ניהול של service perimeters

בדף הזה מוסבר איך לנהל את גבולות הגזרה לשירות ב-VPC Service Controls. למידע נוסף על יצירת גבולות גזרה חדשים לשירות, קראו את המאמר יצירת גבולות גזרה לשירות.

הדף הזה כולל את הקטעים הבאים:

• לפני שמתחילים

• הצגת רשימה של גבולות גזרה לשירות ותיאור שלהם

• הצגת רשימה של גבולות גזרה לשירות (בפורמט)

• עדכון של גבולות גזרה לשירות

• הוספת רמת גישה למתחם קיים

• מחיקת היקף

• הגבלת הגישה לשירותים בתוך היקף באמצעות שירותים נגישים ל-VPC

לפני שמתחילים

• סקירה כללית על VPC Service Controls

• הגדרת גבולות גזרה לשירות

• מגדירים את מדיניות הגישה שמוגדרת כברירת מחדל לשימוש בכלי שורת הפקודה gcloud.

  -או-

  מאתרים את שם המדיניות. צריך לציין את שם המדיניות בפקודות שמשתמשות בכלי שורת הפקודה gcloud ובקריאות ל-API. אם מגדירים מדיניות גישה כברירת מחדל, לא צריך לציין את המדיניות לכלי שורת הפקודה gcloud.

הצגת רשימה של גבולות גזרה לשירות ותיאור שלהם

הצגת רשימה של כל גבולות הגזרה לשירות בארגון:

המסוף

1. בתפריט הניווט במסוף Google Cloud , לוחצים על Security ואז על VPC Service Controls.

   כניסה לדף VPC Service Controls

2. בדף VPC Service Controls, בטבלה, לוחצים על השם של גבולות גזרה לשירות שרוצים לראות.

gcloud

כדי להציג את רשימת גבולות הגזרה לשירות של הארגון, משתמשים בפקודה list:

gcloud access-context-manager perimeters list

אמורה להופיע רשימה של גבולות ההגנה של הארגון. לדוגמה:

NAME           TITLE                 ETAG
ProdPerimeter  Production Perimeter  abcdefg123456789

כדי לראות פרטים על גבולות גזרה לשירות, משתמשים בפקודה describe:

gcloud access-context-manager perimeters \
  describe PERIMETER_ID

מחליפים את מה שכתוב בשדות הבאים:

• ‫PERIMETER_ID הוא המזהה של גבולות הגזרה לשירות שאתם רוצים לקבל פרטים לגביהם.

אמורים להופיע פרטים על המתחם. לדוגמה:

etag: abcdefg123456789
name: accessPolicies/626111171578/servicePerimeters/ProdPerimeter
status:
  accessLevels:
  - accessPolicies/626111171578/accessLevels/corpAccess
  resources:
  - projects/111584792408
  restrictedServices:
  - bigquery.googleapis.com
  - storage.googleapis.com
title: Production Perimeter

הצגת רשימה של גבולות גזרה לשירות (בפורמט)

באמצעות כלי שורת הפקודה gcloud, אתם יכולים לקבל רשימה של גבולות הגזרה לשירות בפורמט YAML או JSON.

כדי לקבל רשימה מעוצבת של היקפים, משתמשים בפקודה list:

gcloud access-context-manager perimeters list \
  --format=FORMAT

מחליפים את מה שכתוב בשדות הבאים:

• ‫FORMAT הוא אחד מהערכים הבאים:

  • list (פורמט YAML)

  • json (פורמט JSON)

הפלט הבא הוא רשימה לדוגמה בפורמט YAML:

- etag: abcdefg123456789
  name: accessPolicies/165717541651/servicePerimeters/On_Prem
  status: {'resources': ['projects/167410821371'], 'restrictedServices': ['bigquery.googleapis.com', 'storage.googleapis.com']}
  title: On Prem
- etag: hijklmn987654321
  name: accessPolicies/165717541651/servicePerimeters/Private
  spec: {'resources': ['projects/136109111311'], 'restrictedServices': ['bigquery.googleapis.com', 'storage.googleapis.com', 'logging.googleapis.com']}
  status: {'resources': ['projects/136109111311', 'projects/401921913171'], 'restrictedServices': ['bigquery.googleapis.com']}
  title: Private
  useExplicitDryRunSpec: True
- etag: pqrstuv123456789
  name: accessPolicies/165717541651/servicePerimeters/OnpremBridge
  perimeterType: PERIMETER_TYPE_BRIDGE
  status: {'resources': ['projects/167410821371']}
  title: OnpremBridge

