יצירה או עדכון של כללים לסינון כתובות IP בקטגוריה קיימת

אתם יכולים ליצור או לעדכן כללי סינון לפי כתובות IP בקטגוריה קיימת של Cloud Storage, כדי לשלוט בגישה לנתונים ולאפשר רק בקשות מבלוקים ספציפיים של CIDR או מרשתות ספציפיות של ענן וירטואלי פרטי (VPC). הוספת הכללים האלה עוזרת לחזק את אבטחת הרשת של עומסי העבודה.

למידע נוסף, קראו את המאמר סינון כתובות IP בקטגוריות.

התפקידים הנדרשים

כדי לקבל את ההרשאות הנדרשות לעדכון כללי הסינון של כתובות ה-IP בקטגוריה, צריך לבקש מהאדמין להקצות לכם את התפקיד "אדמין של אחסון" (roles/storage.admin) בקטגוריה. התפקיד הזה כולל את ההרשאות שנדרשות כדי לעדכן את כללי סינון כתובות ה-IP של הקטגוריה.

כדי לראות את ההרשאות הנדרשות, מרחיבים את הקטע Required Permissions:

ההרשאות הנדרשות

• storage.buckets.update
• storage.buckets.setIpFilter

אפשר לקבל את ההרשאות האלה גם באמצעות תפקידים בהתאמה אישית. יכול להיות שתוכלו לקבל את ההרשאות האלה גם באמצעות תפקידים מוגדרים מראש אחרים. במאמר תפקידי IAM ל-Cloud Storage מפורטים התפקידים השונים וההרשאות שמשויכות אליהם.

במאמר הגדרה וניהול של מדיניות IAM בקטגוריות מוסבר איך מקצים תפקידים לקטגוריות.

יצירה או עדכון של כללי סינון לפי כתובת IP בקטגוריה קיימת

המסוף

1. במסוף Google Cloud , נכנסים לדף Buckets של Cloud Storage.

   כניסה לדף Buckets

2. ברשימת הקטגוריות, לוחצים על שם הקטגוריה שרוצים לעדכן.

3. בדף Bucket details, לוחצים על הכרטיסייה Configuration.

4. בקטע Permissions, עוברים אל IP filtering. ואז לוחצים על עריכת ההגדרות של סינון כתובות ה-IP.

5. בדף סינון לפי כתובות IP, לוחצים על הגדרה.

   הערה: סיכום של האפשרויות בתפריט הניווט מופיע במאמר אפשרויות הגדרה של סינון לפי כתובות IP.

6. בחלון שכבת-העל הגדרת סינון לפי כתובת IP, משתמשים בתפריט הניווט המתאים בהתאם להגדרת הסינון לפי כתובת IP שרוצים לציין. אחרי שמסיימים את השלבים בכל קטע, לוחצים על המשך כדי לעבור לשלב הבא.

כתובות IP ציבוריות

כדי לאפשר גישה מכתובות IP ציבוריות:

1. לוחצים על אינטרנט ציבורי.

2. בחלונית Public internet שמופיעה, מציינים טווח אחד או יותר של כתובות IPv4 או טווחי CIDR של IPv6 בשדה Allowed IP range(s). לדוגמה, 192.0.2.0/24 או 2001:db8::/32. אם תציינו ערכים לא תקינים, תופיע הודעת שגיאה שתציין אילו ערכים צריך לתקן.

רשתות VPC

כדי לאפשר גישה מרשתות VPC:

1. לוחצים על רשתות VPC.

2. בחלונית רשתות VPC שמופיעה, מבצעים את הפעולות הבאות לכל רשת:

   1. לוחצים על Add VPC network.
   2. בקטע רשת VPC חדשה, מציינים את הפרטים הבאים:
      • בשדה Project ID, מזינים את מזהה הפרויקט.
      • בשדה שם הרשת, מזינים את שם הרשת.
      • בשדה Allowed IP range(s), מזינים טווח CIDR אחד או יותר של IPv4 או IPv6, לדוגמה, 192.0.2.0/24, 2001:db8::/32. אם תציינו ערכים לא תקינים, תופיע הודעת שגיאה שתציין אילו ערכים צריך לתקן.
   3. לוחצים על סיום.

