייב כללי תעבורת נתונים יוצאת (egress) ונכנסת (ingress) של VPC Service Controls בשני הפרויקטים כדי לאפשר זרימות של NetApp API. מידע נוסף מופיע במאמר שיקולים לגבי שכפול נפח.

מידע נוסף על מוצרים ושירותים שנתמכים על ידי VPC Service Controls זמין במאמר מוצרים נתמכים ומגבלות.

כללי VPC Service Controls לשכפול נפח אחסון בין פרויקטים

כדי להפעיל רפליקציה של נפח אחסון בין פרויקטים, צריך להוסיף גם כלל תעבורת נתונים יוצאת (egress) וגם כלל תעבורת נתונים נכנסת (ingress) לגבולות הגזרה של VPC Service Controls גם בפרויקט המקור וגם בפרויקט היעד.

כלל לתעבורת נתונים יוצאת (egress)

מוסיפים את כלל היציאה הבא לפרויקטים של המקור והיעד של השכפול של נפח האחסון בין הפרויקטים.

לפני שמחילים את הכלל, צריך להחליף את SOURCE_PROJECT ואת DESTINATION_PROJECT במזהי הפרויקט. בשדה identities מוסיפים את מזהי Google של האדמינים של NetApp Volumes שמנהלים את השכפול.

   {
       "egressFrom": {
           "identities": [
               "your_google_id@your_domain.com"
           ],
           "sources": [
               {
                   "resource": "projects/SOURCE_PROJECT"
               },
               {
                   "resource": "projects/DESTINATION_PROJECT"
               }
           ]
       },
       "egressTo": {
           "operations": [
               {
                   "methodSelectors": [
                       {
                           "method": "*"
                       }
                   ],
                   "serviceName": "netapp.googleapis.com"
               }
           ],
           "resources": [
               "projects/SOURCE_PROJECT",
               "projects/DESTINATION_PROJECT"
           ]
       },
       "title": "NetApp Volumes cross-project volume replication"
   }

כלל לתעבורת נתונים נכנסת (ingress)

מוסיפים את כלל הכניסה הבא לפרויקטים של המקור והיעד של השכפול של נפח האחסון בין הפרויקטים.

לפני שמחילים את הכלל, צריך להחליף את SOURCE_PROJECT ואת DESTINATION_PROJECT במזהי הפרויקט. בשדה identities מוסיפים את מזהי Google של האדמינים של NetApp Volumes שמנהלים את השכפול.

   {
       "ingressFrom": {
           "identities": [
               "your_google_id@your_domain.com"
           ],
           "sources": [
               {
                   "resource": "projects/SOURCE_PROJECT"
               },
               {
                   "resource": "projects/DESTINATION_PROJECT"
               }
           ]
       },
       "ingressTo": {
           "operations": [
               {
                   "methodSelectors": [
                       {
                           "method": "*"
                       }
                   ],
                   "serviceName": "netapp.googleapis.com"
               }
           ],
           "resources": [
               "projects/SOURCE_PROJECT",
               "projects/DESTINATION_PROJECT"
           ]
       },
       "title": "NetApp Volumes cross-project volume replication"
   }

המאמרים הבאים

הגדרת גישה ל-Google Cloud NetApp Volumes.