הפלט הבא הוא רשימה לדוגמה בפורמט JSON:

[
  {
    "etag": "abcdefg123456789",
    "name": "accessPolicies/165717541651/servicePerimeters/On_Prem",
    "status": {
      "resources": [
        "projects/167410821371"
      ],
      "restrictedServices": [
        "bigquery.googleapis.com",
        "storage.googleapis.com"
      ]
    },
    "title": "On Prem"
  },
  {
    "etag": "hijklmn987654321",
    "name": "accessPolicies/165717541651/servicePerimeters/Private",
    "spec": {
      "resources": [
        "projects/136109111311"
      ],
      "restrictedServices": [
        "bigquery.googleapis.com",
        "storage.googleapis.com",
        "logging.googleapis.com"
      ]
    },
    "status": {
      "resources": [
        "projects/136109111311",
        "projects/401921913171"
      ],
      "restrictedServices": [
        "bigquery.googleapis.com"
      ]
    },
    "title": "Private",
    "useExplicitDryRunSpec": true
  },
  {
    "etag": "pqrstuv123456789",
    "name": "accessPolicies/165717541651/servicePerimeters/OnpremBridge",
    "perimeterType": "PERIMETER_TYPE_BRIDGE",
    "status": {
      "resources": [
        "projects/167410821371"
      ]
    },
    "title": "OnpremBridge"
  }
]

עדכון של גבולות גזרה לשירות

בקטע הזה מוסבר איך לעדכן גבולות גזרה לשירות ספציפי. כדי לעדכן את כל גבולות הגזרה לשירות של הארגון בפעולה אחת, קראו את המאמר ביצוע שינויים בכמות גדולה בגבולות הגזרה לשירות.

כדי לעדכן את גבולות הגזרה לשירות, אפשר לבצע את המשימות הבאות:

• להוסיף פרויקטים חדשים ל Google Cloud או להסיר פרויקטים מגבולות הגזרה לשירות.
• לשנות את רשימת השירותים המוגבלים של Google Cloud . אפשר גם לשנות את השם והתיאור של גבולות הגזרה לשירות.
• הפעלה, הוספה, הסרה או השבתה של שירותים נגישים ל-VPC.
• עדכון כללי המדיניות של תעבורת הנתונים הנכנסת והיוצאת.

אחרי שמעדכנים את גבולות הגזרה לשירות, יכול להיות שיעברו עד 30 דקות עד שהשינויים יתעדכנו וייכנסו לתוקף. בזמן הזה, יכול להיות שהיקף ההרשאות יחסום בקשות עם הודעת השגיאה הבאה: Error 403: Request is prohibited by organization's policy.

המסוף

1. בתפריט הניווט במסוף Google Cloud , לוחצים על Security ואז על VPC Service Controls.

   כניסה לדף VPC Service Controls

2. בדף VPC Service Controls, בטבלה, לוחצים על השם של גבולות גזרה לשירות שרוצים לשנות.

3. בדף פרטי גבולות גזרה לשירות, לוחצים על עריכה.

4. בדף Edit service perimeter, מעדכנים את גבולות הגזרה לשירות.

5. לוחצים על Save.

gcloud

כדי להוסיף משאבים חדשים להיקף, משתמשים בפקודה update ומציינים את המשאבים שרוצים להוסיף:

gcloud access-context-manager perimeters update PERIMETER_ID \
  --add-resources=RESOURCES

מחליפים את מה שכתוב בשדות הבאים:

• ‫PERIMETER_ID הוא המזהה של גבולות הגזרה לשירות שאתם רוצים לקבל פרטים לגביהם.

• ‫RESOURCES היא רשימה מופרדת בפסיקים של מספר פרויקט אחד או יותר, או שמות של רשתות VPC. לדוגמה: projects/12345 או //compute.googleapis.com/projects/my-project/global/networks/vpc1. אפשר להשתמש רק בפרויקטים וברשתות VPC. פורמט הפרויקט: projects/project_number. פורמט VPC: ‏//compute.googleapis.com/projects/project-id/global/networks/network_name.

