Private Service Connect-Endpunkte in Serviceperimetern konfigurieren

Auf dieser Seite wird beschrieben, wie Sie Private Service Connect-Endpunkte in Dienstperimetern konfigurieren.

Private Service Connect ist eineGoogle Cloud Netzwerkfunktion, mit der Sie über Endpunkte privat aus Ihrem VPC-Netzwerk (Virtual Private Cloud) auf verwaltete Dienste zugreifen können. Mit VPC Service Controls können Sie einen Private Service Connect-Endpunkt in Regeln für ein- und ausgehenden Traffic angeben und so die Kommunikation zwischen unabhängigen Unternehmen über interne IP-Adressen ermöglichen.

Hinweis

Endpunkte in Regeln für eingehenden Traffic konfigurieren

Console

Sie können eine Regel für eingehenden Traffic so konfigurieren, dass sie Weiterleitungsregeln enthält, wenn Sie einen Perimeter in der Google Cloud Console erstellen oder aktualisieren.

  1. Klicken Sie im Navigationsmenü der Google Cloud Console auf Sicherheit > VPC Service Controls.

    Zu VPC Service Controls

  2. Klicken Sie auf Neuer Perimeter, um einen neuen Perimeter zu erstellen.

    Wenn Sie einen vorhandenen Perimeter ändern möchten, wählen Sie ihn aus und klicken Sie auf Bearbeiten.

  3. Wählen Sie Richtlinie für eingehenden Traffic aus.

  4. Klicken Sie im Bereich Regeln für eingehenden Traffic auf Regel für eingehenden Traffic hinzufügen.

  5. Wählen Sie im Abschnitt Von in der Liste Quellen die Option Quellen auswählen aus.

  6. Klicken Sie auf Private Service Connect-Endpunkte.

  7. Klicken Sie auf Endpunkte hinzufügen.

  8. Wählen Sie im Bereich Private Service Connect-Endpunkte hinzufügen eine der folgenden Optionen aus:

    • Nach PSC-Endpunkten suchen:Mit dieser Option können Sie die erforderlichen Private Service Connect-Endpunkte in der Liste suchen und auswählen.

    • PSC-Endpunkt-ID manuell eingeben:Mit dieser Option können Sie die Private Service Connect-Endpunkte manuell eingeben. Geben Sie einen Private Service Connect-Endpunkt im folgenden Format an: //compute.googleapis.com/projects/PROJECT_ID/global/forwardingRules/FORWARDING_RULE_ID, wobei FORWARDING_RULE_ID die ID der Weiterleitungsregel des Endpunkts ist.

  9. Klicken Sie auf Endpunkte hinzufügen.

  10. Klicken Sie auf Fertig.

  11. Klicken Sie auf Erstellen oder Speichern.

Informationen zu anderen Attributen der Regel für eingehenden Traffic finden Sie unter Referenz zu Regeln für eingehenden Traffic.

gcloud

Sie können eine Regel für eingehenden Traffic so konfigurieren, dass Weiterleitungsregeln verwendet werden. Dazu können Sie eine JSON-Datei oder eine YAML-Datei verwenden. Im folgenden Beispiel wird das YAML-Format verwendet:

- ingressFrom:
    identityType: ANY_IDENTITY | ANY_USER_ACCOUNT | ANY_SERVICE_ACCOUNT
    *OR*
    identities:
    - PRINCIPAL_IDENTIFIER
    sources:
    - resource: RESOURCE
    *OR*
    - accessLevel: ACCESS_LEVEL
    *OR*
    - pscEndpoint:
        forwardingRule: PSC_ENDPOINT
  ingressTo:
    operations:
    - serviceName: SERVICE_NAME
      methodSelectors:
      - method: METHOD_NAME
      *OR*
      - permission: PERMISSION
    *OR*
    roles:
    - ROLE_NAME
    resources:
    - projects/PROJECT_NUMBER

Ersetzen Sie PSC_ENDPOINT durch die Private Service Connect-Endpunkte, über die Sie den Zugriff auf Ressourcen im Perimeter zulassen möchten. Geben Sie einen Private Service Connect-Endpunkt im folgenden Format an: //compute.googleapis.com/projects/PROJECT_ID/global/forwardingRules/FORWARDING_RULE_ID, wobei FORWARDING_RULE_ID die ID der Weiterleitungsregel des Endpunkts ist.

