Recommender を使用して境界を最適化する

VPC Service Controls の Recommender は、境界の構成と過去のトラフィック使用量に基づいて、 Google Cloud のリソースと境界に関する推奨事項と分析情報を提供します。これらの推奨事項を使用すると、手動での検出を最小限に抑えながら、データ漏洩に対する防御ポスチャーと最適な境界構成を強化できます。

各推奨事項には、特定されたリスクに関する分析情報と、推奨事項をサービス境界に適用するための実用的な次のステップが含まれています。

Recommender を使用して、境界でプロジェクトを保護し、VPC アクセス可能なサービス構成を最適化します。詳細については、Recommender のドキュメントをご覧ください。

Recommender が対応する推奨事項と分析情報

次の表に、VPC Service Controls Recommender で検出される内容と対処法を示します。

脆弱性または構成ミスのタイプ 検出された分析情報 推奨される対処方法
引き出しのリスクがある重要なリソース プロジェクト内の機密性の高いサービスがサービス境界によって制限されていない（直接的またはフォルダ メンバーシップを通じて）、リソースが漏洩のリスクにさらされている。この Recommender は、過去のリクエスト数に基づいて、最も使用されている VPC Service Controls でサポートされているサービス（BigQuery、Cloud Storage、Spanner、Bigtable など）を特定します。 特定されたプロジェクトとそのアクティブなサービスを制限する新しいサービス境界を構成するか、プロジェクトを既存のサービス境界に追加します。
構成されていない VPC のアクセス可能なサービス サービス境界に VPC のアクセス可能なサービスが構成されていません。デフォルトでは、サポートされているすべての API は境界内からアクセス可能であるため、境界内のネットワーク エンドポイントからのデータ引き出しのリスクが増加します。 境界で VPC でアクセス可能なサービスの制限を有効にして、ワークロードに必要なサービスのセット（少なくとも RESTRICTED-SERVICES 値を含む）にのみアクセスを制限します。
VPC のアクセス可能なサービスが正しく構成されていない サービス境界には、境界内で抑制または制限されないアクセス可能なサービスが構成されています（制限付きサービスではありません）。この構成では、未承認のトラフィックが境界を越えてアセットが公開されます。 構成ミスを修正するには、次の操作を行います。
  • 制限のないサービスを許可された VPC のアクセス可能なサービスのリストから削除します。
  • 境界の制限付きサービスのリストにサービスを追加して、一貫した保護を確保します。

始める前に

推奨事項を表示または取得する前に、次の操作を行います。

必要なロール

推奨事項を表示または更新するために必要な権限を取得するには、プロジェクト、フォルダ、または組織に対する次の IAM ロールを付与するよう管理者に依頼します。

ロールの付与については、プロジェクト、フォルダ、組織へのアクセス権の管理をご覧ください。

これらの事前定義ロールには、推奨事項の表示または更新に必要な権限が含まれています。必要とされる正確な権限については、「必要な権限」セクションを開いてご確認ください。

必要な権限

推奨事項を表示または更新するには、次の権限が必要です。

  • 推奨事項と分析情報を表示する:
    • recommender.vpcScRecommendations.get
    • recommender.vpcScRecommendations.list
  • 推奨事項の表示、更新、拒否: recommender.vpcScRecommendations.update

カスタムロールや他の事前定義ロールを使用して、これらの権限を取得することもできます。

制限事項

Recommender は毎日推奨事項を更新します。新しい境界を作成するか、未解決の問題を解決すると、Active Assist で推奨事項が更新されるまでに最長で 24 時間かかります。

推奨事項を表示して適用する

プロジェクトと境界のセキュリティに関する推奨事項は、 Google Cloud コンソール、Google Cloud CLI、または Recommender API を使用して表示し、対応できます。

コンソール

  1. Google Cloud コンソールで、[Active Assist] ページに移動します。
    Active Assist に移動

  2. [セキュリティ] でフィルタするか、VPC Service Controls の推奨事項を検索します。

  3. VPC Service Controls の推奨事項カードをクリックして、詳細パネルを開きます。パネルには、基盤となるセキュリティ分析情報、関連するリソース、具体的な手順が表示されます。

  4. パネルの手順に沿って、境界を構成または更新します。

gcloud

Google Cloud CLI を使用して推奨事項を取得するには、gcloud recommender コマンドを実行します。

gcloud recommender recommendations list \
  --recommender=google.accessContextManager.VpcScRecommender \
  --location=global

コマンドライン ツールを使用してメタデータをフィルタリングして処理する方法の詳細については、gcloud recommender CLI リファレンスをご覧ください。

API とエクスポート

大規模な自動化やカスタム レポートには、次のプログラムによる統合を使用できます。

  • Recommender API: 推奨事項をプログラムで取得します。詳細については、Recommender API の使用をご覧ください。
  • BigQuery エクスポート: すべての推奨事項を BigQuery データセットに直接自動的にエクスポートするように設定します。このエクスポートは、カスタム可視化ダッシュボードの作成や、SIEM ツールへのデータのパイプ処理に役立ちます。詳細については、BigQuery への推奨事項のエクスポートをご覧ください。

VPC のアクセス可能なサービスの推奨事項を適用する

Recommender から、境界で許可されているサービスリストが構成されていないか、誤って構成されているというアラートが届いた場合は、Google Cloud CLI を使用して問題を解決できます。

構成されていないアクセス可能なサービスを解決する

VPC のアクセス可能なサービスを有効にして、制限付き API の安全な最小セットで構成するには、次のコマンドを実行します。

gcloud access-context-manager perimeters update PERIMETER_NAME \
  --enable-vpc-accessible-services \
  --add-vpc-allowed-services=RESTRICTED-SERVICES

次のように置き換えます。

  • PERIMETER_NAME: サービス境界の名前。

構成が誤っているアクセス可能なサービスを解決する

アクセス可能なサービスが制限付きサービスのリストと一致しない場合は、次のいずれかの操作を行って構成の誤りを解決します。

  1. アクセス可能なサービスを標準の制限付きサービス リストに制限するには、次のコマンドを実行します。
    gcloud access-context-manager perimeters update PERIMETER_NAME 
    
--clear-vpc-allowed-services 
    
--add-vpc-allowed-services=RESTRICTED-SERVICES
  2. または、アクセス可能なサービスのリストと一致するように、特定のサービス（bigquery.googleapis.com や storage.googleapis.com など）を境界の制限付きリストに追加するには、次のコマンドを実行します。
    gcloud access-context-manager perimeters update PERIMETER_NAME 
    
--add-restricted-services=SERVICE_NAME

次のように置き換えます。

  • PERIMETER_NAME: サービス境界の名前。
  • SERVICE_NAME: サービスの API 識別子名（bigquery.googleapis.com や storage.googleapis.com など）。

次のステップ