כדי לעדכן את רשימת השירותים המוגבלים, משתמשים בפקודה update ומציינים את השירותים שרוצים להוסיף כרשימה מופרדת בפסיקים:

gcloud access-context-manager perimeters update PERIMETER_ID \
  --add-restricted-services=SERVICES

מחליפים את מה שכתוב בשדות הבאים:

• ‫PERIMETER_ID הוא המזהה של גבולות הגזרה לשירות שאתם רוצים לקבל פרטים לגביהם.

• ‫SERVICES היא רשימה של שירות אחד או יותר, שמופרדים בפסיקים. לדוגמה: storage.googleapis.com או storage.googleapis.com,bigquery.googleapis.com.

הוספת רמת גישה למתחם קיים

אחרי שיוצרים רמת גישה, אפשר להחיל אותה על גבולות גזרה לשירות כדי לשלוט בגישה.

אחרי שמעדכנים את גבולות הגזרה לשירות, יכול להיות שיעברו עד 30 דקות עד שהשינויים יתעדכנו וייכנסו לתוקף. בזמן הזה, יכול להיות שהיקף ההרשאות יחסום בקשות עם הודעת השגיאה הבאה: Error 403: Request is prohibited by organization's policy.

המסוף

1. בתפריט הניווט במסוף Google Cloud , לוחצים על Security ואז על VPC Service Controls.

   כניסה לדף VPC Service Controls

2. בדף VPC Service Controls, בטבלה, לוחצים על השם של גבולות גזרה לשירות שרוצים לשנות.

3. בדף פרטי גבולות גזרה לשירות, לוחצים על עריכה.

4. בדף עריכת גבולות גזרה לשירות, לוחצים על רמות גישה.

5. לוחצים על הוספת רמות גישה.

6. בחלונית Add access levels, מסמנים את התיבות של רמות הגישה שרוצים להחיל על גבולות הגזרה לשירות.

7. לוחצים על הוספת רמות הגישה שנבחרו.

8. לוחצים על Save.

gcloud

כדי להוסיף רמת גישה לגבולות גזרה לשירות קיימים, משתמשים בפקודה update:

gcloud access-context-manager perimeters update PERIMETER_ID \
  --add-access-levels=LEVEL_NAME

מחליפים את מה שכתוב בשדות הבאים:

• ‫PERIMETER_ID הוא המזהה של גבולות הגזרה לשירות.

• ‫LEVEL_NAME הוא השם של רמת הגישה שרוצים להוסיף להיקף.

מידע נוסף על שימוש ברמות גישה עם היקף זמין במאמר מתן גישה למשאבים מוגנים מחוץ להיקף.

מחיקת גבולות גזרה לשירות

כשמוחקים גבולות גזרה לשירות, אמצעי הבקרה לאבטחה שמשויכים לגבולות הגזרה לא חלים יותר על הפרויקטים המשויכים ב- Google Cloud. אין השפעה אחרת על הפרויקטים של החברים ב- Google Cloud או על המשאבים שמשויכים אליהם.

המסוף

1. בתפריט הניווט במסוף Google Cloud , לוחצים על Security ואז על VPC Service Controls.

   כניסה לדף VPC Service Controls

2. בדף VPC Service Controls, בשורה בטבלה שמתאימה להיקף שרוצים למחוק, לוחצים על .

gcloud

כדי למחוק גבולות גזרה לשירות, משתמשים בפקודה delete:

gcloud access-context-manager perimeters delete PERIMETER_ID

מחליפים את מה שכתוב בשדות הבאים:

• ‫PERIMETER_ID הוא המזהה של גבולות הגזרה לשירות.

הגבלת הגישה לממשקי Google API בתוך היקף הרשאות גישה

בקטע הזה מתוארות הגדרות אישיות שמגבילות את הגישה לממשקי Google API מנקודות קצה ברשת בתוך גבולות גזרה לשירות.

אפשר להגביל את הגישה בדרכים הבאות:

• להגדיר שירותים נגישים ל-VPC: להגביל את קבוצת ממשקי ה-API הנתמכים של Google שאפשר לגשת אליהם מנקודות קצה ברשת בתוך גבולות הגזרה לשירות.
• להגדיר תבניות שירות: להגביל את קבוצת ממשקי ה-API של Google שלא נתמכים, שאפשר לגשת אליהם מנקודות קצה ברשת בתוך גבולות הגזרה לשירות.

