Configura Workload Manager per l'utilizzo con i Controlli di servizio VPC

Questa pagina descrive come configurare le regole in entrata e in uscita per eseguire le valutazioni di Workload Manager nei progetti protetti con i Controlli di servizio VPC.

Quando esegui le valutazioni di Workload Manager nei progetti protetti dai Controlli di servizio VPC, devi configurare le regole in entrata e in uscita per il account di servizio collegato all'istanza Compute Engine che esegue l'Agent for Compute Workloads. Queste regole consentono al account di servizio di accedere alle API richieste all'interno del perimetro dei Controlli di servizio VPC. Se non configuri queste regole, l'agente non può inviare dati a Workload Manager e le valutazioni non vanno a buon fine.

Per saperne di più, consulta la panoramica dei Controlli di servizio VPC.

Prima di iniziare

Prima di configurare i Controlli di servizio VPC per il progetto:

1. Configura un perimetro dei Controlli di servizio VPC.
2. Identifica il account di servizio collegato all'istanza Compute Engine che esegue l'Agent for Compute Workloads. Ad esempio, [e-mail]. Puoi trovarlo nella pagina Dettagli istanza VM nella Google Cloud consolle.
3. Verifica che il account di servizio disponga dei ruoli richiesti. Ad esempio, consulta Ruoli richiesti per l'agente e i carichi di lavoro SAP.

Ruoli richiesti

Per ottenere le autorizzazioni necessarie per configurare Workload Manager per l'utilizzo all'interno dei perimetri dei Controlli di servizio VPC, chiedi all'amministratore di concederti ilruolo IAM Editor di Gestore contesto accesso (roles/accesscontextmanager.policyEditor) nel progetto. Per saperne di più sulla concessione dei ruoli, consulta Gestisci l'accesso a progetti, cartelle e organizzazioni.

Potresti anche riuscire a ottenere le autorizzazioni richieste tramite i ruoli personalizzati o altri ruoli predefiniti.

Creare regole in entrata e in uscita per un perimetro di servizio

Per consentire all'Agent for Compute Workloads di comunicare con i servizi richiesti, devi configurare le regole in entrata e in uscita nel perimetro dei Controlli di servizio VPC.

Nota: le regole in uscita sono necessarie solo se il progetto di destinazione (in cui viene eseguito il carico di lavoro) è diverso dal progetto consumer (in cui esegui le valutazioni). Per saperne di più su questi tipi di progetti, consulta Progetti di Workload Manager. Se la configurazione prevede la comunicazione tra progetti, devi configurare le regole in uscita per consentire il traffico richiesto.

Per saperne di più su come creare regole in entrata, consulta Configurazione delle policy in entrata e in uscita.

Console

1. Nella Google Cloud console, vai alla pagina Controlli di servizio VPC.

   Vai a Controlli di servizio VPC

2. Seleziona il progetto.

3. Fai clic sul nome del perimetro di servizio, quindi su Modifica.

4. Fai clic su Policy in entrata o Policy in uscita.

5. Fai clic su Aggiungi una regola in entrata.

6. Nella sezione Da, specifica l'identità del service agent:

   1. In Identità, seleziona Seleziona identità e gruppi.
   2. Fai clic su Aggiungi identità.
   3. Inserisci l'indirizzo email del account di servizio dell'agente. Ad esempio, [e-mail].

7. Nella sezione A, specifica le operazioni consentite:

   1. In Risorse, seleziona Tutti i progetti.
   2. In Operazioni, seleziona Seleziona operazioni.
   3. Fai clic su Aggiungi operazioni, quindi aggiungi i seguenti servizi con Tutti i metodi selezionati:
      • compute.googleapis.com
      • workloadmanager.googleapis.com
      • secretmanager.googleapis.com

8. Fai clic su Fine e poi su Salva.

gcloud

Per aggiungere la regola in entrata, crea un file YAML che la contenga e utilizza il gcloud access-context-manager perimeters update comando con il --set-ingress-policies flag.

1. Crea un file YAML della policy in entrata denominato ingress_policy.yaml con i seguenti contenuti:

   - ingressFrom:
       identities:
        - serviceAccount:SERVICE_ACCOUNT_EMAIL
       sources:
       - accessLevel: '*'
     ingressTo:
       operations:
       - serviceName: compute.googleapis.com
         methodSelectors:
         - method: "*"
       - serviceName: workloadmanager.googleapis.com
         methodSelectors:
         - method: "*"
       - serviceName: secretmanager.googleapis.com
         methodSelectors:
         - method: "*"
       resources:
       - "*"
   

   Sostituisci SERVICE_ACCOUNT_EMAIL con l'indirizzo email del account di servizio collegato all'istanza Compute Engine che esegue l'Agent for Compute Workloads.

2. Aggiungi la policy in entrata al perimetro:

      gcloud access-context-manager perimeters update PERIMETER_NAME \
        --set-ingress-policies=ingress_policy.yaml
   

   Sostituisci PERIMETER_NAME con il nome del perimetro di servizio. Ad esempio, accessPolicies/1234567890/servicePerimeters/example_perimeter.

Risolvere i problemi relativi alle violazioni dei Controlli di servizio VPC

Per visualizzare le violazioni dei Controlli di servizio VPC nel progetto e risolvere i problemi, utilizza Esplora log.

Per saperne di più, consulta Risoluzione dei problemi relativi ai Controlli di servizio VPC.

Passaggi successivi

• Crea ed esegui una valutazione