איך מאבטחים את Cloud Workstations API באמצעות Chrome Enterprise Premium

סקירה כללית

‫Chrome Enterprise Premium הוא פתרון שלGoogle Cloudשמבוסס על מודל אבטחה של אפס אמון. הוא מאפשר לעובדי הארגון לגשת לאפליקציות אינטרנט באופן מאובטח מכל מקום, בלי צורך ב-VPN, ועוזר למנוע תוכנות זדוניות, פישינג ואובדן נתונים.

בעזרת Google Chrome, משתמשי Chrome Enterprise Premium יכולים לגשת לאפליקציות מכל מכשיר. אנחנו מרחיבים את היכולות של Chrome Enterprise Premium כדי לטפל בכמה אתגרי אבטחה מרכזיים בסביבת הפיתוח. באמצעות בקרת גישה מבוססת-הקשר למסוףGoogle Cloud ולממשקי API,‏ Chrome Enterprise Premium מאפשר אבטחה נוספת ל-Cloud Workstations API.

בטבלה הבאה מפורט אם Chrome Enterprise Premium תומך בבקרת גישה מבוססת-הקשר בשיטת הגישה שצוינה ל-Cloud Workstations.

  • סימן הווי מציין ש-Chrome Enterprise Premium מגביל את שיטת הגישה הזו ל-Cloud Workstations.
  • הסמל מציין ש-Chrome Enterprise Premium לא מגביל את שיטת הגישה הזו ל-Cloud Workstations.

מטרות

במסמך הזה מוסבר איך אדמינים יכולים להגדיר בקרת גישה של Chrome Enterprise Premium ל-Cloud Workstations API, ואיך לספק מנגנונים נוספים שעוזרים למנוע זליגת קוד מקור מסביבות פיתוח משולבות (IDE) של Cloud Workstations שמבוססות על דפדפן.

עלויות

במסגרת המדריך הזה, יכול להיות שתצטרכו לערב צוותים אחרים (לחיוב או ל-IAM) וגם לבדוק את בקרת הגישה כדי להדגים שמעקות הבטיחות של Chrome Enterprise Premium פועלים.

במסמך הזה משתמשים ברכיבים הבאים של Google Cloud, והשימוש בהם כרוך בתשלום:

בעזרת מחשבון העלויות אתם יכולים להעריך את העלויות בהתאם לשימוש הצפוי.

משתמשים חדשים של Google Cloud ? יכול להיות שאתם זכאים לתקופת ניסיון בחינם.

כשמסיימים את המשימות שמתוארות במסמך הזה אפשר למחוק את המשאבים שיצרתם כדי להימנע מחיובים נוספים. מידע נוסף זמין בקטע הסרת המשאבים.

לפני שמתחילים

  1. נכנסים לחשבון Google Cloud . אנחנו ממליצים למשתמשים חדשים ב- Google Cloud ליצור חשבון כדי שיוכלו להעריך את הביצועים של המוצרים שלנו בתרחישים מהעולם האמיתי. לקוחות חדשים מקבלים בחינם גם קרדיט בשווי 300$ להרצה, לבדיקה ולפריסה של עומסי העבודה.

  2. In the Google Cloud console, on the project selector page, select or create a Google Cloud project.

    Roles required to select or create a project

    • Select a project: Selecting a project doesn't require a specific IAM role—you can select any project that you've been granted a role on.
    • Create a project: To create a project, you need the Project Creator role (roles/resourcemanager.projectCreator), which contains the resourcemanager.projects.create permission. Learn how to grant roles.

    Go to project selector

  3. Verify that billing is enabled for your Google Cloud project.

  4. Enable the Workstations API, if it is not already enabled.

    Roles required to enable APIs

    To enable APIs, you need the serviceusage.services.enable permission. If you created the project, then you likely already have this permission through the Owner role (roles/owner). Otherwise, you can get this permission through the Service Usage Admin role (roles/serviceusage.serviceUsageAdmin). Learn how to grant roles.

    Enable the API

  5. Make sure that you have the following role or roles on the project: Cloud Workstations > Cloud Workstations Admin.

    Check for the roles

    1. In the Google Cloud console, go to the IAM page.

      Go to IAM
    2. Select the project.

