VPC Service Controls konfigurieren

In diesem Leitfaden wird beschrieben, wie Sie VPC Service Controls für Universal Ledger konfigurieren, um die Sicherheit zu erhöhen und das Risiko einer Daten-Exfiltration zu verringern.

VPC Service Controls bietet eine zusätzliche Sicherheitsebene für Dienste von Google Cloud, die unabhängig von der Identitäts- und Zugriffsverwaltung (Identity and Access Management, IAM) ist. Durch die Konfiguration eines Dienstperimeters können Sie den Zugriff auf die Universal Ledger API auf autorisierte Anfragen beschränken, z. B. auf Anfragen, die aus Ihren Virtual Private Cloud-Netzwerken oder von autorisierten IP-Adressen stammen, die die eingeschränkte VIP verwenden.

Universal Ledger mit einem Dienstperimeter schützen

So schützen Sie Universal Ledger-Ressourcen mit VPC Service Controls:

  1. API zum Perimeter hinzufügen: Fügen Sie die Universal Ledger API (universalledger.googleapis.com) der Liste der eingeschränkten Dienste in Ihrem Dienstperimeter hinzu. Eine Anleitung finden Sie unter Dienstperimeter erstellen oder Dienstperimeter aktualisieren.

  2. Anfragen über die eingeschränkte VIP weiterleiten: Konfigurieren Sie die private Konnektivität so, dass Anfragen an universalledger.googleapis.com an die eingeschränkte VIP (restricted.googleapis.com) weitergeleitet werden. Weitere Informationen zum Konfigurieren von DNS-Einträgen und Routen finden Sie unter Private Konnektivität einrichten.

Einschränkungen und Sicherheitsaspekte

In den folgenden Abschnitten werden die Einschränkungen und Sicherheitsaspekte bei der Verwendung von VPC Service Controls mit Universal Ledger beschrieben.

Gemeinsame Ledger- und Transaktionsdaten

Die Universal Ledger API wird in gemeinsam genutzten, mandantenfähigen Netzwerken ausgeführt, in denen an das Ledger gesendete Daten als Transaktionsdaten klassifiziert werden. Gemäß den dienstspezifischen Nutzungsbedingungen sind Transaktionsdaten, einschließlich Transaktionsnutzlasten, öffentlicher Schlüssel und kryptografischer Signaturen, ausdrücklich von der Definition von Kundendaten ausgeschlossen.

Aufgrund der gemeinsamen Nutzung des Ledger-Netzwerks sind die an das Ledger übermittelten Transaktionsdaten für alle autorisierten Ledger-Teilnehmer zugänglich. Daher können diese Daten nicht durch die VPC Service Controls-Perimeterkonfiguration einer einzelnen Organisation eingeschränkt oder eingegrenzt werden.

Maßnahmen gegen Daten-Exfiltration

Obwohl VPC Service Controls den ein- und ausgehenden API-Traffic schützt, wird die Datensichtbarkeit nicht erzwungen, nachdem Transaktionen in das freigegebene Ledger übertragen wurden.

Verwenden Sie IAM-Ablehnungsrichtlinien, um Methoden einzuschränken, mit denen Daten geändert oder veröffentlicht werden, z. B. universalledger.endpoints.submitTransaction, um die Daten-Exfiltration zu verhindern. Mit diesem Ansatz wird verhindert, dass nicht autorisierte Nutzer Daten innerhalb des Perimeters veröffentlichen, während schreibgeschützte Abfragen weiterhin zulässig sind.

Weitere Informationen finden Sie im Eintrag zu Universal Ledger in der Dokumentation zu unterstützten Produkten und Einschränkungen von VPC Service Controls.

Nächste Schritte