הגדרת תמיכה ב-Assured OSS עבור VPC Service Controls

אם מפעילים את Assured Open Source Software (תוכנת קוד פתוח מאושרת, Assured OSS) בהיקף שירות של VPC Service Controls, צריך להגדיר כללי תעבורת נתונים יוצאת (egress).

המסמך הזה רלוונטי רק לרמת הפרימיום של Assured OSS.

מידע נוסף מופיע במאמר בנושא הגדרת מדיניות יציאה.

לפני שמתחילים

  1. חשוב לוודא שיש לכם את התפקידים הנדרשים להגדרת VPC Service Controls ברמת הארגון.

  2. חשוב לוודא שיש לכם את הפרטים הבאים:

    • חשבון השירות שבו השתמשתם כדי להגדיר את Assured OSS.
    • סוכן השירות של Artifact Registry נוצר באופן אוטומטי כשמגדירים את Assured OSS.
    • חשבון המשתמש שהגדיר את Assured OSS.

הגדרת כלל יציאה כשמורידים קבצים בינאריים

צריך להשלים את המשימה הזו עבור מאגרי Artifact Registry ועבור המשאביםGoogle Cloud שמפעילים הורדות (לדוגמה, מכונות וירטואליות של Compute Engine).

מגדירים את כלל היציאה הבא:

- egressFrom:
    identities:
    - serviceAccount: ASSURED_OSS_EMAIL_ADDRESS
    - serviceAccount: ARTIFACT_REPOSITORY_EMAIL_ADDRESS
    - serviceAccount: OTHER_SERVICE_ACCOUNT_EMAIL_ADDRESS
    - USER_GROUP
  egressTo:
    operations:
    - methodSelectors:
      - method: artifactregistry.googleapis.com/GoRead
      - method: artifactregistry.googleapis.com/MavenRead
      - method: artifactregistry.googleapis.com/NPMRead
      - method: artifactregistry.googleapis.com/PythonRead
      serviceName: artifactregistry.googleapis.com
    resources:
    - projects/855934472549
    - projects/107114433875

מחליפים את מה שכתוב בשדות הבאים:

  • ‫ASSURED_OSS_EMAIL_ADDRESS: כתובת האימייל של חשבון השירות שציינתם כשמגדירים את Assured OSS.

  • ‫ARTIFACT_REGISTRY_EMAIL_ADDRESS: כתובת האימייל של סוכן השירות של Artifact Registry.

  • OTHER_SERVICE_ACCOUNT_EMAIL_ADDRESS: כתובות האימייל של חשבונות שירות אחרים שנדרשת להם גישה לחבילות הקוד הפתוח.

  • ‫USER_GROUP: הקבוצות שזקוקות לגישה לחבילות הקוד הפתוח. לדוגמה, group:my-group@example.com או user:alex@example.com.

הגדרת כלל תעבורת נתונים יוצאת (egress) כשניגשים למטא-נתוני אבטחה ממאגר Assured OSS

צריך להשלים את המשימה הזו עבור חשבון המשתמש וחשבון השירות שבהם השתמשתם כדי להגדיר את Assured OSS.

מגדירים את כלל היציאה הבא:

- egressFrom:
    identities:
    - serviceAccount: ASSURED_OSS_EMAIL_ADDRESS
    - user: ASSURED_OSS_USER_EMAIL_ADDRESS
  egressTo:
    operations:
    - methodSelectors:
      - method: google.storage.objects.get
      - method: google.storage.objects.list
      serviceName: storage.googleapis.com
    resources:
    - projects/107114433875

מחליפים את מה שכתוב בשדות הבאים:

  • ‫ASSURED_OSS_EMAIL_ADDRESS: כתובת האימייל של חשבון השירות שציינתם כשמגדירים את Assured OSS.

  • ‫ASSURED_OSS_USER_EMAIL_ADDRESS: כתובת האימייל של חשבון המשתמש שבו השתמשתם כדי להגדיר את Assured OSS.

הגדרת כלל היציאה כשמגדירים התראות Pub/Sub

כדי להגדיר התראות Pub/Sub ל-Assured OSS, צריך לבצע את המשימה הזו.

יוצרים את כלל היציאה הבא:

- egressFrom:
    - serviceAccount: ASSURED_OSS_EMAIL_ADDRESS
    - user: ASSURED_OSS_USER_EMAIL_ADDRESS
  egressTo:
    operations:
    - methodSelectors:
      - method: Subscriber.CreateSubscription
      serviceName: pubsub.googleapis.com
    resources:
    - projects/107114433875

מחליפים את מה שכתוב בשדות הבאים:

  • ‫ASSURED_OSS_EMAIL_ADDRESS: כתובת האימייל של חשבון השירות שציינתם כשמגדירים את Assured OSS.

  • ‫ASSURED_OSS_USER_EMAIL_ADDRESS: כתובת האימייל של חשבון המשתמש שבו השתמשתם כדי להגדיר את Assured OSS.

אחרי שמגדירים את המינוי, אפשר להסיר את כלל היציאה הזה.

המאמרים הבאים