Proteggere i volumi NetApp con un perimetro di servizio

Questa pagina mostra come proteggere i volumi Google Cloud NetApp Volumes con un perimetro di servizio utilizzando i Controlli di servizio VPC.

I Controlli di servizio VPC migliorano la sicurezza dei servizi Google Cloud creando un perimetro di servizio che impedisce l'accesso non autorizzato ai dati. Questo perimetro protegge da tentativi di esfiltrazione di dati accidentali o intenzionali da entità esterne o interne. Per concedere l'accesso, devi aggiungere entità al tuo perimetro. Per saperne di più sui Controlli di servizio VPC, consulta la panoramica dei Controlli di servizio VPC.

Controlli di servizio VPC proteggono l'accesso all'API NetApp Volumes, che viene utilizzata per la gestione amministrativa delle risorse NetApp Volumes. Non puoi accedere ai contenuti di un volume con questa API.

L'accesso ai dati al contenuto di un volume viene concesso utilizzando il protocollo NFS, SMB o iSCSI. La sicurezza dell'accesso ai dati è protetta tramite controlli dell'accesso a volumi e file specifici per questi protocolli, indipendenti dai Controlli di servizio VPC. Per connettersi a un volume, un client NFS, SMB o iSCSI deve essere connesso alla stessa rete del volume. Per saperne di più, consulta le sezioni seguenti:

Proteggere i volumi utilizzando i Controlli di servizio VPC

  1. Crea un perimetro di servizio.

  2. Aggiungi l'API NetApp Volumes al perimetro di servizio. Per istruzioni su come aggiungere un servizio al perimetro di servizio, vedi Aggiorna un perimetro di servizio.

Limitazioni dei Controlli di servizio VPC

Alcune funzionalità di NetApp Volumes richiedono l'accesso alle risorse Google all'interno del perimetro. È noto che le seguenti funzionalità causano problemi quando abiliti i Controlli di servizio VPC.

  • Chiavi di crittografia gestite dal cliente (CMEK): NetApp Volumes deve accedere alla chiave KMS specificata per CMEK. Per saperne di più, consulta Verifica l'accesso alle chiavi.

  • Replica dei volumi tra progetti (funzionalità di disponibilità generale (GA) inclusa nella lista consentita): per i livelli di servizio Flex Unified, Standard, Premium ed Extreme, la replica tra progetti in perimetri diversi richiede regole in uscita e in entrata dei Controlli di servizio VPC in entrambi i progetti per consentire i flussi API NetApp. Per saperne di più, consulta Considerazioni per la replica dei volumi.

Per saperne di più sui prodotti e servizi supportati dai Controlli di servizio VPC, consulta Prodotti supportati e limitazioni.

Regole dei Controlli di servizio VPC per la replica dei volumi tra progetti

Per abilitare la replica dei volumi tra progetti, devi aggiungere una regola in uscita e una in entrata al perimetro dei Controlli di servizio VPC sia per il progetto di origine che per quello di destinazione.

Regola in uscita

Aggiungi la seguente regola di uscita ai progetti di origine e di destinazione della replica del volume tra progetti.

Prima di applicare la regola, devi sostituire SOURCE_PROJECT e DESTINATION_PROJECT con i tuoi ID progetto. Per il campo identities, aggiungi gli ID Google degli amministratori di NetApp Volumes che gestiscono la replica.

   {
       "egressFrom": {
           "identities": [
               "your_google_id@your_domain.com"
           ],
           "sources": [
               {
                   "resource": "projects/SOURCE_PROJECT"
               },
               {
                   "resource": "projects/DESTINATION_PROJECT"
               }
           ]
       },
       "egressTo": {
           "operations": [
               {
                   "methodSelectors": [
                       {
                           "method": "*"
                       }
                   ],
                   "serviceName": "netapp.googleapis.com"
               }
           ],
           "resources": [
               "projects/SOURCE_PROJECT",
               "projects/DESTINATION_PROJECT"
           ]
       },
       "title": "NetApp Volumes cross-project volume replication"
   }

Regola in entrata

Aggiungi la seguente regola di ingresso ai progetti di origine e di destinazione della replica del volume tra progetti.

Prima di applicare la regola, devi sostituire SOURCE_PROJECT e DESTINATION_PROJECT con i tuoi ID progetto. Per il campo identities, aggiungi gli ID Google degli amministratori di NetApp Volumes che gestiscono la replica.

   {
       "ingressFrom": {
           "identities": [
               "your_google_id@your_domain.com"
           ],
           "sources": [
               {
                   "resource": "projects/SOURCE_PROJECT"
               },
               {
                   "resource": "projects/DESTINATION_PROJECT"
               }
           ]
       },
       "ingressTo": {
           "operations": [
               {
                   "methodSelectors": [
                       {
                           "method": "*"
                       }
                   ],
                   "serviceName": "netapp.googleapis.com"
               }
           ],
           "resources": [
               "projects/SOURCE_PROJECT",
               "projects/DESTINATION_PROJECT"
           ]
       },
       "title": "NetApp Volumes cross-project volume replication"
   }

Passaggi successivi

Configura l'accesso a Google Cloud NetApp Volumes.