דוגמאות להגבלות על ארגונים

אתם יכולים להשתמש בהגבלות על ארגונים כדי לשלוט בתנועה היוצאת מהרשת, כך שמשתמשים ועומסי עבודה יוכלו לגשת רק לארגונים מורשים ב-Google Cloud . ההגבלות האלה עוזרות למנוע זליגת נתונים לסביבות חיצוניות לא מורשות. בדוגמאות הבאות מוסבר איך להגדיר את כותרת הבקשה של הגבלות על ארגון בתרחישים נפוצים, כמו ארגון אחד או כמה ארגונים, גישת קריאה ל-Cloud Storage ובקשות העלאה.

הגבלת הגישה לארגון שלכם בלבד

בדוגמה הזו, האדמין של Google Cloud והאדמין של שרת ה-proxy לתעבורת נתונים יוצאת של ארגון א' פועלים יחד כדי להגביל את העובדים כך שיוכלו לגשת רק למשאבים בארגוןGoogle Cloud שלהם.

כדי להגביל את הגישה רק לארגון שלכם, מבצעים את הפעולות הבאות:

  1. כדי לקבל את Google Cloud מזהה הארגון של ארגון א' בתור אדמין ב- Google Cloud , משתמשים בפקודה gcloud organizations list:

        gcloud organizations list

    הפלט לדוגמה:

        DISPLAY_NAME: Organization A
    ID: 123456789
    DIRECTORY_CUSTOMER_ID: a1b2c3d4

  2. כמנהלי שרת ה-proxy להעברת נתונים יוצאת (egress), אחרי שקיבלתם את מזהה הארגון מהאדמין של Google Cloud, אתם צריכים ליצור את ייצוג ה-JSON של ערך הכותרת בפורמט הבא:

     {
 "resources": ["organizations/123456789"],
  "options": "strict"
 }

  3. כמנהלי שרת ה-proxy לתעבורת נתונים יוצאת, אתם צריכים לקודד את הערך של כותרת הבקשה לפי המפרט של RFC 4648 סעיף 5.

    לדוגמה, אם הייצוג בפורמט JSON של ערך הכותרת מאוחסן בקובץ authorized_orgs.json, כדי לקודד את הקובץ מריצים את הפקודה הבאה ב-basenc: 

     $ cat authorized_orgs.json | basenc --base64url -w0
 ewogInJlc291cmNlcyI6IFsib3JnYW5pemF0aW9ucy8xMjM0NTY3ODkiXSwKICJvcHRpb25zIjogInN0cmljdCIKfQo

  4. כאדמין של שרת ה-proxy להעברת נתונים, צריך להגדיר את שרת ה-proxy להעברת נתונים כך שכותרת הבקשה הבאה תתווסף לכל הבקשות שמגיעות מהמכשירים המנוהלים בארגון א':

     X-Goog-Allowed-Resources: ewogInJlc291cmNlcyI6IFsib3JnYW5pemF0aW9ucy8xMjM0NTY3ODkiXSwKICJvcHRpb25zIjogInN0cmljdCIKfQo

הגבלת הגישה לארגון ואישור בקשות קריאה למשאבים של Cloud Storage

בדוגמה הזו, ה Google Cloud אדמין של ארגון א' והאדמין של שרת ה-proxy לתעבורת נתונים יוצאת של ארגון א' פועלים יחד כדי להגביל את העובדים, כך שתהיה להם גישה רק למשאבים בארגון Google Cloud , מלבד בקשות קריאה למשאבים של Cloud Storage. אדמינים יכולים להשמיט בקשות קריאה למשאבים של Cloud Storage מאכיפת ההגבלות על הארגון, כדי לוודא שהעובדים שלהם יוכלו לגשת לאתרים חיצוניים שמשתמשים ב-Cloud Storage לאירוח תוכן סטטי. האדמין משתמש באפשרות cloudStorageReadAllowed כדי לאפשר בקשות קריאה למשאבים של Cloud Storage.

