Configurer VPC Service Controls

Ce guide explique comment configurer VPC Service Controls pour Universal Ledger afin de renforcer la sécurité et de limiter les risques d'exfiltration de données.

VPC Service Controls offre un niveau de sécurité supplémentaire pour les services Google Cloud, indépendamment d'IAM (Identity and Access Management). En configurant un périmètre de service, vous pouvez limiter l'accès à l'API Universal Ledger aux requêtes autorisées, telles que celles provenant de vos réseaux cloud privé virtuel ou d'adresses IP autorisées utilisant l'adresse IP virtuelle restreinte.

Protéger Universal Ledger avec un périmètre de service

Pour protéger les ressources Universal Ledger à l'aide de VPC Service Controls :

  1. Ajoutez l'API au périmètre : incluez l'API Universal Ledger (universalledger.googleapis.com) dans la liste des services restreints de votre périmètre de service. Pour savoir comment procéder, consultez Créer un périmètre de service ou Mettre à jour un périmètre de service.

  2. Acheminez les requêtes via l'adresse IP virtuelle restreinte : configurez la connectivité privée de sorte que les requêtes adressées à universalledger.googleapis.com soient acheminées vers l'adresse IP virtuelle restreinte (restricted.googleapis.com). Pour en savoir plus sur la configuration des enregistrements DNS et des routes, consultez Configurer la connectivité privée.

Limites et considérations de sécurité

Les sections suivantes décrivent les limites et les considérations de sécurité liées à l'utilisation de VPC Service Controls avec Universal Ledger.

Registre partagé et données de transaction

L'API Universal Ledger fonctionne sur des réseaux mutualisés partagés où les données envoyées au registre sont classées comme données de transaction. En vertu des conditions spécifiques au service, les données de transaction (qui incluent les charges utiles de transaction, les clés publiques et les signatures cryptographiques) sont explicitement exclues de la définition des données client.

En raison de la nature partagée du réseau de registre, les Données de transaction envoyées au registre deviennent accessibles à tous les participants autorisés du registre. Par conséquent, ces données ne peuvent pas être limitées ni contenues par la configuration du périmètre VPC Service Controls d'une organisation individuelle.

Limitation de l'exfiltration de données

Bien que VPC Service Controls protège le trafic d'entrée et de sortie de l'API, il n'applique pas la visibilité des données une fois que les transactions sont validées dans le registre partagé.

Pour éviter l'exfiltration de données, utilisez des stratégies de refus IAM afin de limiter les méthodes qui modifient ou publient des données, telles que universalledger.endpoints.submitTransaction. Cette approche empêche les utilisateurs non autorisés de publier des données depuis l'intérieur du périmètre, tout en autorisant les requêtes en lecture seule.

Pour en savoir plus, consultez l'entrée Universal Ledger dans la documentation sur les produits compatibles et les limites de VPC Service Controls.

Étapes suivantes