Configura i Controlli di servizio VPC e i cluster privati

Questa pagina descrive come funzionano i Controlli di servizio VPC e i cluster privati e come configurarli in Cloud Workstations.

Controlli di servizio VPC

I Controlli di servizio VPC aumentano la sicurezza delle tue workstation, contribuendo a mitigare il rischio di esfiltrazione di dati. Utilizzando i Controlli di servizio VPC, puoi aggiungere progetti ai perimetri di servizio che possono contribuire a proteggere risorse e servizi da richieste provenienti dall'esterno del perimetro.

Di seguito sono riportati i requisiti per l'utilizzo di Cloud Workstations in un perimetro di servizio VPC:

• Per proteggere Cloud Workstations, devi limitare l'API Compute Engine nel perimetro di servizio ogni volta che limiti l'API Cloud Workstations.

• Assicurati che l'API Google Cloud Storage e l'API Artifact Registry siano accessibili da VPC nel tuo perimetro di servizio. Questa operazione è necessaria per eseguire il pull delle immagini sulla tua workstation. Ti consigliamo inoltre di consentire l'accesso alle API Cloud Logging e API Error Reporting da VPC nel perimetro di servizio, anche se non è obbligatorio per utilizzare Cloud Workstations.

• Assicurati che il cluster di workstation sia privato. La configurazione di un cluster privato impedisce le connessioni alle workstation dall'esterno del perimetro di servizio VPC. Il servizio Cloud Workstations impedisce la creazione di cluster pubblici in un perimetro di servizio VPC.
• Assicurati di disattivare gli indirizzi IP pubblici nella configurazione della workstation. In caso contrario, nel progetto verranno create VM con indirizzi IP pubblici. Ti consigliamo vivamente di utilizzare il vincolo della policy dell'organizzazione constraints/compute.vmExternalIpAccess per disattivare gli indirizzi IP pubblici per tutte le VM nel perimetro di servizio VPC. Per maggiori dettagli, consulta Limita gli indirizzi IP esterni a VM specifiche.

Nota: il controllo dell'accesso si basa solo sul fatto che la rete privata da cui ti connetti appartenga o meno al perimetro di sicurezza. Il controllo dell'accesso in base al dispositivo, all'indirizzo IP esterno o alla località non è supportato.

Per saperne di più sui perimetri di servizio, consulta Dettagli e configurazione del perimetro di servizio.

Architettura

Quando configuri un cluster di workstation come privato, il control plane del cluster di workstation ha solo un indirizzo IP interno. Ciò significa che i client della rete internet pubblica non possono connettersi alle workstation appartenenti al cluster di workstation. Per utilizzare un cluster privato, devi connetterlo manualmente alla tua rete Virtual Private Cloud (VPC) tramite un endpoint Private Service Connect.

Le configurazioni con cluster privati richiedono due endpoint PSC:

• Per impostazione predefinita, Cloud Workstations crea un endpoint PSC separato per connettere il control plane alle VM delle workstation.

• Devi creare un endpoint PSC aggiuntivo per i cluster privati. Per connetterti dalla tua macchina locale a una workstation in un cluster privato, la macchina locale deve essere connessa alla tua rete VPC. Utilizza Cloud VPN o Cloud Interconnect per connettere la rete esterna in cui esegui la macchina alla rete VPC. Questo endpoint PSC aggiuntivo deve essere creato nella stessa rete a cui si connette la tua rete esterna con Cloud VPN o Cloud Interconnect.

Il seguente diagramma illustra un'architettura di esempio di un cluster privato:

Figura 1. Cluster privati

Prima di iniziare

Prima di iniziare, assicurati di completare i seguenti passaggi di configurazione obbligatori:

Accedi al tuo account Google Cloud . Se non conosci Google Cloud, crea un account per valutare le prestazioni dei nostri prodotti in scenari reali. I nuovi clienti ricevono anche 300 $di crediti senza costi per l'esecuzione, il test e il deployment di workload.

In the Google Cloud console, on the project selector page, select or create a Google Cloud project.

Roles required to select or create a project

• Select a project: Selecting a project doesn't require a specific IAM role—you can select any project that you've been granted a role on.
• Create a project: To create a project, you need the Project Creator role (roles/resourcemanager.projectCreator), which contains the resourcemanager.projects.create permission. Learn how to grant roles.

Note: If you don't plan to keep the resources that you create in this procedure, create a project instead of selecting an existing project. After you finish these steps, you can delete the project, removing all resources associated with the project.

Go to project selector

Verify that billing is enabled for your Google Cloud project.

In the Google Cloud console, on the project selector page, select or create a Google Cloud project.

Roles required to select or create a project

• Select a project: Selecting a project doesn't require a specific IAM role—you can select any project that you've been granted a role on.
• Create a project: To create a project, you need the Project Creator role (roles/resourcemanager.projectCreator), which contains the resourcemanager.projects.create permission. Learn how to grant roles.

Note: If you don't plan to keep the resources that you create in this procedure, create a project instead of selecting an existing project. After you finish these steps, you can delete the project, removing all resources associated with the project.

Go to project selector

Verify that billing is enabled for your Google Cloud project.

