Mengelola konfigurasi uji coba

Halaman ini menjelaskan cara mengelola konfigurasi uji coba untuk perimeter layanan Anda. Untuk mengetahui informasi tentang cara mengelola perimeter layanan secara umum, lihat Mengelola perimeter layanan.

Sebelum memulai

• Baca Ringkasan Kontrol Layanan VPC

• Baca Mode uji coba

• Tetapkan kebijakan akses default Anda untuk menggunakan alat command line gcloud.

  -atau-

  Dapatkan nama kebijakan Anda. Nama kebijakan diperlukan untuk perintah yang menggunakan alat command line gcloud dan melakukan panggilan API. Jika Anda menetapkan kebijakan akses default, Anda tidak perlu menentukan kebijakan untuk alat command line gcloud.

Menerapkan konfigurasi uji coba

Jika sudah puas dengan konfigurasi uji coba perimeter layanan, Anda dapat menerapkan konfigurasi tersebut. Saat konfigurasi uji coba diterapkan, konfigurasi tersebut akan menggantikan konfigurasi yang diterapkan saat ini untuk perimeter, jika ada. Jika versi perimeter yang diterapkan tidak ada, konfigurasi uji coba akan digunakan sebagai konfigurasi awal yang diterapkan untuk perimeter.

Catatan: Anda hanya dapat menerapkan konfigurasi uji coba yang telah diubah. Jika konfigurasi uji coba belum diubah, Anda tidak dapat menerapkannya. Di konsol Google Cloud , jika konfigurasi uji coba tidak diubah, tombol Enforce tidak akan terlihat di halaman VPC Service Perimeter Detail.

Setelah Anda memperbarui perimeter layanan, mungkin perlu waktu hingga 30 menit agar perubahan diterapkan dan berlaku. Selama waktu ini, perimeter dapat memblokir permintaan dengan pesan error berikut: Error 403: Request is prohibited by organization's policy.

Konsol

1. Di bagian Navigation menu pada konsol Google Cloud , klik Security, lalu klik VPC Service Controls.

   Buka halaman VPC Service Controls

2. Di halaman VPC Service Controls, klik Dry run mode.

3. Dalam daftar perimeter layanan, klik nama perimeter layanan yang ingin Anda terapkan.

4. Di halaman Service perimeter details, klik Enforce config.

5. Saat diminta untuk mengonfirmasi bahwa Anda ingin menimpa konfigurasi yang saat ini diterapkan, klik Confirm.

gcloud

Anda dapat menggunakan alat command line gcloud untuk menerapkan konfigurasi uji coba untuk perimeter individual, serta untuk semua perimeter secara bersamaan.

Menerapkan satu konfigurasi uji coba

Untuk menerapkan konfigurasi uji coba untuk satu perimeter, gunakan perintah dry-run enforce:

gcloud access-context-manager perimeters dry-run enforce PERIMETER_NAME \
  [--policy=POLICY_NAME]

Dengan:

• PERIMETER_NAME adalah nama perimeter layanan yang ingin Anda dapatkan detailnya.

• POLICY_NAME adalah nama kebijakan akses organisasi Anda. Nilai ini hanya diperlukan jika Anda belum menetapkan kebijakan akses default.

Menerapkan semua konfigurasi uji coba

Untuk menerapkan konfigurasi uji coba untuk semua perimeter, gunakan perintah dry-run enforce-all:

gcloud access-context-manager perimeters dry-run enforce-all \
  [--etag=ETAG]
  [--policy=POLICY_NAME]

Dengan:

• PERIMETER_NAME adalah nama perimeter layanan yang ingin Anda dapatkan detailnya.

• ETAG adalah string yang merepresentasikan versi target kebijakan akses organisasi Anda. Jika Anda tidak menyertakan ETag, operasi enforce-all akan menargetkan versi terbaru kebijakan akses organisasi Anda.

  Untuk mendapatkan ETag terbaru kebijakan akses Anda, list kebijakan akses Anda.

