VPC 서비스 제어를 구성합니다.

이 가이드에서는 Universal Ledger에 VPC 서비스 제어를 구성하여 보안을 강화하고 데이터 무단 반출 위험을 완화하는 방법을 설명합니다.

VPC 서비스 제어는 Identity and Access Management(IAM)와 별개로 Google Cloud서비스의 보안을 더욱 강화합니다. 서비스 경계를 구성하면 제한된 VIP를 사용하는 가상 프라이빗 클라우드 네트워크 또는 승인된 IP 주소 내에서 발생하는 요청과 같은 승인된 요청으로 Universal Ledger API에 대한 액세스를 제한할 수 있습니다.

서비스 경계로 Universal Ledger 보호

VPC 서비스 제어를 사용하여 Universal Ledger 리소스를 보호하려면 다음 안내를 따르세요.

  1. 경계에 API 추가: 서비스 경계 내의 제한된 서비스 목록에 Universal Ledger API(universalledger.googleapis.com)를 포함합니다. 자세한 내용은 서비스 경계 만들기 또는 서비스 경계 업데이트를 참조하세요.

  2. 제한된 VIP를 통해 요청 라우팅: universalledger.googleapis.com에 대한 요청이 제한된 VIP(restricted.googleapis.com)로 라우팅되도록 비공개 연결을 구성합니다. DNS 레코드 및 경로 구성에 대한 자세한 내용은 비공개 연결 설정을 참조하세요.

제한사항 및 보안 고려사항

다음 섹션에서는 Universal Ledger에서 VPC 서비스 제어를 사용할 때의 제한사항과 보안 고려사항을 설명합니다.

공유 원장 및 거래 데이터

Universal Ledger API는 원장에 제출된 데이터가 트랜잭션 데이터로 분류되는 공유 멀티 테넌트 네트워크에서 작동합니다. 서비스별 약관에 따라 트랜잭션 페이로드, 공개 키, 암호화 서명을 포함하는 트랜잭션 데이터는 고객 데이터 정의에서 명시적으로 제외됩니다.

원장 네트워크의 공유 특성으로 인해 원장에 제출된 거래 데이터는 승인된 모든 원장 참여자가 액세스할 수 있습니다. 따라서 이 데이터는 개별 조직의 VPC 서비스 제어 경계 구성으로 제한되거나 포함될 수 없습니다.

데이터 무단 반출 완화

VPC 서비스 제어는 API 인그레스 및 이그레스 트래픽을 보호하지만 트랜잭션이 공유 원장에 커밋된 후에는 데이터 가시성을 적용하지 않습니다.

데이터 무단 반출을 방지하려면 IAM 거부 정책을 사용하여 universalledger.endpoints.submitTransaction와 같이 데이터를 수정하거나 게시하는 메서드를 제한합니다. 이 접근 방식은 승인되지 않은 사용자가 경계 내부에서 데이터를 게시하지 못하도록 차단하면서 읽기 전용 쿼리를 허용합니다.

자세한 내용은 VPC 서비스 제어 지원 제품 및 제한사항 문서의 Universal Ledger 항목을 참조하세요.

다음 단계