1. Abilita l'API Cloud Workstations, se non è già abilitata.

   Ruoli richiesti per abilitare le API

   Per abilitare le API, devi disporre dell'autorizzazione serviceusage.services.enable. Se hai creato il progetto, probabilmente hai già questa autorizzazione tramite il ruolo Proprietario (roles/owner). In caso contrario, puoi ottenere questa autorizzazione tramite il ruolo Amministratore Service Usage (roles/serviceusage.serviceUsageAdmin). Scopri come concedere i ruoli.

   Abilitare l'API

2. Assicurati di disporre di un ruolo IAM Amministratore Cloud Workstations nel progetto per poter creare configurazioni delle workstation. Per controllare i tuoi ruoli IAM nella console Google Cloud , vai alla pagina IAM:

   Vai a IAM

3. Le workstation Cloud Workstations sono ospitate su VM avviate dalle immagini pubbliche preconfigurate di Container-Optimized OS (COS) di Compute Engine. Se viene applicato il vincolo della policy dell'organizzazione constraints/compute.trustedimageProjects, devi impostare i vincoli di accesso alle immagini per consentire agli utenti di creare dischi di avvio da projects/cos-cloud o da tutte le immagini pubbliche.
4. Cloud Workstations utilizza Private Service Connect per connettersi ai servizi gestiti da Google. Se nella tua organizzazione è applicato il vincolo della policy dell'organizzazione constraints/compute.restrictPrivateServiceConnectProducer, devi aggiungere Google come producer consentito (under:organizations/433637338589).
5. Se nella tua organizzazione viene applicato il vincolo della policy dell'organizzazione constraints/compute.disablePrivateServiceConnectCreationForConsumers, devi assicurarti che gli endpoint Private Service Connect che si connettono alle API di Google (GOOGLE_APIS) siano consentiti. Se configuri cluster privati, devi consentire anche gli endpoint che si connettono ai servizi pubblicati (SERVICE_PRODUCERS).
6. (Facoltativo) Abilita l'API Container File System per consentire un avvio più rapido della workstation.

   Abilita l'API Container File System

   Per ulteriori informazioni, consulta Riduci il tempo di avvio della workstation con Image Streaming.

Creare un cluster privato

Per creare un cluster privato, segui questi passaggi:

1. Nella console Google Cloud , vai alla pagina Cloud Workstations.

   Vai a Cloud Workstations

2. Vai alla pagina Gestione dei cluster della workstation.

3. Fai clic su Crea.

4. Inserisci il Nome e seleziona una Regione per il cluster di workstation.

5. Nella sezione Networking, seleziona Reti in questo progetto.

6. Seleziona una Rete e una Subnet.

7. In Tipo di gateway, seleziona Gateway privato.

8. (Facoltativo) Specifica uno o più progetti aggiuntivi che ospitano l'endpoint Private Service Connect che consente l'accesso HTTP al tuo cluster privato. Per impostazione predefinita, questo endpoint può essere creato solo nel progetto del cluster di workstation e nel progetto host della rete VPC (se diverso). Se necessario, questi progetti possono essere specificati anche dopo la creazione del cluster.

9. Fai clic su Crea. Durante la creazione del cluster, lo stato visualizzato è In aggiornamento.

   La creazione di un cluster richiede alcuni minuti. Al termine della creazione del cluster, lo stato del cluster potrebbe essere visualizzato come Danneggiato. Dopo aver completato i passaggi della sezione Crea un endpoint PSC, lo stato del cluster cambierà in Pronto entro alcuni minuti.

Abilita la connettività del cluster privato

I client non possono connettersi alle workstation nei cluster di workstation private da internet pubblico. I client devono trovarsi su una rete che si connette al cluster di workstation utilizzando Private Service Connect (PSC). Segui i passaggi descritti in questa sezione per connetterti a una workstation:

1. Crea un endpoint PSC che ha come target il collegamento al servizio della workstation.

2. Crea una zona DNS privata.

3. Utilizza Cloud DNS per creare un record DNS che mappa il nome host del cluster all'endpoint PSC.

Crea un endpoint Private Service Connect

Nota: per impostazione predefinita, l'endpoint PSC e la zona DNS possono essere creati solo nel progetto del cluster di workstation e nel progetto host della rete VPC (se diverso). Se vuoi creare queste risorse in un progetto diverso, aggiorna il campo privateClusterConfig.allowedProjects nel cluster di workstation utilizzando l'API o l'interfaccia utente di Workstations per includere il progetto.

Per creare un endpoint PSC, segui questi passaggi:

1. Nella console Google Cloud , vai a Private Service Connect.

   Vai a Private Service Connect

2. Fai clic sulla scheda Endpoint connessi e poi su addConnetti endpoint.

3. In Destinazione, seleziona Servizio pubblicato.

4. Nel campo Servizio di destinazione, inserisci l'URI del collegamento al servizio creato per il cluster di workstation. Per trovarlo, vai al cluster di workstation nella console e cerca il campo URI del collegamento al servizio in Impostazioni della rete.

