הגדרת קבוצות זהויות וזהויות מצד שלישי בכללים לתעבורת נתונים נכנסת ויוצאת

בדף הזה מוסבר איך להשתמש בקבוצות זהויות בכללים של תעבורת נתונים נכנסת ותעבורת נתונים יוצאת, כדי לאפשר גישה למשאבים שמוגנים על ידי גבולות גזרה לשירות.

ב-VPC Service Controls משתמשים בכללי תעבורת נתונים נכנסת ויוצאת כדי לאפשר גישה למשאבים וללקוחות שמוגנים על ידי גבולות גזרה לשירות, ומהם. כדי לצמצם עוד יותר את הגישה, אתם יכולים לציין קבוצות זהויות בכללי התעבורה הנכנסת והיוצאת.

קבוצת זהויות היא דרך נוחה להחיל בקרת גישה על אוסף של משתמשים, והיא מאפשרת לכם לנהל זהויות שיש להן מדיניות גישה דומה.

כדי להגדיר קבוצות זהויות בכללי הכניסה או היציאה, אתם יכולים להשתמש בקבוצות הזהויות הנתמכות הבאות במאפיין identities:

• קבוצה ב-Google
• זהויות של צד שלישי, כמו משתמשים במאגר כוח העבודה וזהויות של עומסי עבודה.
• חשבונות משתמשים של איחוד זהויות של עומסי עבודה ל-GKE (גרסת טרום-השקה (Preview)) (כמו חשבונות שירות, מרחבי שמות או אשכולות של Kubernetes).

מידע נוסף על הפורמטים של מזהי ישויות מורשות של קבוצות זהויות נתמכות מופיע במאמר זהויות נתמכות לכללי תעבורת נתונים נכנסת ותעבורת נתונים יוצאת.

במאמר הגדרת כללי מדיניות לתעבורת נתונים נכנסת ויוצאת מוסבר איך להחיל כללי מדיניות לתעבורת נתונים נכנסת ויוצאת.

לפני שמתחילים

• חשוב לקרוא את הכללים לתעבורת נתונים נכנסת (ingress) ויוצאת (egress).

הגדרת קבוצות זהויות בכללי תעבורת נתונים נכנסת

המסוף

כשמעדכנים מדיניות כניסה של גבול גזרה לשירות או מגדירים מדיניות כניסה במהלך יצירת גבול גזרה באמצעות המסוף Google Cloud , אפשר להגדיר את כלל הכניסה כך שישתמש בקבוצות זהויות.

1. כשיוצרים או עורכים היקף ב- Google Cloud console, בוחרים באפשרות Ingress policy.

2. בקטע From של מדיניות התעבורה הנכנסת, בוחרים באפשרות Select identities & groups מהרשימה Identities.

3. לוחצים על הוספת זהויות.

4. בחלונית Add identities, מציינים קבוצה ב-Google, זהות של צד שלישי או חשבון משתמש באיחוד זהויות של עומסי עבודה ל-GKE שרוצים לתת לו גישה למשאבים שבתוך ההיקף. כדי לציין קבוצת זהויות, משתמשים בפורמט שמצוין בקטע זהויות נתמכות.

5. לוחצים על הוספת זהויות.

6. לוחצים על Save.

מידע על מאפיינים אחרים של כללי תעבורה נכנסת מופיע במאמר חומר עזר בנושא כללי תעבורה נכנסת.

gcloud

אפשר להגדיר כלל כניסה לשימוש בקבוצות זהויות באמצעות קובץ JSON או קובץ YAML. בדוגמה הבאה נעשה שימוש בפורמט YAML:

- ingressFrom:
    identities:
    - PRINCIPAL_IDENTIFIER
    sources:
    - resource: RESOURCE
      *OR*
    - accessLevel: ACCESS_LEVEL
  ingressTo:
    operations:
    - serviceName: SERVICE_NAME
      methodSelectors:
      - method: METHOD_NAME
    resources:
    - projects/PROJECT_NUMBER

מחליפים את מה שכתוב בשדות הבאים:

• ‫PRINCIPAL_IDENTIFIER: מציינים קבוצת Google, זהות של צד שלישי או ישות מורשית של איחוד זהויות של עומסי עבודה ל-GKE שרוצים להעניק לה גישה למשאבים בפרימטר. כדי לציין קבוצת זהויות, צריך להשתמש בפורמט שמופיע במאמר בנושא זהויות נתמכות.

מידע על מאפיינים אחרים של כללי תעבורה נכנסת מופיע במאמר חומר עזר בנושא כללי תעבורה נכנסת.

