이 페이지에서는 VPC 서비스 제어를 사용하여 서비스 경계로 Google Cloud NetApp Volumes 볼륨을 보호하는 방법을 보여줍니다.
VPC 서비스 제어는 무단 데이터 액세스를 방지하는 서비스 경계를 만들어 Google Cloud 서비스의 보안을 개선합니다. 이 경계는 외부 또는 내부 주체의 우발적이거나 의도적인 데이터 무단 반출 시도를 방지합니다. 액세스 권한을 부여하려면 경계에 엔티티를 추가해야 합니다. VPC 서비스 제어에 대한 자세한 내용은 VPC 서비스 제어 개요를 참고하세요.
VPC 서비스 제어는 NetApp Volumes 리소스의 관리 관리에 사용되는 NetApp Volumes API에 대한 액세스를 보호합니다. 이 API로는 볼륨의 콘텐츠에 액세스할 수 없습니다.
볼륨 콘텐츠에 대한 데이터 액세스 권한은 NFS, SMB 또는 iSCSI 프로토콜을 사용하여 부여됩니다. 데이터 액세스 보안은 VPC 서비스 제어와 독립적인 이러한 프로토콜에 특정한 볼륨 및 파일 액세스 제어를 통해 보호됩니다. 볼륨에 연결하려면 NFS, SMB 또는 iSCSI 클라이언트가 볼륨과 동일한 네트워크에 연결되어야 합니다. 자세한 내용은 다음 섹션을 참고하세요.
VPC 서비스 제어를 사용하여 볼륨 보호
서비스 경계에 NetApp Volumes API를 추가합니다. 서비스 경계에 서비스를 추가하는 방법은 서비스 경계 업데이트를 참고하세요.
VPC 서비스 제어 제한사항
NetApp Volumes의 일부 기능에는 경계 내 Google 리소스에 대한 액세스 권한이 필요합니다. VPC 서비스 제어를 사용 설정하면 다음과 같은 기능으로 인해 문제가 발생하는 것으로 알려져 있습니다.
고객 관리 암호화 키 (CMEK): NetApp Volumes는 CMEK에 지정한 KMS 키에 액세스해야 합니다. 자세한 내용은 키 액세스 확인을 참고하세요.
프로젝트 간 볼륨 복제 (허용 목록에 추가된 정식 버전 (GA) 기능): Flex Unified, Standard, Premium, Extreme 서비스 등급의 경우 서로 다른 경계에 있는 프로젝트 간 복제에는 NetApp API 흐름을 허용하는 두 프로젝트의 VPC 서비스 제어 이그레스 및 인그레스 규칙이 필요합니다. 자세한 내용은 볼륨 복제 고려사항을 참고하세요.
VPC 서비스 제어에서 지원되는 제품 및 서비스에 대한 자세한 내용은 지원되는 제품 및 제한사항을 참고하세요.
크로스 프로젝트 볼륨 복제를 위한 VPC 서비스 제어 규칙
프로젝트 간 볼륨 복제를 사용 설정하려면 소스 및 대상 프로젝트 모두에 대해 VPC 서비스 제어 경계에 이그레스 및 인그레스 규칙을 모두 추가해야 합니다.
이그레스 규칙
크로스 프로젝트 볼륨 복제의 소스 및 대상 프로젝트에 다음 이그레스 규칙을 추가합니다.
규칙을 적용하기 전에 SOURCE_PROJECT 및 DESTINATION_PROJECT를 프로젝트 ID로 바꿔야 합니다. identities 필드에 복제를 관리하는 NetApp Volumes 관리자의 Google ID를 추가합니다.
{
"egressFrom": {
"identities": [
"your_google_id@your_domain.com"
],
"sources": [
{
"resource": "projects/SOURCE_PROJECT"
},
{
"resource": "projects/DESTINATION_PROJECT"
}
]
},
"egressTo": {
"operations": [
{
"methodSelectors": [
{
"method": "*"
}
],
"serviceName": "netapp.googleapis.com"
}
],
"resources": [
"projects/SOURCE_PROJECT",
"projects/DESTINATION_PROJECT"
]
},
"title": "NetApp Volumes cross-project volume replication"
}
인그레스 규칙
크로스 프로젝트 볼륨 복제의 소스 및 대상 프로젝트에 다음 인그레스 규칙을 추가합니다.
규칙을 적용하기 전에 SOURCE_PROJECT 및 DESTINATION_PROJECT를 프로젝트 ID로 바꿔야 합니다. identities 필드에 복제를 관리하는 NetApp Volumes 관리자의 Google ID를 추가합니다.
{
"ingressFrom": {
"identities": [
"your_google_id@your_domain.com"
],
"sources": [
{
"resource": "projects/SOURCE_PROJECT"
},
{
"resource": "projects/DESTINATION_PROJECT"
}
]
},
"ingressTo": {
"operations": [
{
"methodSelectors": [
{
"method": "*"
}
],
"serviceName": "netapp.googleapis.com"
}
],
"resources": [
"projects/SOURCE_PROJECT",
"projects/DESTINATION_PROJECT"
]
},
"title": "NetApp Volumes cross-project volume replication"
}
다음 단계
Google Cloud NetApp Volumes에 대한 액세스 권한을 구성합니다.