כדי להגביל את הגישה רק לארגון שלכם ולאפשר בקשות קריאה למשאבי Cloud Storage, מבצעים את הפעולות הבאות:

  1. כדי לקבל את Google Cloud מזהה הארגון של ארגון א' בתור אדמין ב- Google Cloud , משתמשים בפקודה gcloud organizations list:

        gcloud organizations list

    הפלט לדוגמה:

        DISPLAY_NAME: Organization A
    ID: 123456789
    DIRECTORY_CUSTOMER_ID: a1b2c3d4

  2. כמנהלי שרת ה-proxy להעברת נתונים יוצאת (egress), אחרי שקיבלתם את מזהה הארגון מהאדמין של Google Cloud, אתם צריכים ליצור את ייצוג ה-JSON של ערך הכותרת בפורמט הבא:

     {
 "resources": ["organizations/123456789"],
  "options": "cloudStorageReadAllowed"
 }

  3. כמנהלי שרת ה-proxy לתעבורת נתונים יוצאת, אתם צריכים לקודד את הערך של כותרת הבקשה לפי המפרט של RFC 4648 סעיף 5.

    לדוגמה, אם הייצוג בפורמט JSON של ערך הכותרת מאוחסן בקובץ authorized_orgs.json, כדי לקודד את הקובץ מריצים את הפקודה הבאה ב-basenc:

     $ cat authorized_orgs.json | basenc --base64url -w0
ewogICJyZXNvdXJjZXMiOiBbIm9yZ2FuaXphdGlvbnMvMTIzNDU2Nzg5Il0sCiAgIm9wdGlvbnMiOiAiY2xvdWRTdG9yYWdlUmVhZEFsbG93ZCIKfQo=l

  4. כאדמין של שרת ה-proxy להעברת נתונים, צריך להגדיר את שרת ה-proxy להעברת נתונים כך שכותרת הבקשה הבאה תתווסף לכל הבקשות שמגיעות מהמכשירים המנוהלים בארגון א':

     X-Goog-Allowed-Resources: ewogICJyZXNvdXJjZXMiOiBbIm9yZ2FuaXphdGlvbnMvMTIzNDU2Nzg5Il0sCiAgIm9wdGlvbnMiOiAiY2xvdWRTdG9yYWdlUmVhZEFsbG93ZCIKfQo=l

    עכשיו לעובדים של ארגון א' יש גישה לארגון שלהם Google Cloud וגישת קריאה למשאבים של Cloud Storage.

מתן גישה לעובדים לארגון של ספק Google Cloud

בדוגמה הזו, האדמין של Google Cloud והאדמין של שרת ה-proxy לתעבורת נתונים יוצאת של ארגון ב' פועלים יחד כדי לאפשר לעובדים לגשת לארגון של ספק Google Cloud בנוסף לארגון Google Cloud הקיים שלהם.

כדי להגביל את הגישה של העובדים רק לארגון שלכם ולארגון של הספק, צריך לבצע את הפעולות הבאות:

  1. כאדמינים ב- Google Cloud , אתם צריכים לפנות לספק כדי לקבל את מזהה הארגון של הספק ב- Google Cloud.

  2. כאדמינים של שרת proxy לתעבורת נתונים יוצאת, כדי לכלול את מזהה הארגון של הספק בנוסף למזהה הארגון הקיים, אתם צריכים לעדכן את ייצוג ה-JSON של ערך הכותרת. אחרי שמקבלים את מזהה הארגון של הספק מהאדמין ב- Google Cloud, מעדכנים את ערך הכותרת בפורמט הבא:

     {
 "resources": ["organizations/1234", "organizations/3456"],
  "options": "strict"
 }

  3. כמנהלי שרת ה-proxy לתעבורת נתונים יוצאת, אתם צריכים לקודד את הערך של כותרת הבקשה לפי המפרט של RFC 4648 סעיף 5.