אחרי שמעדכנים כלל קיים של תעבורת נתונים נכנסת (ingress) כדי להגדיר קבוצות זהויות, צריך לעדכן את כללי המדיניות של גבולות הגזרה לשירות:

gcloud access-context-manager perimeters update PERIMETER_ID --set-ingress-policies=RULE_POLICY.yaml

מחליפים את מה שכתוב בשדות הבאים:

• ‫PERIMETER_ID: המזהה של גבולות גזרה לשירות שרוצים לעדכן.
• ‫RULE_POLICY: הנתיב של קובץ כלל הכניסה ששוּנה.

מידע נוסף זמין במאמר עדכון מדיניות הכניסה והיציאה של היקף שירות.

הגדרת קבוצות זהויות בכללי תעבורת נתונים יוצאת (egress)

המסוף

כשמעדכנים מדיניות תעבורת נתונים יוצאת של גבולות גזרה לשירות או מגדירים מדיניות תעבורת נתונים יוצאת במהלך יצירת גבולות הגזרה באמצעות מסוף Google Cloud , אפשר להגדיר את כלל תעבורת הנתונים היוצאת כך שישתמש בקבוצות זהויות.

1. כשיוצרים או עורכים היקף במסוף Google Cloud , בוחרים באפשרות Egress policy.

2. בקטע From של מדיניות התעבורה היוצאת, בוחרים באפשרות Select identities & groups מהרשימה Identities.

3. לוחצים על הוספת זהויות.

4. בחלונית Add identities, מציינים קבוצה ב-Google, זהות של צד שלישי או חשבון משתמש באיחוד זהויות של עומסי עבודה ל-GKE שיכולים לגשת למשאבים שצוינו מחוץ להיקף. כדי לציין קבוצת זהויות, משתמשים בפורמט שמצוין בקטע זהויות נתמכות.

5. לוחצים על הוספת זהויות.

6. לוחצים על Save.

מידע על מאפיינים אחרים של כללי יציאה מופיע במאמר הפניה לכללי יציאה.

gcloud

אפשר להגדיר כלל יציאה לשימוש בקבוצות זהויות באמצעות קובץ JSON או קובץ YAML. הדוגמה הבאה היא בפורמט YAML:

- egressTo:
    operations:
    - serviceName: SERVICE_NAME
      methodSelectors:
      - method: METHOD_NAME
    resources:
    - projects/PROJECT_NUMBER
  egressFrom:
    identities:
    - PRINCIPAL_IDENTIFIER

מחליפים את מה שכתוב בשדות הבאים:

• ‫PRINCIPAL_IDENTIFIER: מציינים קבוצה ב-Google, זהות של צד שלישי או חשבון משתמש באיחוד זהויות של עומסי עבודה ל-GKE שיכולים לגשת למשאבים שצוינו מחוץ להיקף. כדי לציין קבוצת זהויות, משתמשים בפורמט שמצוין בקטע זהויות נתמכות.

מידע על מאפיינים אחרים של כללי יציאה מופיע במאמר הפניה לכללי יציאה.

אחרי שמעדכנים כלל תעבורת נתונים יוצאת קיים כדי להגדיר קבוצות זהויות, צריך לעדכן את כללי המדיניות של גבולות הגזרה לשירות:

gcloud access-context-manager perimeters update PERIMETER_ID --set-egress-policies=RULE_POLICY.yaml

מחליפים את מה שכתוב בשדות הבאים:

• ‫PERIMETER_ID: המזהה של גבולות גזרה לשירות שרוצים לעדכן.
• ‫RULE_POLICY: הנתיב של קובץ כלל היציאה ששונה.

למידע נוסף, קראו את המאמר עדכון כללי מדיניות הכניסה והיציאה של גבולות גזרה לשירות.

מגבלות

• לפני שמשתמשים בקבוצות זהויות, חשוב להבין את התכונות שלא נתמכות בכללי תעבורה נכנסת ויוצאת.
• כשמשתמשים בקבוצות זהויות בכלל יציאה, אי אפשר להגדיר את השדה resources במאפיין egressTo לערך "*".
• אי אפשר להשתמש בזהות של עומס עבודה בכללי תעבורת נתונים נכנסת ויוצאת כדי לאפשר פעולות של ממשק האינטרנט של Apache Airflow ב-Managed Airflow. עם זאת, אפשר להשתמש בANY_IDENTITYסוג הזהות בכללי כניסה ויציאה כדי לאפשר גישה לכל הזהויות, כולל זהויות של עומסי עבודה. מידע נוסף על ANY_IDENTITYסוג הזהות מופיע במאמר כללי כניסה ויציאה.
• מכסות ומגבלות: מידע על המגבלות של כללי תעבורת נתונים נכנסת ויוצאת.

המאמרים הבאים

• דוגמה לשימוש בקבוצות זהויות ובזהויות של צד שלישי בכללים לתעבורת נתונים נכנסת ויוצאת
• בסרטון הזה מוסבר איך להשתמש בקבוצות זהויות בכללי כניסה ויציאה.