הגדרות נוספות

כדי לאפשר לסוכני שירות ולרשתות VPC מהימנים Google Cloud מארגונים אחרים לעקוף את הגדרת סינון ה-IP, צריך לבצע את הפעולות הבאות:

1. לוחצים על הגדרות נוספות.

2. בחלונית הגדרות נוספות שמופיעה, מבצעים את הפעולות הבאות:

3. בקטע גישה לסוכן השירותGoogle Cloud , בוחרים באחד מכפתורי הבחירה הבאים:

   • מתן גישה לסוכן השירות: מאפשר לשירותים של Google Cloud כמו BigLake,‏ Storage Insights,‏ Vertex AI ו-BigQuery לעקוף את אימות סינון ה-IP כשהם צריכים לגשת לקטגוריה הזו.

   • דחיית הגישה של סוכני השירות: אכיפת כללי הסינון לפי כתובת IP לסוכני השירות של Google Cloud .

4. בקטע (Optional) Cross-organization VPC access, מבצעים אחת מהפעולות הבאות:

   • כדי לאפשר גישה מרשתות VPC ספציפיות שנמצאות בארגונים שונים, מעבירים את המתג למצב Allow (הפעלה) ב- Google Cloud .

   • כדי לחסום את הגישה מרשתות VPC מחוץ לארגון ב- Google Cloud , לוחצים על המתג כדי להעביר אותו למצב Deny (מצב ברירת המחדל).

בדיקה

כדי לבדוק את הגדרות סינון כתובות ה-IP:

1. בחלונית Review שמופיעה, לוחצים על החץ להרחבה לצד Public internet או רשת VPC כדי לבדוק את טווחי ה-IP או ה-VPC שצוינו, ולאמת את ההגדרה של Additional settings.

2. אם צריך לשנות הגדרה, לוחצים על הקודם כדי לחזור לשלבי ההגדרה הקודמים.

3. אחרי שבודקים את כל ההגדרות, לוחצים על הפעלה כדי לשמור את הגדרות סינון כתובות ה-IP.

gcloud

1. מוודאים שמותקנת גרסה 526.0.0 או גרסה חדשה יותר של Google Cloud CLI:

   gcloud version | head -n1
   

2. אם מותקנת אצלכם גרסה ישנה יותר של ה-CLI של gcloud, עדכנו את הגרסה:

   gcloud components update --version=526.0.0
   

3. יוצרים קובץ JSON שמגדיר כללים לבקשות נכנסות. במאמר הגדרות של סינון כתובות IP בקטגוריות מוסבר איך ליצור את כללי סינון כתובות ה-IP בקטגוריות ומוצגות דוגמאות.

       {
         "mode":"MODE",
         "publicNetworkSource":{
             "allowedIpCidrRanges":[
               "RANGE_CIDR",
               "..."
             ]
         },
         "vpcNetworkSources":[
             {
               "network":"projects/PROJECT_ID/global/networks/NETWORK_NAME",
               "allowedIpCidrRanges":[
                   "RANGE_CIDR",
                   "..."
               ]
             },
             "..."
         ],
         "allowCrossOrgVpcs": ALLOW_CROSS_ORG_VPCS,
         "allowAllServiceAgentAccess": ALLOW_ALL_SERVICE_AGENT_ACCESS
       }
       

   כאשר:

   • ‫MODE הוא המצב של הגדרת סינון כתובות ה-IP של הקטגוריה. הערכים התקינים הם Enabled ו-Disabled. כשהערך הוא Enabled, כללי סינון לפי כתובת IP חלים על קטגוריה. כל בקשה נכנסת לקטגוריה נבדקת בהתאם לכללים האלה. כשהערך הוא Disabled, כל הבקשות הנכנסות יכולות לגשת לקטגוריה.