הגבלת הגישה באמצעות שירותים נגישים ל-VPC

אתם יכולים להשתמש בתכונה "שירותים נגישים ל-VPC" כדי להגביל את קבוצת השירותים שאפשר לגשת אליהם מנקודות קצה ברשת בתוך גבולות הגזרה לשירות. אפשר להוסיף שירותים נגישים ל-VPC לגבולות גזרה לשירות, אבל לא לגבולות גזרה מגושרים.

מידע נוסף על התכונה "שירותים נגישים ל-VPC" זמין במאמר שירותים נגישים ל-VPC.

הפעלת שירותים נגישים ל-VPC

המסוף

1. בתפריט הניווט במסוף Google Cloud , לוחצים על Security ואז על VPC Service Controls.

   כניסה לדף VPC Service Controls

2. בדף VPC Service Controls, בטבלה, לוחצים על השם של גבולות גזרה לשירות שרוצים לשנות.

3. בדף פרטי גבולות גזרה לשירות, לוחצים על עריכה.

4. בחלונית VPC accessible services, בוחרים אחת מהאפשרויות הבאות:

   • ‫All restricted services: הגבלת הגישה רק לשירותים שמוגנים על ידי גבולות הגזרה לשירות.
   • ‫Selected services: הגבלת הגישה לרשימה מותאמת אישית של שירותים.
   • אין שירותים: חוסמת את הגישה לכל השירותים.

5. לוחצים על שמירה ואז על אישור.

gcloud

כדי להפעיל את השירותים הנגישים ל-VPC בגבולות גזרה לשירות, משתמשים בפקודה update:

gcloud access-context-manager perimeters update PERIMETER_ID \
  --enable-vpc-accessible-services \
  --add-vpc-allowed-services=SERVICES

מחליפים את מה שכתוב בשדות הבאים:

• ‫PERIMETER_ID הוא המזהה של גבולות הגזרה לשירות.

• ‫SERVICES: רשימה מופרדת בפסיקים של שירות אחד או יותר שאתם רוצים לאפשר לרשתות בתוך גבולות האבטחה לגשת אליהם. אין גישה לשירותים שלא כלולים ברשימה הזו.

  כדי לכלול במהירות את השירותים שמוגנים על ידי גבולות הגזרה, מוסיפים את RESTRICTED-SERVICES לרשימה של SERVICES. אפשר לכלול שירותים אחרים בנוסף ל-RESTRICTED-SERVICES.

לדוגמה, כדי לוודא שלרשתות ה-VPC בהיקף יש גישה רק לשירותי Logging ו-Cloud Storage, משתמשים בפקודה הבאה:

gcloud access-context-manager perimeters update example_perimeter \
  --enable-vpc-accessible-services \
  --add-vpc-allowed-services=\
RESTRICTED-SERVICES,logging.googleapis.com,storage.googleapis.com \
  --policy=11271009391

הוספת שירות ל-VPC accessible services

המסוף

1. בתפריט הניווט במסוף Google Cloud , לוחצים על Security ואז על VPC Service Controls.

   כניסה לדף VPC Service Controls

2. בדף VPC Service Controls, בטבלה, לוחצים על השם של גבולות גזרה לשירות שרוצים לשנות.

3. בדף פרטי גבולות גזרה לשירות, לוחצים על עריכה.

4. בחלונית VPC accessible services, בוחרים באפשרות Selected services.

5. לוחצים על הוספת שירותים.

6. בחלונית Add services, מסמנים את התיבות של השירותים שרוצים לאפשר.

7. לוחצים על הוספת השירותים שנבחרו.

8. אופציונלי: כדי לכלול באופן אוטומטי את כל השירותים שמוגנים על ידי ההיקף, לוחצים על המתג Include all restricted services כדי להפעיל אותו.

9. לוחצים על שמירה ואז על אישור.

gcloud

כדי להוסיף שירותים נוספים לשירותים הנגישים ל-VPC בהיקף, משתמשים בפקודה update:

gcloud access-context-manager perimeters update PERIMETER_ID \
  --add-vpc-allowed-services=SERVICES

מחליפים את מה שכתוב בשדות הבאים:

• ‫PERIMETER_ID הוא המזהה של גבולות הגזרה לשירות.

• ‫SERVICES: רשימה מופרדת בפסיקים של שירות אחד או יותר שאתם רוצים לאפשר לרשתות בתוך גבולות האבטחה לגשת אליהם.