    לדוגמה, אם הייצוג בפורמט JSON של ערך הכותרת מאוחסן בקובץ authorized_orgs.json, כדי לקודד את הקובץ מריצים את הפקודה הבאה ב-basenc:

     $ cat authorized_orgs.json | basenc --base64url -w0
 ewogInJlc291cmNlcyI6IFsib3JnYW5pemF0aW9ucy8xMjM0NTY3ODkiLCAib3JnYW5pemF0aW9ucy8xMDExMTIxMzE0Il0sCiAib3B0aW9ucyI6ICJzdHJpY3QiCn0K

  4. כאדמין של שרת ה-proxy להעברת נתונים, צריך להגדיר את שרת ה-proxy להעברת נתונים כך שכותרת הבקשה הבאה תתווסף לכל הבקשות שמגיעות מהמכשירים המנוהלים בארגון ב':

     X-Goog-Allowed-Resources: ewogInJlc291cmNlcyI6IFsib3JnYW5pemF0aW9ucy8xMjM0NTY3ODkiLCAib3JnYW5pemF0aW9ucy8xMDExMTIxMzE0Il0sCiAib3B0aW9ucyI6ICJzdHJpY3QiCn0K

    לעובדים של ארגון ב' יש עכשיו גישה גם לספק וגם לארגונים Google Cloud שלהם.

הגבלת הגישה רק להעלאות

בדוגמה הזו, האדמין של Google Cloud והאדמין של שרת ה-proxy לתעבורת נתונים יוצאת של Organization C פועלים יחד כדי להגביל את הגישה של העובדים להעלאת נתונים רק למשאבים בארגוןGoogle Cloud .

כדי להגביל את הרשאת ההעלאה רק לארגון שלכם, בצעו את הפעולות הבאות:

  1. כדי לקבל את Google Cloud מזהה הארגון של ארגון C, האדמין של Google Cloud צריך להשתמש בפקודה gcloud organizations list:

        gcloud organizations list

    הפלט לדוגמה:

        DISPLAY_NAME: Organization C
    ID: 123456789
    DIRECTORY_CUSTOMER_ID: a1b2c3d4

  2. כמנהלי שרת ה-proxy להעברת נתונים יוצאת (egress), אחרי שקיבלתם את מזהה הארגון מהאדמין של Google Cloud, אתם צריכים ליצור את ייצוג ה-JSON של ערך הכותרת בפורמט הבא:

     {
 "resources": ["organizations/123456789"],
  "options": "strict"
 }

  3. כמנהלי שרת ה-proxy לתעבורת נתונים יוצאת, אתם צריכים לקודד את הערך של כותרת הבקשה לפי המפרט של RFC 4648 סעיף 5.

    לדוגמה, אם הייצוג בפורמט JSON של ערך הכותרת מאוחסן בקובץ authorized_orgs.json, כדי לקודד את הקובץ מריצים את הפקודה הבאה ב-basenc:

     $ cat authorized_orgs.json | basenc --base64url -w0
ewogInJlc291cmNlcyI6IFsib3JnYW5pemF0aW9ucy8xMjM0NTY3ODkiXSwKICJvcHRpb25zIjogInN0cmljdCIKfQo

  4. כאדמינים של שרת proxy לתעבורת נתונים יוצאת, אתם צריכים להגדיר את שרת ה-proxy כך שכותרת הבקשה הבאה תתווסף רק לבקשות בשיטות PUT,‏ POST ו-PATCH שמגיעות מהמכשירים המנוהלים בארגון ג':

     X-Goog-Allowed-Resources: ewogInJlc291cmNlcyI6IFsib3JnYW5pemF0aW9ucy8xMjM0NTY3ODkiXSwKICJvcHRpb25zIjogInN0cmljdCIKfQo

המאמרים הבאים