5. Nel campo Endpoint, inserisci un nome per l'endpoint.

6. Seleziona una Rete per l'endpoint e poi una Subnet. Questa rete deve essere quella che vuoi utilizzare per connetterti alle tue workstation e deve essere la stessa rete a cui si connette la tua rete esterna con Cloud VPN o Cloud Interconnect.

7. Seleziona un indirizzo IP per l'endpoint.

   Se hai bisogno di un nuovo indirizzo IP, seleziona Crea indirizzo IP:

   1. Inserisci un nome e una descrizione (facoltativa) per l'indirizzo IP.
   2. Per un indirizzo IP statico, seleziona Assegna automaticamente. Per un Indirizzo IP personalizzato, seleziona Fammi scegliere e inserisci l'indirizzo IP che vuoi utilizzare.
   3. In Scopo, seleziona Non condiviso.
   4. Fai clic su Prenota.

8. Seleziona uno Spazio dei nomi dall'elenco a discesa o creane uno nuovo. La Regione viene compilata in base alla subnet selezionata.

9. Fai clic su Aggiungi endpoint.

10. Copia l'indirizzo IP dell'endpoint in modo da poterlo utilizzare nella sezione successiva per creare una zona DNS privata e un record DNS.

Crea una zona DNS privata

Segui questi passaggi per creare una zona DNS privata per questo cluster di workstation con il nome DNS impostato su clusterHostname, che puoi trovare accedendo al cluster di workstation nella console.

1. Nella console Google Cloud , vai alla pagina Crea una zona DNS.

   Vai a Crea una zona DNS

2. Per Tipo di zona, seleziona Privata.

3. Inserisci un Nome zona, ad esempio private-workstations-cluster-zone.

4. Inserisci un suffisso per il nome DNS della zona privata. Tutti i record nella zona condividono questo suffisso. Imposta questo nome sul tuo clusterHostname.

   Per trovare il tuo clusterHostname, vai alla pagina Cloud Workstations  > Gestione dei cluster nella console Google Cloud , quindi fai clic sul cluster di workstation per visualizzare il nome host.

5. (Facoltativo) Aggiungi una descrizione.

6. In Opzioni, seleziona Predefinita (privata).

7. Seleziona la rete su cui hai creato l'endpoint PSC nella sezione precedente, perché l'indirizzo IP è valido solo su quella rete.

8. Fai clic su Crea.

Per saperne di più sulle zone DNS private, consulta la documentazione di Cloud DNS su come creare una zona privata e sulle best practice per le zone private di Cloud DNS.

Crea un record DNS

Per aggiungere un record che mappa *.<clusterHostname> all'indirizzo IP riservato quando hai creato l'endpoint Private Service Connect, segui questi passaggi:

1. Nella console Google Cloud , vai alla pagina delle zone Cloud DNS.

   Vai alle zone Cloud DNS

2. Fai clic sul nome della zona gestita a cui vuoi aggiungere il record.

3. Nella pagina Dettagli zona, fai clic su Aggiungi standard.

4. Nella pagina Crea set di record, nel campo Nome DNS, inserisci *.<clusterHostname>.

5. Nel campo Indirizzo IP, inserisci l'indirizzo IP che hai prenotato per l'endpoint Private Service Connect nella sezione precedente.

6. Fai clic su Crea.

7. La tua rete VPC dovrebbe ora essere connessa al cluster di workstation e puoi connetterti alle workstation utilizzando questa rete.

Abilita la risoluzione DNS on-premise

Per utilizzare l'editor basato su browser predefinito sulla tua workstation, utilizza un browser da una macchina connessa alla rete VPC. Puoi utilizzare Cloud VPN o Cloud Interconnect per connetterti dalla rete esterna in cui esegui il browser alla rete VPC.

Per connetterti da una rete esterna, devi configurare il DNS nella rete esterna. Analogamente ai passaggi precedenti, puoi creare una zona DNS per clusterHostname e aggiungere un record che mappa *.<clusterHostname> all'indirizzo IP riservato quando hai creato l'endpoint Private Service Connect. In alternativa, puoi configurare zone di forwarding DNS o policy dei server DNS per consentire le ricerche di nomi DNS tra l'ambiente on-premise e quello Google Cloud .

Potresti anche dover aggiungere *cloudworkstations.dev alla lista consentita della tua infrastruttura on-premise.

Configura i Controlli di servizio VPC per lo streaming di immagini

Se abiliti facoltativamente lo streaming di immagini per ridurre i tempi di avvio delle workstation e il cluster di workstation si trova all'interno di un perimetro dei Controlli di servizio VPC, devi configurare quanto segue nella policy del perimetro:

• Includi l'API Container File System (containerfilesystem.googleapis.com) nei servizi limitati del perimetro di servizio.
• Aggiungi una regola in uscita nel perimetro di servizio che consenta al account di servizio specificato nella configurazione della workstation di accedere all'API Container File System nel progetto che ospita le immagini container.
• Se utilizzi un IDE preconfigurato, devi anche configurare la regola in uscita per consentire l'accesso al progetto cloud-workstations-images (numero di progetto 662288601415).

Passaggi successivi

• Configura l'accesso al VPC condiviso
• Risolvi i problemi comuni relativi ai VPC