Configurar o VPC Service Controls

Neste guia, descrevemos como configurar o VPC Service Controls para o Universal Ledger, aumentando a segurança e ajudando a reduzir os riscos de exfiltração de dados.

O VPC Service Controls oferece uma camada adicional de defesa para serviços do Google Cloud, independente do Identity and Access Management (IAM). Ao configurar um perímetro de serviço, é possível restringir o acesso à API Universal Ledger a solicitações autorizadas, como aquelas originadas de redes de nuvem privada virtual ou endereços IP autorizados que usam o VIP restrito.

Proteger o Universal Ledger com um perímetro de serviço

Para proteger os recursos do Universal Ledger usando o VPC Service Controls:

  1. Adicione a API ao perímetro: inclua a API Universal Ledger (universalledger.googleapis.com) na lista de serviços restritos no perímetro de serviço. Para instruções, consulte Criar um perímetro de serviço ou Atualizar um perímetro de serviço.

  2. Rotear solicitações pelo VIP restrito: configure a conectividade privada para que as solicitações para universalledger.googleapis.com sejam roteadas para o VIP restrito (restricted.googleapis.com). Para detalhes sobre como configurar registros DNS e rotas, consulte Configurar a conectividade privada.

Limitações e considerações de segurança

As seções a seguir descrevem as limitações e as considerações de segurança para usar o VPC Service Controls com o Universal Ledger.

Livro-razão compartilhado e dados de transações

A API Universal Ledger opera em redes compartilhadas e multilocatárias, em que os dados enviados ao livro são classificados como Dados de Transação. De acordo com os termos específicos do serviço, os dados de transação, que incluem payloads de transação, chaves públicas e assinaturas criptográficas, são explicitamente excluídos da definição de dados do cliente.

Devido à natureza compartilhada da rede de contabilidade, os Dados de Transação enviados à contabilidade ficam acessíveis a todos os participantes autorizados. Consequentemente, esses dados não podem ser restritos ou contidos pela configuração de perímetro do VPC Service Controls de uma organização individual.

Mitigação de exfiltração de dados

Embora o VPC Service Controls proteja o tráfego de entrada e saída da API, ele não impõe visibilidade de dados depois que as transações são confirmadas no livro compartilhado.

Para evitar a exfiltração de dados, use políticas de negação do IAM para restringir métodos que modificam ou publicam dados, como universalledger.endpoints.submitTransaction. Essa abordagem impede que usuários não autorizados publiquem dados de dentro do perímetro, mas ainda permite consultas somente leitura.

Para mais informações, consulte a entrada do Universal Ledger na documentação de produtos e limitações compatíveis do VPC Service Controls.

A seguir