Informationen zu anderen Attributen der Regel für eingehenden Traffic finden Sie unter Referenz zu Regeln für eingehenden Traffic.

Nachdem Sie die Datei mit Regeln für eingehenden Traffic mit Private Service Connect-Endpunkten konfiguriert haben, können Sie die Regel verwenden, wenn Sie einen Perimeter erstellen oder aktualisieren.

Führen Sie den folgenden Befehl aus, um die Regel beim Erstellen eines Perimeters zu konfigurieren:

gcloud access-context-manager perimeters create NAME \
--title=TITLE \
--resources=RESOURCES \
--restricted-services=RESTRICTED_SERVICES \
--ingress-policies=INGRESS_FILENAME.yaml \
--policy=POLICY_NAME

Ersetzen Sie INGRESS_FILENAME durch den Pfad der Ingress-Regeldatei.

Weitere Informationen finden Sie unter Dienstperimeter erstellen.

Führen Sie den folgenden Befehl aus, um die Regel zu konfigurieren, wenn Sie einen Perimeter aktualisieren:

gcloud access-context-manager perimeters update PERIMETER_ID \
--set-ingress-policies=INGRESS_FILENAME.yaml

Ersetzen Sie Folgendes:

  • PERIMETER_ID: Die ID des Dienstperimeters, den Sie aktualisieren möchten.
  • INGRESS_FILENAME: Der Pfad der Datei mit Richtlinien für eingehenden Traffic.

Weitere Informationen finden Sie unter Richtlinien für ein- und ausgehenden Traffic für einen Dienstperimeter aktualisieren.

Endpunkte in Regeln für ausgehenden Traffic konfigurieren

Console

Sie können eine Regel für ausgehenden Traffic so konfigurieren, dass sie Weiterleitungsregeln enthält, wenn Sie einen Perimeter in der Google Cloud Console erstellen oder aktualisieren.

  1. Klicken Sie im Navigationsmenü der Google Cloud Console auf Sicherheit > VPC Service Controls.

    Zu VPC Service Controls

  2. Klicken Sie auf Neuer Perimeter, um einen neuen Perimeter zu erstellen.

    Wenn Sie einen vorhandenen Perimeter ändern möchten, wählen Sie ihn aus und klicken Sie auf Bearbeiten.

  3. Wählen Sie Richtlinie für ausgehenden Traffic aus.

  4. Klicken Sie im Bereich Regeln für ausgehenden Traffic auf Regel für ausgehenden Traffic hinzufügen.

  5. Wählen Sie im Abschnitt Von in der Liste Quellen die Option Quellen auswählen aus.

  6. Klicken Sie auf Private Service Connect-Endpunkte.

  7. Klicken Sie auf Endpunkte hinzufügen.

  8. Wählen Sie im Bereich Private Service Connect-Endpunkte hinzufügen eine der folgenden Optionen aus:

    • Nach PSC-Endpunkten suchen:Mit dieser Option können Sie die erforderlichen Private Service Connect-Endpunkte in der Liste suchen und auswählen.

    • PSC-Endpunkt-ID manuell eingeben:Mit dieser Option können Sie die Private Service Connect-Endpunkte manuell eingeben. Geben Sie einen Private Service Connect-Endpunkt im folgenden Format an: //compute.googleapis.com/projects/PROJECT_ID/global/forwardingRules/FORWARDING_RULE_ID, wobei FORWARDING_RULE_ID die ID der Weiterleitungsregel des Endpunkts ist.

  9. Klicken Sie auf Endpunkte hinzufügen.

  10. Klicken Sie auf Fertig.

  11. Klicken Sie auf Erstellen oder Speichern.

Informationen zu anderen Attributen von Regeln für ausgehenden Traffic finden Sie in der Referenz zu Regeln für ausgehenden Traffic.

gcloud

Sie können eine Regel für ausgehenden Traffic so konfigurieren, dass sie Weiterleitungsregeln enthält. Dazu verwenden Sie eine JSON-Datei oder eine YAML-Datei. Im folgenden Beispiel wird das YAML-Format verwendet:

