Protege los trabajos de cron con los Controles del servicio de VPC

Controles del servicio de VPC es una función de Google Cloud Platform que te permite configurar un perímetro seguro para protegerte del robo de datos. En esta guía, se muestra cómo incluir trabajos de Cloud Scheduler en un perímetro de Controles del servicio de VPC.

Limitaciones

Las siguientes limitaciones se aplican a la compatibilidad de los Controles del servicio de VPC con Cloud Scheduler.

Acciones aplicadas

Los Controles del servicio de VPC solo se aplican en las siguientes acciones:

  • Creación de trabajos de Cloud Scheduler
  • Actualizaciones de trabajos de Cloud Scheduler

¿Por qué esto es importante?

Dado que los Controles del servicio de VPC solo se aplican en la creación y las actualizaciones de trabajos, no se aplican automáticamente a los trabajos que se crearon antes de que agregaras Cloud Scheduler a tu perímetro de Controles del servicio de VPC. Los trabajos siguen ejecutándose incluso si los destinos del trabajo no forman parte de tu perímetro de Controles del servicio de VPC o no son destinos compatibles. Para aplicar los Controles del servicio de VPC a todos los trabajos de Cloud Scheduler, haz lo siguiente:

Categorías admitidas

La integración de Cloud Scheduler con los Controles del servicio de VPC admite los siguientes destinos. Se admiten los extremos HTTP si se indican en la lista. Sin embargo, no se admiten los extremos HTTP arbitrarios.

  • Servicios de Cloud Run: En la URL run.app
  • Funciones de Cloud Run: En la URL functions.net

  • Google Cloud Las APIs que cumplen con los Controles del servicio de VPC (ya sea en versión preliminar o GA) pueden estar en un proyecto Google Cloud diferente del trabajo de Cloud Scheduler. Sin embargo, tanto el trabajo de Cloud Scheduler como el proyecto Google Cloud de destino deben estar en el mismo perímetro de los Controles del servicio de VPC.

    • En el caso de los trabajos de Cloud Run, el formato de URI admitido es el siguiente: https://run.googleapis.com/v2/projects/PROJECT_ID/locations/REGION/jobs/JOB_NAME:run

      Para obtener información sobre la diferencia entre los recursos de servicios y trabajos de Cloud Run, consulta Servicios y trabajos: Dos formas de ejecutar tu código.

  • Pub/Sub

Borra los trabajos que no cumplen con los requisitos

(recomendado) Borra los trabajos de Cloud Scheduler con destinos que cumplan con una de las siguientes condiciones:

  • No admitida (consulta Categorías admitidas)
  • Fuera del perímetro de los Controles del servicio de VPC que planeas usar

Si quieres obtener instrucciones para borrar trabajos, consulta Borra un trabajo.

Si no borras estos trabajos antes de agregar Cloud Scheduler a tu perímetro de Controles del servicio de VPC, los trabajos seguirán ejecutándose, pero no se aplicarán los Controles del servicio de VPC en ellos. En este documento, consulta Acciones aplicadas.

Por ejemplo, si tienes un trabajo de Cloud Scheduler que se orienta a un destino no compatible (como un dominio personalizado de Cloud Run), el trabajo seguirá ejecutándose después de que agregues Cloud Scheduler a tu perímetro de los Controles del servicio de VPC, pero no estará protegido por los Controles del servicio de VPC. Lo mismo sucede con un trabajo preexistente con un destino fuera de tu perímetro de Controles del servicio de VPC.

Agrega los roles de IAM obligatorios

Obligatorio. Para usar los Controles del servicio de VPC, la cuenta de servicio de Cloud Scheduler debe tener el rol de IAM Agente de servicio de Cloud Scheduler. La cuenta de servicio de Cloud Scheduler se crea automáticamente para tu proyecto. Para verificar que tenga el rol de IAM de agente de servicio de Cloud Scheduler o para otorgar este rol, sigue estos pasos:

  1. En la consola de Google Cloud , ve a IAM.

    Ir a IAM

  2. Selecciona la casilla de verificación Incluir asignaciones de funciones proporcionadas por Google.

  3. En el filtro, escribe Cuenta de servicio de Cloud Scheduler y selecciona esta principal.

  4. Consulta la columna Rol para la principal de la cuenta de servicio de Cloud Scheduler. Puedes continuar si se muestra el siguiente rol:

    • Agente de Cloud Scheduler Service

    Si no aparece el rol de Cuenta de servicio de Cloud Scheduler, haz clic en el ícono de Editar y otorga el rol de Agente de servicio de Cloud Scheduler a la principal de la Cuenta de servicio de Cloud Scheduler.

Especifica un perímetro de Controles del servicio de VPC

Obligatorio. Puedes usar un perímetro existente o crear uno nuevo para proteger tus trabajos de Cloud Scheduler que tengan destinos compatibles. Ambos enfoques te permiten especificar los servicios que deseas restringir. Especifica la API de Cloud Scheduler.

Aplica los Controles del servicio de VPC en trabajos preexistentes

(recomendado) Para aplicar los Controles del servicio de VPC en los trabajos de Cloud Scheduler que creaste antes de agregar Cloud Scheduler a tu perímetro de Controles del servicio de VPC, ejecuta un update en el trabajo. No es necesario que cambies el trabajo, pero debes ejecutar la actualización para que los Controles del servicio de VPC se apliquen al trabajo y a sus ejecuciones futuras.

Puedes ejecutar una actualización del trabajo desde la consola Google Cloud (selecciona el trabajo y usa el botón Editar), con la API o con gcloud CLI.

Para aplicar los Controles del servicio de VPC en un trabajo existente con gcloud CLI, ejecuta el siguiente comando:

Destinos de HTTP

gcloud scheduler jobs update http JOB_ID

Reemplaza JOB_ID por el ID de tu trabajo.

Destinos de Pub/Sub

gcloud scheduler jobs update pubsub JOB_ID

Reemplaza JOB_ID por el ID de tu trabajo.