  כדי לכלול במהירות את השירותים שמוגנים על ידי גבולות הגזרה, מוסיפים את RESTRICTED-SERVICES לרשימה של SERVICES. אפשר לכלול שירותים נפרדים בנוסף ל-RESTRICTED-SERVICES.

לדוגמה, אם אתם מפעילים שירותים נגישים ל-VPC ודורשים שלרשתות ה-VPC בהיקף שלכם תהיה גישה לשירות Pub/Sub, השתמשו בפקודה הבאה:

gcloud access-context-manager perimeters update example_perimeter \
  --add-vpc-allowed-services=RESTRICTED-SERVICES,pubsub.googleapis.com \
  --policy=11271009391

הסרת שירות מהשירותים הנגישים ל-VPC

המסוף

1. בתפריט הניווט במסוף Google Cloud , לוחצים על Security ואז על VPC Service Controls.

   כניסה לדף VPC Service Controls

2. בדף VPC Service Controls, בטבלה, לוחצים על השם של גבולות גזרה לשירות שרוצים לשנות.

3. בדף פרטי גבולות גזרה לשירות, לוחצים על עריכה.

4. בחלונית VPC accessible services, מוודאים שהאפשרות מוגדרת ל-Selected services.

5. ברשימת השירותים המורשים, מאתרים את השירות שרוצים להסיר ולוחצים על Delete ליד שם השירות.

6. לוחצים על שמירה ואז על אישור.

gcloud

כדי להסיר שירותים מהשירותים הנגישים ל-VPC בהיקף השירות, משתמשים בפקודה update:

gcloud access-context-manager perimeters update PERIMETER_ID \
  --remove-vpc-allowed-services=SERVICES

מחליפים את מה שכתוב בשדות הבאים:

• ‫PERIMETER_ID הוא המזהה של גבולות הגזרה לשירות.

• ‫SERVICES היא רשימה מופרדת בפסיקים של שירות אחד או יותר שרוצים להסיר מרשימת השירותים שלרשתות בתוך גבולות הגזרה לשירות יש הרשאה לגשת אליהם.

לדוגמה, אם הפעלתם שירותים נגישים ל-VPC ואתם לא רוצים יותר שלרשתות ה-VPC בהיקף שלכם תהיה גישה לשירות Cloud Storage, השתמשו בפקודה הבאה:

gcloud access-context-manager perimeters update example_perimeter \
  --remove-vpc-allowed-services=storage.googleapis.com \
  --policy=11271009391

השבתת שירותים נגישים ל-VPC

המסוף

1. בתפריט הניווט במסוף Google Cloud , לוחצים על Security ואז על VPC Service Controls.

   כניסה לדף VPC Service Controls

2. בדף VPC Service Controls, בטבלה, לוחצים על השם של גבולות גזרה לשירות שרוצים לשנות.

3. בדף פרטי גבולות גזרה לשירות, לוחצים על עריכה.

4. בחלונית VPC accessible services, בוחרים באפשרות All services.

5. לוחצים על שמירה ואז על אישור.

gcloud

כדי להשבית את ההגבלות של שירות VPC בגבולות הגזרה לשירות, משתמשים בפקודה update:

gcloud access-context-manager perimeters update PERIMETER_ID \
  --no-enable-vpc-accessible-services \
  --clear-vpc-allowed-services

מחליפים את מה שכתוב בשדות הבאים:

• ‫PERIMETER_ID הוא המזהה של גבולות הגזרה לשירות.

לדוגמה, כדי להשבית את ההגבלות של VPC Service Controls ב-example_perimeter, משתמשים בפקודה הבאה:

gcloud access-context-manager perimeters update example_perimeter \
  --no-enable-vpc-accessible-services \
  --clear-vpc-allowed-services \
  --policy=11271009391

הגבלת הגישה באמצעות תבניות שירות

אתם יכולים להשתמש בתבניות שירות של VPC Service Controls כדי לציין לאילו ממשקי Google API, כולל שירותים לא נתמכים, אפשר לגשת מרשתות בתוך גבולות גזרה לשירות.

כדי להשתמש בשירותים נגישים ל-VPC צריך להשתמש בVIP מוגבל, אבל תבניות השירות מיועדות לרשתות שמשתמשות בVIP פרטי (private.googleapis.com) או בנקודת קצה של Private Service Connect עם החבילה all-apis.