• POLICY_NAME adalah nama kebijakan akses organisasi Anda. Nilai ini hanya diperlukan jika Anda belum menetapkan kebijakan akses default.

API

Untuk menerapkan konfigurasi uji coba untuk semua perimeter, panggil accessPolicies.servicePerimeters.commit.

Memperbarui konfigurasi uji coba

Saat memperbarui konfigurasi uji coba, Anda dapat mengubah daftar layanan, project, dan layanan yang dapat diakses VPC, serta fitur perimeter lainnya.

Setelah Anda memperbarui perimeter layanan, mungkin perlu waktu hingga 30 menit agar perubahan diterapkan dan berlaku. Selama waktu ini, perimeter dapat memblokir permintaan dengan pesan error berikut: Error 403: Request is prohibited by organization's policy.

Konsol

1. Di bagian Navigation menu pada konsol Google Cloud , klik Security, lalu klik VPC Service Controls.

   Buka halaman VPC Service Controls

2. Di halaman VPC Service Controls, klik Dry run mode.

3. Dalam daftar perimeter layanan, klik nama perimeter layanan yang ingin Anda edit.

4. Di halaman Service perimeter details, klik Edit.

5. Di halaman Edit service perimeter, lakukan perubahan pada konfigurasi uji coba perimeter layanan.

6. Klik Save.

gcloud

Untuk menambahkan project baru ke perimeter, gunakan perintah dry-run update dan tentukan resource yang akan ditambahkan:

gcloud access-context-manager perimeters dry-run update PERIMETER_NAME \
  --add-resources=RESOURCES \
  [--policy=POLICY_NAME]

Dengan:

• PERIMETER_NAME adalah nama perimeter layanan yang ingin Anda dapatkan detailnya.

• RESOURCES adalah daftar satu atau beberapa nomor project atau nama jaringan VPC yang dipisahkan koma. Contoh: projects/12345 atau //compute.googleapis.com/projects/my-project/global/networks/vpc1. Hanya project dan jaringan VPC yang diizinkan. Format project: projects/<project_number>. Format VPC: //compute.googleapis.com/projects/<project-id>/global/networks/<network_name>.

• POLICY_NAME adalah nama kebijakan akses organisasi Anda. Nilai ini hanya diperlukan jika Anda belum menetapkan kebijakan akses default.

Untuk memperbarui daftar layanan yang dibatasi, gunakan perintah dry-run update dan tentukan layanan yang akan ditambahkan sebagai daftar yang dipisahkan koma:

gcloud access-context-manager perimeters dry-run update PERIMETER_ID \
  --add-restricted-services=SERVICES \
  [--policy=POLICY_NAME]

Dengan:

• PERIMETER_NAME adalah nama perimeter layanan yang ingin Anda dapatkan detailnya.

• SERVICES adalah daftar satu atau beberapa layanan yang dipisahkan koma. Contoh: storage.googleapis.com atau storage.googleapis.com,bigquery.googleapis.com.

• POLICY_NAME adalah nama kebijakan akses organisasi Anda. Nilai ini hanya diperlukan jika Anda belum menetapkan kebijakan akses default.

Mengidentifikasi permintaan yang diblokir

Setelah membuat konfigurasi uji coba, Anda dapat meninjau log untuk mengidentifikasi area tempat konfigurasi uji coba akan menolak akses ke layanan jika diterapkan.

Konsol

1. Di bagian Navigation menu pada konsol Google Cloud , klik Logging, lalu klik Logs Explorer.

   Buka Logs Explorer

2. Di kolom Query, masukkan filter kueri seperti filter berikut, lalu klik Run query.

   log_id("cloudaudit.googleapis.com/policy") AND severity="error" AND protoPayload.metadata.dryRun="true"
   

3. Lihat log di bagian Query results.

gcloud

Untuk melihat log menggunakan gcloud CLI, jalankan perintah seperti berikut:

gcloud logging read 'log_id("cloudaudit.googleapis.com/policy") AND severity="error" AND protoPayload.metadata.dryRun="true"'