   • ‫RANGE_CIDR הוא טווח כתובות IPv4 או IPv6 של רשת ציבורית שמורשית לגשת לקטגוריה. אפשר להזין טווח כתובות אחד או כמה טווחי כתובות כרשימה.

   • ‫PROJECT_ID הוא מזהה הפרויקט שבו נמצאת רשת הענן הפרטי הווירטואלי (VPC). כדי להגדיר כמה רשתות VPC, צריך לציין את הפרויקט שבו נמצאת כל רשת.

   • ‫NETWORK_NAME הוא שם רשת ה-VPC שיש לה גישה לקטגוריה. כדי להגדיר כמה רשתות VPC, צריך לציין שם לכל רשת.

   • ‫ALLOW_CROSS_ORG_VPCS הוא ערך בוליאני שמציין אם לאפשר לרשתות VPC שמוגדרות ב-vpcNetworkSources להגיע מארגון אחר. השדה הזה הוא אופציונלי. אם הערך הוא true, הבקשה מאפשרת רשתות VPC חוצות-ארגונים. אם הערך הוא false, הבקשה מגבילה את רשתות ה-VPC לאותו ארגון של הקטגוריה. אם לא מציינים ערך, ערך ברירת המחדל הוא false. השדה הזה רלוונטי רק אם השדה vpcNetworkSources לא ריק.

   • ‫ALLOW_ALL_SERVICE_AGENT_ACCESS הוא ערך בוליאני שמציין אם לאפשר לסוכני שירות לגשת לקטגוריה, בלי קשר להגדרות של מסנן ה-IP. אם הערך הוא true, שירותים אחרים של Google Cloud יכולים להשתמש בסוכני שירות כדי לגשת לקטגוריה בלי אימות מבוסס-IP.

4. כדי לעדכן את כללי סינון כתובות ה-IP של הקטגוריה, מריצים את הפקודה gcloud storage buckets update בסביבת הפיתוח:

   gcloud storage buckets update gs://BUCKET_NAME --ip-filter-file=IP_FILTER_CONFIG_FILE

   כאשר:

   • ‫BUCKET_NAME הוא שם הקטגוריה. לדוגמה, my-bucket.
   • ‫IP_FILTER_CONFIG_FILE הוא קובץ ה-JSON שיצרתם.

‫API בפורמט JSON

1. להתקין ולהפעיל את ה-CLI של gcloud, שמאפשר ליצור אסימון גישה לכותרת Authorization.

2. יוצרים קובץ JSON עם ההגדרות של הקטגוריה, שחייבות לכלול את שדות התצורה name ו-ipFilter של הקטגוריה. במאמר הגדרות של סינון כתובות IP בקטגוריות מופיעות דוגמאות ומידע על האופן שבו אפשר לבנות את כללי סינון כתובות ה-IP בקטגוריות.

   {
     "ipFilter":{
         "mode":"MODE",
         "publicNetworkSource":{
           "allowedIpCidrRanges":[
               "RANGE_CIDR",
               "..."
           ]
         },
         "vpcNetworkSources":[
           {
               "network":"projects/PROJECT_ID/global/networks/NETWORK_NAME",
               "allowedIpCidrRanges":[
                 "RANGE_CIDR",
                 "..."
               ]
           },
           "..."
         ],
         "allowCrossOrgVpcs": ALLOW_CROSS_ORG_VPCS,
         "allowAllServiceAgentAccess": ALLOW_ALL_SERVICE_AGENT_ACCESS
     }
   }

   כאשר:

   • ‫MODE הוא המצב של הגדרת מסנן ה-IP. הערכים התקינים הם Enabled ו-Disabled. כשהערך הוא Enabled, כללי הסינון לפי כתובת IP חלים על קטגוריה, וכל הבקשות הנכנסות לקטגוריה נבדקות לפי הכללים האלה. כשהערך מוגדר כ-Disabled, כל הבקשות הנכנסות יכולות לגשת לקטגוריה ולנתונים שלה בלי הערכה.