המסוף

1. בתפריט הניווט במסוף Google Cloud , לוחצים על Security ואז על VPC Service Controls.

   כניסה לדף VPC Service Controls

2. בדף VPC Service Controls, בטבלה, לוחצים על השם של גבולות גזרה לשירות שרוצים לשנות.

3. בדף פרטי גבולות גזרה לשירות, לוחצים על עריכה.

4. בחלונית VPC accessible services, בוחרים באפשרות Select services and patterns.

5. כדי להוסיף שירות נתמך או תבנית שירות לא נתמכת, לוחצים על Add.

   • כדי להוסיף Google API נתמך:
     1. לוחצים על שירותים.
     2. מסמנים את התיבה לצד כל שם של שירות שרוצים לאשר.
     3. לוחצים על הוספת השירותים שנבחרו.
   • כדי להוסיף Google API שלא נתמך באמצעות תבנית URL מותאמת אישית:
     1. לוחצים על האפשרות תבניות.
     2. לוחצים על הוספת תבנית או מזינים תבנית URL בשדה תבנית (לדוגמה, maps.googleapis.com/*).
     3. אופציונלי: מוסיפים כותרות של בקשות HTTP בהתאמה אישית. לוחצים על Add request header, בוחרים מפתח כותרת מהרשימה Key ומציינים את הערך.
     4. לוחצים על הוספת תבניות שירות.

6. ברשימה הנפתחת Service patterns enforcement scopes, בוחרים באפשרות Google APIs via Private Path.

7. לוחצים על שמירה ואז על אישור.

gcloud

כדי להגדיר תבניות שירות, צריך לציין את הגדרת השירותים הנגישים ל-VPC בקובץ YAML.

enableRestriction: true
servicePatternsEnforcementScopes:
- GOOGLE_APIS_VIA_PRIVATE_PATH
allowedServicePatterns:
- service: 'RESTRICTED-SERVICES'
- service: 'logging.googleapis.com'
- pattern: 'maps.googleapis.com/*'
- pattern: 'www.googleapis.com/drive/*'

קובץ ה-YAML מכיל את השדות הבאים:

• ‫enableRestriction: כדי להגביל את הגישה לשירותים, מגדירים את הערך true.
• ‫servicePatternsEnforcementScopes: מגדירים את הערך GOOGLE_APIS_VIA_PRIVATE_PATH כדי לאכוף תבניות שירות בממשקי Google API שאליהם ניגשים דרך ה-VIP הפרטי.
• ‫allowedServicePatterns: רשימת השירותים המותרים ותבניות כתובות ה-URL, שמייצגות את שמות המארחים של Google API ואת תבניות הנתיבים של כתובות ה-URL, בהתאם לכותרות ה-HTTP Host של הבקשות.
  • בשדה service משתמשים בשירותים נתמכים (לדוגמה, logging.googleapis.com). אפשר גם לציין את הערך RESTRICTED-SERVICES, שמתרחב לכל השירותים שמוגנים על ידי גבולות הגזרה לשירות.
  • משתמשים בשדה pattern לתבניות URL לא נתמכות (לדוגמה, maps.googleapis.com/*).

יצירה או עדכון של היקפים עם תבניות שירות

כדי ליצור גבולות גזרה לשירות עם תבניות שירות, משתמשים בפקודה create. מציינים את קובץ התצורה ב-YAML שהגדרתם בקטע הגבלת הגישה באמצעות תבניות שירות:

gcloud access-context-manager perimeters \
  create PERIMETER_ID \
  --title="TITLE" \
  --resources="projects/PROJECT_ID" \
  --restricted-services=SERVICES \
  --vpc-accessible-services=vpc_accessible_services.yaml \
  --policy=POLICY_ID

כדי לעדכן גבולות גזרה לשירות קיימים כך שישתמשו בתבניות שירות, משתמשים בפקודה update. מציינים את קובץ התצורה ב-YAML שהגדרתם בקטע הגבלת הגישה באמצעות תבניות שירות:

gcloud access-context-manager perimeters \
  update PERIMETER_ID \
  --set-vpc-accessible-services=vpc_accessible_services.yaml \
  --policy=POLICY_ID

מחליפים את מה שכתוב בשדות הבאים:

• ‫PERIMETER_ID: המזהה של גבולות הגזרה לשירות.

