במדריך הזה מוסבר איך להגדיר את VPC Service Controls ב-Universal Ledger כדי לשפר את האבטחה ולצמצם את הסיכונים לזליגת נתונים.
ב-VPC Service Controls יש שכבת הגנה נוספת לשירותי Google Cloud, שלא תלויה בממשק ניהול הזהויות והרשאות הגישה (IAM). אם תגדירו גבולות גזרה לשירות, תוכלו להגביל את הגישה ל-Universal Ledger API לבקשות מורשות, כמו בקשות שמגיעות מרשתות ה-VPC שלכם או מכתובות IP מורשות שמשתמשות ב-VIP המוגבל.
הגנה על Universal Ledger באמצעות גבולות גזרה לשירות
כדי להגן על המשאבים של Universal Ledger באמצעות VPC Service Controls:
הוספת ה-API לגבולות הגזרה: מוסיפים את Universal Ledger API (
universalledger.googleapis.com) לרשימת השירותים המוגבלים בגבולות הגזרה לשירות. הוראות מופיעות במאמרים יצירת גבולות גזרה לשירות ועדכון גבולות גזרה לשירות.ניתוב בקשות דרך ה-VIP המוגבל: מגדירים קישוריות פרטית כך שבקשות אל
universalledger.googleapis.comינותבו אל ה-VIP המוגבל (restricted.googleapis.com). לפרטים על הגדרת רשומות DNS ונתיבים, ראו הגדרת קישוריות פרטית.
מגבלות ושיקולי אבטחה
בקטעים הבאים מתוארות המגבלות ושיקולי האבטחה שצריך להביא בחשבון כשמשתמשים ב-VPC Service Controls עם Universal Ledger.
נתוני עסקאות וספר חשבונות משותף
Universal Ledger API פועל ברשתות משותפות עם כמה דיירים, שבהן הנתונים שנשלחים ל-ledger מסווגים כנתוני עסקאות. לפי התנאים הספציפיים לשירות, נתוני עסקאות – כולל מטענים ייעודיים (payloads) של עסקאות, מפתחות ציבוריים וחתימות קריפטוגרפיות – לא נכללים בהגדרה של נתוני לקוחות.
בגלל האופי השיתופי של רשת ה-ledger, נתוני העסקאות שנשלחים ל-ledger נגישים לכל המשתתפים המורשים ב-ledger. לכן, אי אפשר להגביל או להכיל את הנתונים האלה באמצעות הגדרת מתחם היקפי של VPC Service Controls בארגון מסוים.
הפחתת הסיכון לזליגת מידע
למרות ש-VPC Service Controls מגן על תנועת הנתונים הנכנסת והיוצאת של ה-API, הוא לא אוכף את החשיפה של הנתונים אחרי שהעסקאות נרשמות בספר החשבונות המשותף.
כדי למנוע זליגת נתונים, השתמשו בכללי מדיניות הדחייה של IAM כדי להגביל שיטות שמשנות או מפרסמות נתונים, כמו universalledger.endpoints.submitTransaction. הגישה הזו מונעת ממשתמשים לא מורשים לפרסם נתונים מתוך המתחם, אבל עדיין מאפשרת שאילתות לקריאה בלבד.
מידע נוסף זמין בקטע Universal Ledger במסמכי התיעוד בנושא מוצרים נתמכים ומגבלות של VPC Service Controls.
המאמרים הבאים
- מידע נוסף על VPC Service Controls
- כדאי לפעול לפי השיטות המומלצות להפעלת VPC Service Controls.
- איך מתכננים ומעצבים גבולות גזרה לשירות
- רישום ביומן הביקורת של Universal Ledger