   • ‫RANGE_CIDR הוא טווח כתובות IPv4 או IPv6 של רשת ציבורית שמורשית לגשת לקטגוריה. אפשר להזין טווח אחד או כמה טווחים של כתובות כרשימה.

   • ‫PROJECT_ID הוא מזהה הפרויקט שבו נמצאת רשת ה-VPC. כדי להגדיר כמה רשתות VPC, צריך לציין את הפרויקט שבו נמצאת כל רשת.

   • ‫NETWORK_NAME הוא שם רשת ה-VPC שיש לה הרשאת גישה לקטגוריה. כדי להגדיר כמה רשתות VPC, צריך לציין שם לכל רשת.

   • ‫ALLOW_ALL_SERVICE_AGENT_ACCESS הוא ערך בוליאני שמציין אם לאפשר לסוכני שירות לגשת לקטגוריה, בלי קשר להגדרת מסנן ה-IP. אם הערך הוא true, שירותים אחרים של Google Cloud יכולים להשתמש בסוכני שירות כדי לגשת לקטגוריה בלי אימות מבוסס-IP.

   • ‫ALLOW_CROSS_ORG_VPCS הוא ערך בוליאני שמציין אם לאפשר לרשתות VPC שמוגדרות ברשימה vpcNetworkSources להגיע מארגון אחר. השדה הזה הוא אופציונלי. אם הערך הוא true, הבקשה מאפשרת רשתות VPC חוצות-ארגונים. אם הערך הוא false, הבקשה מגבילה את רשתות ה-VPC לאותו ארגון של הקטגוריה. אם לא מציינים ערך, ערך ברירת המחדל הוא false. השדה הזה רלוונטי רק אם השדה vpcNetworkSources לא ריק.

3. משתמשים ב-cURL כדי לשלוח קריאה ל-API בפורמט JSON באמצעות בקשת PATCH bucket:

   curl -X PATCH --data-binary @JSON_FILE_NAME \
     -H "Authorization: Bearer $(gcloud auth print-access-token)" \
     -H "Content-Type: application/json" \
     "https://storage.googleapis.com/storage/v1/b/BUCKET_NAME?project=PROJECT_ID"

   כאשר:

   • ‫JSON_FILE_NAME הוא השם של קובץ ה-JSON שיצרתם.
   • ‫BUCKET_NAME הוא שם הקטגוריה.
   • ‫PROJECT_ID הוא מזהה הפרויקט שאליו הקטגוריה משויכת. לדוגמה, my-project.

ניהול הגישה של סוכן השירות של Google Cloud

כדי לעדכן את הגישה של סוכן השירות אחרי שמגדירים כללי סינון לפי כתובת IP בקטגוריה:

המסוף

1. במסוף Google Cloud , נכנסים לדף Buckets של Cloud Storage.

   כניסה לדף Buckets

2. ברשימת הקטגוריות, לוחצים על שם הקטגוריה שרוצים לעדכן.

3. בדף Bucket details, לוחצים על הכרטיסייה Configuration.

4. בקטע Permissions, עוברים אל IP filtering. ואז לוחצים על עריכת ההגדרות של סינון כתובות ה-IP.

   מופיע הדף סינון כתובות IP.

5. בקטע Manage Google Cloud service agent access, מבצעים אחת מהפעולות הבאות:

   • כדי לאפשר גישה לסוכן השירות, צריך לבצע את הפעולות הבאות:

     1. לוחצים על מושבת כדי לשנות את ההגדרה ל- מופעל.

     2. כדי לאשר שרוצים לתת גישה, מקלידים Enable בשדה הפעלה.

   • כדי לדחות את הגישה של סוכן השירות, מבצעים את השלבים הבאים:

     1. לוחצים על מופעל כדי לשנות את ההגדרה ל- מושבת.

     2. כדי לאשר שרוצים לדחות את הגישה, מקלידים Disable בשדה השבתה.