• ‫TITLE: השם של גבולות הגזרה לשירות.

• ‫PROJECT_ID: מזהה הפרויקט שרוצים להוסיף להיקף.

• ‫SERVICES: רשימה מופרדת בפסיקים של שירות אחד או יותר.

• ‫POLICY_ID: המזהה של מדיניות הגישה.

• ‫vpc_accessible_services.yaml הוא הנתיב לקובץ התצורה ב-YAML שהגדרתם בקטע הגבלת הגישה באמצעות תבניות שירות.

צירוף כותרות לבקשות לממשקי API שלא נתמכים

אפשר לצרף כותרות HTTP (כמו X-Goog-Allowed-Resources) לבקשות לממשקי API שלא נתמכים. מוסיפים את modifiers בקטע allowedServicePatterns של קובץ ה-YAML של ההגדרות:

enableRestriction: true
servicePatternsEnforcementScopes:
- GOOGLE_APIS_VIA_PRIVATE_PATH
allowedServicePatterns:
- pattern: 'appengine.googleapis.com/*'
  modifiers:
  - addRequestHeader:
      key: 'X-Goog-Allowed-Resources'
      value: 'YOUR_ORGANIZATION_RESTRICTIONS_HEADER'

הקטע addRequestHeader מכיל את השדות הבאים כדי לציין את כותרות הבקשה ל-HTTP:

• ‫key: השם של כותרת בקשת ה-HTTP שרוצים להוסיף. המקשים הנתמכים הם X-Goog-Allowed-Resources ו-X-GoogApps-Allowed-Domains.
• ‫value: הערך של כותרת בקשת ה-HTTP שצוינה.

מחליפים את YOUR_ORGANIZATION_RESTRICTIONS_HEADER במחרוזת JSON בקידוד base64 שמתאימה לאינטרנט, שמציינת את מזהי הארגון המורשים ב- Google Cloud. במאמר הגדרת הגבלות על ארגון מוסבר איך להגדיר את הפורמט של ערך הכותרת הזה.

בדיקה במצב פרימטר לבדיקות

המסוף

כדי לבדוק את ההשפעה של תבניות השירות לפני שאוכפים אותן, מגדירים את תבניות השירות במצב פרימטר לבדיקות:

1. בתפריט הניווט במסוף Google Cloud , לוחצים על Security ואז על VPC Service Controls.

   כניסה לדף VPC Service Controls

2. בדף VPC Service Controls, לוחצים על הכרטיסייה מצב פרימטר לבדיקות.

3. ברשימת גבולות הגזרה לשירות, לוחצים על השם של גבול הגזרה שרוצים לשנות.

4. בדף פרטי גבולות גזרה לשירות, לוחצים על עריכה.

5. בדף Edit service perimeter, משנים את ההגדרות של ההרצה הניסיונית (כמו שמתואר במאמר הגבלת הגישה באמצעות תבניות שירות).

6. לוחצים על שמירה ואז על אישור.

7. בודקים את יומני הביקורת כדי לראות אם יש הפרות. לפרטים נוספים, ראו זיהוי בקשות חסומות.

8. בדף פרטי גבולות גזרה לשירות, לוחצים על אכיפת הגדרה.

9. כשמופיעה בקשה לאשר שרוצים להחליף את ההגדרות הקיימות, לוחצים על Confirm.

gcloud

כדי לבדוק את ההשפעה של תבניות השירות לפני שאוכפים אותן, מגדירים את תבניות השירות במצב פרימטר לבדיקות:

1. יוצרים גבולות גזרה לבדיקות שמכילים את קובץ התצורה.

   gcloud access-context-manager perimeters dry-run \
     create PERIMETER_ID \
     --perimeter-title="TITLE" \
     --perimeter-resources="projects/PROJECT_ID" \
     --perimeter-restricted-services=SERVICES \
     --perimeter-vpc-accessible-services=vpc_accessible_services.yaml \
     --policy=POLICY_ID
   

2. בודקים את יומני הביקורת כדי לראות אם יש הפרות.

