Google は AI 技術を使用して、コンテンツをご希望の言語に翻訳しています。AI 翻訳には誤りが含まれる場合があります。

サービス境界で NetApp Volumes を保護する

このページでは、VPC Service Controls を使用してサービス境界で Google Cloud NetApp Volumes ボリュームを保護する方法について説明します。

VPC Service Controls は、不正なデータアクセスを防ぐサービス境界を作成することで、 Google Cloud サービスのセキュリティを強化します。この境界は、外部エンティティまたは内部エンティティによる偶発的または意図的なデータ引き出しの試行から保護します。アクセス権を付与するには、エンティティを境界に追加する必要があります。VPC Service Controls の詳細については、VPC Service Controls の概要をご覧ください。

VPC Service Controls は、NetApp Volumes リソースの管理に使用される NetApp Volumes API へのアクセスを保護します。この API では、ボリュームのコンテンツにアクセスできません。

ボリュームのコンテンツへのデータアクセスは、NFS、SMB、または iSCSI プロトコルを使用して付与されます。データアクセスのセキュリティは、これらのプロトコルに固有のボリュームアクセス制御とファイルアクセス制御によって保護されます。これらは VPC Service Controls とは独立しています。ボリュームに接続するには、NFS、SMB、または iSCSI クライアントがボリュームと同じネットワークに接続されている必要があります。詳しくは、以下のセクションをご覧ください。

VPC Service Controls を使用してボリュームを保護する

サービス境界を作成します。
NetApp Volumes API をサービス境界に追加します。サービス境界にサービスを追加する手順については、サービス境界を更新するをご覧ください。

VPC Service Controls の制限事項

NetApp Volumes の一部の機能では、境界内の Google リソースへのアクセスが必要です。次の機能は、VPC Service Controls を有効にすると問題が発生することがわかっています。

顧客管理の暗号鍵（CMEK）: NetApp Volumes には、CMEK に指定した KMS 鍵へのアクセス権が必要です。詳細については、鍵へのアクセスを確認するをご覧ください。
プロジェクト間のボリュームレプリケーション（一般提供（GA）機能の許可リスト）: Flex Unified、Standard、Premium、Extreme のサービスレベルの場合、異なる境界内のプロジェクト間のレプリケーションでは、両方のプロジェクトで VPC Service Controls の下り（外向き）ルールと上り（内向き）ルールを使用して NetApp API フローを許可する必要があります。詳細については、ボリュームレプリケーションの考慮事項をご覧ください。

VPC Service Controls でサポートされているプロダクトとサービスの詳細については、サポートされているプロダクトと制限事項をご覧ください。

クロスプロジェクトボリュームレプリケーションの VPC Service Controls ルール

プロジェクト間のボリュームレプリケーションを有効にするには、送信元プロジェクトと宛先プロジェクトの両方の VPC Service Controls 境界に下り（外向き）ルールと上り（内向き）ルールの両方を追加する必要があります。

下り（外向き）ルール

次の下り（外向き）ルールを、クロスプロジェクトボリュームレプリケーションの送信元プロジェクトと宛先プロジェクトに追加します。

ルールを適用する前に、SOURCE_PROJECT と DESTINATION_PROJECT をプロジェクト ID に置き換える必要があります。identities フィールドに、レプリケーションを管理する NetApp Volumes 管理者の Google ID を追加します。

   {
       "egressFrom": {
           "identities": [
               "your_google_id@your_domain.com"
           ],
           "sources": [
               {
                   "resource": "projects/SOURCE_PROJECT"
               },
               {
                   "resource": "projects/DESTINATION_PROJECT"
               }
           ]
       },
       "egressTo": {
           "operations": [
               {
                   "methodSelectors": [
                       {
                           "method": "*"
                       }
                   ],
                   "serviceName": "netapp.googleapis.com"
               }
           ],
           "resources": [
               "projects/SOURCE_PROJECT",
               "projects/DESTINATION_PROJECT"
           ]
       },
       "title": "NetApp Volumes cross-project volume replication"
   }

上り（内向き）ルール

プロジェクト間のボリュームレプリケーションの送信元プロジェクトと宛先プロジェクトに、次の上り（内向き）ルールを追加します。

   {
       "ingressFrom": {
           "identities": [
               "your_google_id@your_domain.com"
           ],
           "sources": [
               {
                   "resource": "projects/SOURCE_PROJECT"
               },
               {
                   "resource": "projects/DESTINATION_PROJECT"
               }
           ]
       },
       "ingressTo": {
           "operations": [
               {
                   "methodSelectors": [
                       {
                           "method": "*"
                       }
                   ],
                   "serviceName": "netapp.googleapis.com"
               }
           ],
           "resources": [
               "projects/SOURCE_PROJECT",
               "projects/DESTINATION_PROJECT"
           ]
       },
       "title": "NetApp Volumes cross-project volume replication"
   }

次のステップ

Google Cloud NetApp Volumes へのアクセスを構成します。

サービス境界で NetApp Volumes を保護する コレクションでコンテンツを整理 必要に応じて、コンテンツの保存と分類を行います。