   תופיע הודעה שמאשרת את השינוי.

gcloud

כדי לעדכן את הגישה של סוכן השירות לקטגוריה, משתמשים בפקודה gcloud storage buckets update ומגדירים את השדה allowAllServiceAgentAccess לערך true כדי לאפשר גישה, או לערך false כדי לדחות גישה. הוראות מפורטות מופיעות במאמר יצירה או עדכון של כללי סינון לפי כתובות IP בקטגוריה קיימת.

‫API בפורמט JSON

כדי לעדכן את הגישה של סוכן השירות, אתם יכולים להשתמש בבקשת PATCH כדי לעדכן את ההגדרה של ipFilter בקטגוריה. מגדירים את השדה allowAllServiceAgentAccess לערך true כדי לאפשר גישה, או לערך false כדי למנוע גישה. להוראות מפורטות, קראו את המאמר יצירה או עדכון של כללי סינון לפי כתובות IP בקטגוריה קיימת.

ניהול הגישה ל-VPC בין ארגונים

כדי לעדכן את הגישה ל-VPC בין ארגונים אחרי שמגדירים כללי סינון של כתובות IP בקטגוריה, מבצעים את הפעולות הבאות:

המסוף

1. במסוף Google Cloud , נכנסים לדף Buckets של Cloud Storage.

   כניסה לדף Buckets

2. ברשימת הקטגוריות, לוחצים על שם הקטגוריה שרוצים לעדכן.

3. בדף Bucket details, לוחצים על הכרטיסייה Configuration.

4. בקטע Permissions, עוברים אל IP filtering. ואז לוחצים על עריכת ההגדרות של סינון כתובות ה-IP.

   מופיע הדף סינון כתובות IP.

5. בקטע Manage cross-organization VPC access, מבצעים אחת מהפעולות הבאות:

   • כדי לאפשר גישה ל-VPC בין ארגונים, מבצעים את השלבים הבאים:

     1. לוחצים על מושבת כדי לשנות את ההגדרה ל- מופעל.

     2. כדי לאשר שרוצים לתת גישה, מקלידים Enable בשדה הפעלה.

   • כדי לדחות גישה ל-VPC בין ארגונים, מבצעים את השלבים הבאים:

     1. לוחצים על מופעל כדי לשנות את ההגדרה ל- מושבת.

     2. כדי לאשר שרוצים לדחות את הגישה, מקלידים Disable בשדה השבתה.

   תופיע הודעה שמאשרת את השינוי.

gcloud

כדי לעדכן את הגישה של VPC לקטגוריה בארגונים שונים, משתמשים בפקודה gcloud storage buckets update ומגדירים את השדה allowCrossOrgVpcs לערך true כדי לאפשר גישה, או לערך false כדי לדחות גישה. להוראות מפורטות, ראו יצירה או עדכון של כללי סינון לפי כתובות IP בקטגוריה קיימת.

‫API בפורמט JSON

כדי לעדכן את הגישה ל-VPC בין ארגונים, אפשר להשתמש בבקשת PATCH כדי לעדכן את ההגדרה של ipFilter בקטגוריה. מגדירים את השדה allowCrossOrgVpcs לערך true כדי לאפשר גישה, או לערך false כדי למנוע גישה. להוראות מפורטות, קראו את המאמר יצירה או עדכון של כללי סינון לפי כתובות IP בקטגוריה קיימת.

המאמרים הבאים

• הצגת רשימה של כללי סינון לפי כתובת IP בקטגוריה.
• השבתת כללי הסינון של כתובות IP בקטגוריה.

נסו בעצמכם

אנחנו ממליצים למשתמשים חדשים ב-Google Cloud ליצור חשבון כדי שיוכלו להעריך את הביצועים של Cloud Storage בתרחישים מהעולם האמיתי. לקוחות חדשים מקבלים בחינם גם קרדיט בשווי 300 $להרצה, לבדיקה ולפריסה של עומסי העבודה.

להתנסות ב-Cloud Storage בחינם