3. אוכפים את ההגדרה על ידי החלפת ההגדרה הראשית של ההיקף.

   gcloud access-context-manager perimeters dry-run \
     enforce PERIMETER_ID \
     --policy=POLICY_ID
   

מעבר מ-VIP מוגבל ל-VIP פרטי

אם אתם כבר משתמשים בשירותים נגישים ל-VPC עם VIP מוגבל, אתם יכולים להעביר לתבניות שירות ב-VIP פרטי:

1. מעדכנים את הגדרת ההיקף כך שתשתמש בתבניות שירות באמצעות קובץ YAML:

   gcloud access-context-manager perimeters \
     update PERIMETER_ID \
     --set-vpc-accessible-services=vpc_accessible_services.yaml \
     --policy=POLICY_ID
   

   מוודאים שהערך של servicePatternsEnforcementScopes הוא GOOGLE_APIS_VIA_PRIVATE_PATH.

2. מעדכנים את הגדרות ה-DNS, הניתוב וחומת האש ברשת ה-VPC כך שיפנו ל-VIP הפרטי (private.googleapis.com), או מעדכנים את נקודת הקצה של Private Service Connect כך שתשתמש בחבילה all-apis.

   הערה: עדכנו את הגדרת ההיקף לפני המעבר ל-VIP הפרטי כדי לוודא שנתיבי זליגת הנתונים נשארים חסומים.

מגבלות

• האכיפה חלה רק על הנתיב הפרטי של ה-VIP (נקודת הקצה private.googleapis.com או נקודת הקצה all-apis של Private Service Connect).
• אפשר להשתמש בפורמטים הבאים של תבניות URL:
  • API_NAME.googleapis.com/*
  • www.googleapis.com/API_NAME/*
  • *.appspot.com/*
  • ‫accounts.google.com/* (תומך רק בנתיבים שנדרשים לאימות OAuth של חשבונות שירות. אימות של חשבונות משתמשים הוא אינטראקטיבי ולא נתמך)
  • *.aiplatform-notebook.cloud.google.com/*
  • *.aiplatform-notebook.googleusercontent.com/*
  • appengine.google.com/*
  • *.backupdr.cloud.google.com/*
  • *.backupdr.googleusercontent.com/*
  • *.cloudfunctions.net/*
  • *.cloudproxy.app/*
  • *.composer.cloud.google.com/*
  • *.composer.googleusercontent.com/*
  • *.datafusion.cloud.google.com/*
  • *.datafusion.googleusercontent.com/*
  • *.dataproc.cloud.google.com/*
  • dataproc.cloud.google.com/*
  • *.dataproc.googleusercontent.com/*
  • dataproc.googleusercontent.com/*
  • *.developerconnect.dev/*
  • dl.google.com/*
  • gcr.io/* או *.gcr.io/*
  • *.gke.goog/*
  • gstatic.com/* או *.gstatic.com/*
  • *.kernels.googleusercontent.com/*
  • *.ltsapis.goog/*
  • *.notebooks.byoid.googleusercontent.com/*
  • *.notebooks.cloud.google.com/*
  • notebooks.cloud.google.com/*
  • *.notebooks.googleusercontent.com/*
  • packages.cloud.google.com/*
  • pkg.dev/* או *.pkg.dev/*
  • pki.goog/* או *.pki.goog/*
  • *.run.app/*
  • source.developers.google.com/*
  • storage.cloud.google.com/*
• יש תמיכה רק ב-X-Goog-Allowed-Resources וב-X-GoogApps-Allowed-Domains.
• הכותרות נוספות רק לבקשות לשירותים שלא נתמכים.
• מגדירי שינוי ו-addRequestHeader לא מוסיפים כותרות כשהם מוגדרים במצב פרימטר לבדיקות.
• יומני הפרות שנוצרו בעקבות בקשות לממשקי API לא נתמכים מכילים מטא-נתונים מוגבלים. לפרטים, ראו מגבלות של רישום ביומן הביקורת.
• הכלי לניתוח הפרות של VPC Service Controls לא תומך בפתרון בעיות של הפרות בשירותים שלא נתמכים. בודקים את יומני הביקורת לפי מזהה ההפרה.

שירותים נגישים ל-VPC ו-Access Context Manager API

אתם יכולים גם להשתמש ב-Access Context Manager API כדי לנהל את השירותים שנגישים ל-VPC. כשיוצרים או משנים גבולות גזרה לשירות, משתמשים באובייקט ServicePerimeterConfig בגוף התגובה כדי להגדיר את השירותים הנגישים ל-VPC.