- egressTo:
    operations:
    - serviceName: SERVICE_NAME
      methodSelectors:
      - method: METHOD_NAME
      *OR*
      - permission: PERMISSION
    *OR*
    roles:
    - ROLE_NAME
    resources:
    - projects/PROJECT_NUMBER
    *OR*
    externalResources:
    - EXTERNAL_RESOURCE_PATH
  egressFrom:
    identityType: ANY_IDENTITY | ANY_USER_ACCOUNT | ANY_SERVICE_ACCOUNT
    *OR*
    identities:
    - PRINCIPAL_IDENTIFIER
    sources:
    - resource: RESOURCE
    *OR*
    - accessLevel: ACCESS_LEVEL
    *OR*
    - pscEndpoint:
        forwardingRule: PSC_ENDPOINT
    sourceRestriction: RESTRICTION_STATUS

Ersetzen Sie PSC_ENDPOINT durch die Private Service Connect-Endpunkte, über die Ressourcen innerhalb des Perimeters auf externe Ressourcen zugreifen dürfen. Geben Sie einen Private Service Connect-Endpunkt im folgenden Format an: //compute.googleapis.com/projects/PROJECT_ID/global/forwardingRules/FORWARDING_RULE_ID. Dabei ist FORWARDING_RULE_ID die ID der Weiterleitungsregel des Endpunkts.

Informationen zu anderen Attributen von Regeln für ausgehenden Traffic finden Sie in der Referenz zu Regeln für ausgehenden Traffic.

Nachdem Sie die Datei mit Regeln für ausgehenden Traffic mit Private Service Connect-Endpunkten konfiguriert haben, können Sie die Regel verwenden, wenn Sie einen Perimeter erstellen oder aktualisieren.

Führen Sie den folgenden Befehl aus, um die Regel beim Erstellen eines Perimeters zu konfigurieren:

gcloud access-context-manager perimeters create NAME \
--title=TITLE \
--resources=RESOURCES \
--restricted-services=RESTRICTED_SERVICES \
--egress-policies=EGRESS_FILENAME.yaml \
--policy=POLICY_NAME

Ersetzen Sie EGRESS_FILENAME durch den Pfad der Datei mit den Egress-Regeln.

Weitere Informationen finden Sie unter Dienstperimeter erstellen.

Führen Sie den folgenden Befehl aus, um die Regel zu konfigurieren, wenn Sie einen Perimeter aktualisieren:

gcloud access-context-manager perimeters update PERIMETER_ID \
--set-egress-policies=EGRESS_FILENAME.yaml

Ersetzen Sie Folgendes:

  • PERIMETER_ID: Die ID des Dienstperimeters, den Sie aktualisieren möchten.
  • EGRESS_FILENAME: Der Pfad der Datei mit Richtlinien für ausgehenden Traffic.

Weitere Informationen finden Sie unter Richtlinien für ein- und ausgehenden Traffic für einen Dienstperimeter aktualisieren.

Fehlerbehebung bei verweigertem Zugriff

Wenn ein Private Service Connect-Endpunkt einen Zugriffsverweigerung verursacht, werden auf der Seite mit den Ergebnissen der Fehlerbehebung zusätzlich die folgenden Informationen angezeigt:

  • PSC-Weiterleitungsregel-ID:Die Endpunkt-ID der Weiterleitungsregel, die Zugriff angefordert hat.

  • Status der PSC-Weiterleitungsregel:Der Status der Weiterleitungsregel, mit der der Zugriff angefordert wurde.

  • Bereiche für ein- und ausgehenden Traffic:Der Analysetool für Verstöße wertet den Private Service Connect-Endpunkt anhand aller Regeln für ein- und ausgehenden Traffic aus und zeigt die Ergebnisse in den Bereichen Eingehender Traffic und Ausgehender Traffic an.

Weitere Informationen finden Sie unter Zugriffsverweigerung im Tool zur Analyse von Verstößen diagnostizieren.

Beschränkungen

  • Informationen zu den Kontingenten und Limits, die für Private Service Connect-Endpunkte in Dienstperimeter gelten, finden Sie unter Kontingente und Limits.

  • Sie können Private Service Connect-Endpunkte in Ein- und Ausgangsregeln verwenden, um nur auf die unterstützten Dienste zuzugreifen.

  • VPC Service Controls unterstützt nur neu erstellte Private Service Connect-Endpunkte in Regeln für ein- und ausgehenden Traffic. Sie können keine vorhandenen, älteren Private Service Connect-Endpunkte verwenden. Sie müssen neu erstellt werden, damit sie mit VPC Service Controls verwendet werden können.

Nächste Schritte