Configurer des dossiers dans des périmètres de service

Ce document explique comment configurer des dossiersGoogle Cloud en tant que membres dans les périmètres de service.

Avant de commencer

Ajouter des dossiers à un périmètre

Vous pouvez configurer un périmètre pour inclure des dossiers en tant que ressources protégées lorsque vous créez ou mettez à jour un périmètre.

Console

  1. Dans le menu de navigation de la console Google Cloud , cliquez sur Sécurité > VPC Service Controls.

    Accéder à VPC Service Controls

  2. Pour créer un périmètre, cliquez sur Nouveau périmètre.

    Pour modifier un périmètre existant, sélectionnez-le, puis cliquez sur Modifier.

  3. Sélectionnez Ressources à protéger.

  4. Dans le volet Ressources à protéger, cliquez sur Ajouter des dossiers.

  5. Dans la boîte de dialogue Rechercher des dossiers, recherchez et sélectionnez les dossiers que vous souhaitez protéger.

  6. Cliquez sur Sélectionner. Les dossiers ajoutés apparaissent dans la section Dossiers.

  7. Cliquez sur Continuer.

  8. Cliquez sur Créer ou sur Enregistrer.

Pour en savoir plus sur les autres configurations de périmètre, consultez Créer un périmètre de service.

gcloud

  • Pour créer un périmètre en mode appliqué et inclure des dossiers en tant que ressources protégées, exécutez la commande perimeters create suivante :

    gcloud access-context-manager perimeters create NAME \
    --title=TITLE \
    --resources=FOLDER_ID \
    --restricted-services=RESTRICTED-SERVICES \
    --policy=POLICY_NAME

    Pour créer un périmètre en mode dry run et inclure des dossiers en tant que ressources protégées, utilisez la commande perimeters dry-run create.

  • Pour mettre à jour un périmètre existant en mode appliqué et inclure des dossiers en tant que ressources protégées, exécutez la commande perimeters update suivante :

    gcloud access-context-manager perimeters update \
    PERIMETER_ID \
    --add-resources=FOLDER_ID

    Pour mettre à jour un périmètre existant en mode de simulation et inclure des dossiers en tant que ressources protégées, utilisez la commande perimeters dry-run update.

Remplacez FOLDER_ID par une liste d'un ou plusieurs ID de dossiers, séparés par une virgule. Exemple :folders/12345 Les arguments --resources et --add-resources sont également compatibles avec les projets et les réseaux VPC.

Pour en savoir plus sur les autres configurations de périmètre, consultez Créer un périmètre de service.

Supprimer des dossiers d'un périmètre

Vous pouvez supprimer des dossiers d'un périmètre existant.

Console

  1. Dans le menu de navigation de la console Google Cloud , cliquez sur Sécurité > VPC Service Controls.

    Accéder à VPC Service Controls

  2. Pour modifier un périmètre existant, sélectionnez-le, puis cliquez sur Modifier.

  3. Sélectionnez Ressources à protéger.

  4. Dans la section Dossiers du volet Ressources à protéger, sélectionnez les dossiers que vous souhaitez supprimer.

  5. Cliquez sur Supprimer la sélection.

  6. Cliquez sur Continuer.

  7. Cliquez sur Enregistrer.

Pour en savoir plus, consultez Mettre à jour un périmètre de service.

gcloud

Pour supprimer des dossiers d'un périmètre existant en mode appliqué, exécutez la commande perimeters update suivante :

gcloud access-context-manager perimeters update \
    PERIMETER_ID \
    --remove-resources=FOLDER_ID

Pour supprimer des dossiers d'un périmètre existant en mode de simulation, utilisez la commande perimeters dry-run update.

Remplacez FOLDER_ID par une liste d'un ou plusieurs ID de dossiers, séparés par une virgule. Exemple :folders/12345 L'argument --remove-resources est également compatible avec les projets et les réseaux VPC.

Pour en savoir plus, consultez Mettre à jour un périmètre de service.

Rechercher les périmètres configurés pour une ressource

Utilisez la gcloud CLI ou la méthode d'API LookupConfiguredServicePerimeter pour voir les périmètres de service appliqués ou en mode simulation qui s'appliquent à un projet ou à un dossier.

gcloud

Pour rechercher le périmètre configuré pour un projet ou un dossier, exécutez la commande lookup-configured-perimeter suivante :

gcloud access-context-manager lookup-configured-perimeter \
    --resource=RESOURCE

Remplacez RESOURCE par le nom de la ressource au format projects/PROJECT_NUMBER ou folders/FOLDER_NUMBER.

API

Pour rechercher le périmètre configuré pour un projet, appelez la méthode LookupConfiguredServicePerimeter :

GET https://accesscontextmanager.googleapis.com/v1/projects/PROJECT_NUMBER:lookupConfiguredServicePerimeter

Pour rechercher le périmètre configuré pour un dossier, appelez la méthode LookupConfiguredServicePerimeter :

GET https://accesscontextmanager.googleapis.com/v1/folders/FOLDER_NUMBER:lookupConfiguredServicePerimeter

Autorisations requises

Pour interroger les périmètres configurés pour une ressource, assurez-vous de disposer des autorisations IAM suivantes sur les règles d'accès concernées :

  • accesscontextmanager.policies.get
  • accesscontextmanager.servicePerimeters.list

Exemple de réponse

{
  "servicePerimeter": "accessPolicies/123456/servicePerimeters/my_enforced_perimeter",
  "servicePerimeterDryRun": "accessPolicies/123456/servicePerimeters/my_dry_run_perimeter",
  "restrictedResource": "folders/789012",
  "restrictedResourceDryRun": "projects/345678"
}

Dans cet exemple, le projet hérite du périmètre forcé à partir du dossier ancêtre folders/789012. En revanche, le périmètre de dry run est configuré directement sur le projet projects/345678.

Gérer des projets dans un périmètre à l'aide de dossiers

Vous pouvez ajouter ou supprimer indirectement un projet d'un périmètre en le déplaçant dans un dossier que vous avez configuré dans le périmètre ou en le supprimant de ce dossier. Pour en savoir plus, consultez Déplacer un projet dans un dossier.

Pour savoir comment ajouter ou supprimer explicitement des projets d'un périmètre, consultez Mettre à jour un périmètre de service.

Résoudre les problèmes

Si vous rencontrez des problèmes ou un comportement inattendu lors de la configuration des membres des dossiers, procédez comme suit :

Étapes suivantes