En esta guía, se describe cómo configurar los Controles del servicio de VPC para Universal Ledger con el objetivo de mejorar la seguridad y mitigar los riesgos de robo de datos.
Los Controles del servicio de VPC proporcionan una capa adicional de defensa para los servicios de Google Cloud, que es independiente de Identity and Access Management (IAM). Si configuras un perímetro de servicio, puedes restringir el acceso a la API de Universal Ledger a las solicitudes autorizadas, como las que se originan en tus redes de nube privada virtual o las direcciones IP autorizadas que usan la VIP restringida.
Protege Universal Ledger con un perímetro de servicio
Para proteger los recursos de Universal Ledger con los Controles del servicio de VPC, sigue estos pasos:
Agrega la API al perímetro: Incluye la API de Universal Ledger (
universalledger.googleapis.com) en la lista de servicios restringidos dentro de tu perímetro de servicio. Para obtener instrucciones, consulta Crea un perímetro de servicio o Actualiza un perímetro de servicio.Enruta las solicitudes a través de la VIP restringida: Configura la conectividad privada de modo que las solicitudes a
universalledger.googleapis.comse enruten a la VIP restringida (restricted.googleapis.com). Para obtener detalles sobre cómo configurar los registros DNS y las rutas, consulta Configura la conectividad privada.
Limitaciones y consideraciones de seguridad
En las siguientes secciones, se describen las limitaciones y las consideraciones de seguridad para usar los Controles del servicio de VPC con Universal Ledger.
Datos de transacciones y libro mayor compartido
La API de Universal Ledger opera en redes compartidas multiusuario en las que los datos enviados al libro mayor se clasifican como Datos de transacciones. En las condiciones específicas del servicio, los datos de transacciones, que incluyen cargas útiles de transacciones, claves públicas y firmas criptográficas, se excluyen de forma explícita de la definición de datos del cliente.
Debido a la naturaleza compartida de la red de libros mayores, los Datos de Transacciones que se envían al libro mayor se vuelven accesibles para todos los participantes autorizados del libro mayor. Por lo tanto, estos datos no se pueden restringir ni contener con la configuración del perímetro de los Controles del servicio de VPC de una organización individual.
Mitigación del robo de datos
Aunque los Controles del servicio de VPC protegen el tráfico de entrada y salida de la API, no aplican la visibilidad de los datos después de que las transacciones se confirman en el libro mayor compartido.
Para ayudar a evitar el robo de datos, usa políticas de denegación de IAM para
restringir los métodos que modifican o publican datos, como
universalledger.endpoints.submitTransaction. Este enfoque impide que
los usuarios no autorizados publiquen datos desde el interior del perímetro, pero permite
las consultas de solo lectura.
Para obtener más información, consulta la entrada de Universal Ledger en la documentación de productos compatibles y limitaciones de los Controles del servicio de VPC.
¿Qué sigue?
- Obtén más información sobre los controles de servicio de VPC.
- Sigue las prácticas recomendadas en Prácticas recomendadas para habilitar los Controles del servicio de VPC.
- Obtén más información para diseñar perímetros de servicio.
- Revisa los registros de auditoría de Universal Ledger.