將 Cloud Service Mesh (叢集內) 服務新增至服務安全防護範圍

如果您在機構中建立了服務 perimeter，則在下列情況下，必須將憑證授權單位 (Cloud Service Mesh 憑證授權單位或憑證授權單位服務)、Mesh 設定、Stackdriver Logging、Cloud Monitoring 和 Cloud Trace 服務新增至 perimeter：

  • 您已在叢集上安裝 Cloud Service Mesh，而該叢集位於包含在 service perimeter 內的專案中。
  • 您已在 Cloud Service Mesh 安裝的叢集，是 Shared VPC 網路中的服務專案。

將這些服務新增至服務安全防護範圍後，Cloud Service Mesh 叢集就能存取這些服務。在叢集的虛擬私有雲 (VPC) 網路中，服務存取權也會受到限制。

如未新增上述服務，可能會導致 Cloud Service Mesh 安裝失敗或缺少函式。舉例來說，如果沒有將 Cloud Service Mesh 憑證授權單位新增至服務周邊，工作負載就無法從 Cloud Service Mesh 憑證授權單位取得憑證。

事前準備

VPC Service Controls 服務範圍的設定位於機構層級。確認您已獲派管理 VPC Service Controls 的適當角色。如果您有多個專案，可以將每個專案新增至服務範圍，將服務範圍套用至所有專案。

將 Cloud Service Mesh 服務新增至現有的服務邊界

控制台

  1. 按照「更新 service perimeter」一節的步驟編輯 perimeter。
  2. 在「Edit VPC Service Perimeter」(編輯虛擬私有雲服務範圍) 頁面中，按一下「Services to protect」(要保護的服務) 下方的「Add Services」(新增服務)。
  3. 在「Specify services to restrict」(指定要限制的服務) 對話方塊中，按一下「Filter services」(篩選服務)。視憑證授權單位 (CA) 而定，輸入「Cloud Service Mesh Certificate Authority API」或「憑證授權單位服務 API」。
  4. 選取服務的核取方塊。
  5. 按一下「新增 Cloud Service Mesh 憑證授權單位 API」。
  6. 重複步驟 2 到 5，新增：
    • Mesh Configuration API
    • Cloud Monitoring API
    • Cloud Trace API
  7. 按一下 [儲存]。

gcloud

如要更新受限服務清單，請使用 update 指令，並以半形逗號分隔清單指定要新增的服務：

gcloud access-context-manager perimeters update PERIMETER_NAME \
  --add-restricted-services=meshconfig.googleapis.com,meshca.googleapis.com,monitoring.googleapis.com,cloudtrace.googleapis.com,OTHER_SERVICES \
  --policy=POLICY_NAME

其中：

  • PERIMETER_NAME 是要更新的 service perimeter 名稱。

  • OTHER_SERVICES 是選填的逗號分隔的清單，列出要納入 perimeter 的一或多項服務，以及前一個指令填入的服務。例如：storage.googleapis.com,bigquery.googleapis.com。

  • POLICY_NAME 是組織存取權政策的數字名稱。例如：330193482019。

詳情請參閱「更新 service perimeter」。