    3. In the Principal column, find all rows that identify you or a group that you're included in. To learn which groups you're included in, contact your administrator.

    4. For all rows that specify or include you, check the Role column to see whether the list of roles includes the required roles.

    Grant the roles

    1. In the Google Cloud console, go to the IAM page.

      Go to IAM
    2. Select the project.
    3. Click Grant access.

    4. In the New principals field, enter your user identifier. This is typically the email address for a Google Account.

    5. Click Select a role, then search for the role.
    6. To grant additional roles, click Add another role and add each additional role.
    7. Click Save.

  6. In the Google Cloud console, on the project selector page, select or create a Google Cloud project.

    Roles required to select or create a project

    • Select a project: Selecting a project doesn't require a specific IAM role—you can select any project that you've been granted a role on.
    • Create a project: To create a project, you need the Project Creator role (roles/resourcemanager.projectCreator), which contains the resourcemanager.projects.create permission. Learn how to grant roles.

    Go to project selector

  7. Verify that billing is enabled for your Google Cloud project.

  8. Enable the Workstations API, if it is not already enabled.

    Roles required to enable APIs

    To enable APIs, you need the serviceusage.services.enable permission. If you created the project, then you likely already have this permission through the Owner role (roles/owner). Otherwise, you can get this permission through the Service Usage Admin role (roles/serviceusage.serviceUsageAdmin). Learn how to grant roles.

    Enable the API

  9. Make sure that you have the following role or roles on the project: Cloud Workstations > Cloud Workstations Admin.

    Check for the roles

    1. In the Google Cloud console, go to the IAM page.

      Go to IAM
    2. Select the project.

    3. In the Principal column, find all rows that identify you or a group that you're included in. To learn which groups you're included in, contact your administrator.

    4. For all rows that specify or include you, check the Role column to see whether the list of roles includes the required roles.

    Grant the roles

    1. In the Google Cloud console, go to the IAM page.

      Go to IAM
    2. Select the project.
    3. Click Grant access.

    4. In the New principals field, enter your user identifier. This is typically the email address for a Google Account.

    5. Click Select a role, then search for the role.
    6. To grant additional roles, click Add another role and add each additional role.
    7. Click Save.

  10. חשוב לוודא שהקציתם רישיון Chrome Enterprise Premium Standard לכל אחד מהמשתמשים. אמצעי בקרת הגישה נאכפים רק על משתמשים עם רישיון. מידע נוסף זמין במאמר הקצאה, הסרה והקצאה מחדש של רישיונות.

חלק 1: הגדרת Chrome Enterprise Premium ל-Cloud Workstations

בקטע הזה מוסבר איך לאבטח את בקרת הגישה מבוססת-ההקשר ל-Cloud Workstations API:

  1. הגדרת Cloud Workstations
  2. יוצרים משתמש לדוגמה וקבוצה לדוגמה.
  3. יצירת רמת גישה ב-Access Context Manager.
  4. הפעלת CAA ב-Chrome Enterprise Premium.
  5. הוספת קבוצות Google נדרשות עם רמות גישה.
  6. בדיקת הגישה של המפתחים ל-Cloud Workstations.

הגדרת Cloud Workstations

כדי לשלב את Chrome Enterprise Premium, אשכול Cloud Workstations צריך להשתמש בשרת proxy לאימות זהויות (IAP). אם כבר הגדרתם את המשאבים האלה, אתם יכולים לדלג על הקטע הזה.

כדי להגדיר את Cloud Workstations:

  1. יצירת אשכול של תחנות עבודה עם דומיין בהתאמה אישית.
  2. מפעילים את IAP.
  3. יוצרים הגדרה של תחנת עבודה באשכול.

אם אתם משתמשים חדשים ב-Cloud Workstations, כדאי לקרוא את הסקירה הכללית ואת הארכיטקטורה.

יצירת משתמש וקבוצה לדוגמה

במסוף Admin ב-Google Workspace, יוצרים משתמש לדוגמה וקבוצת משתמשים חדשה. כשמפעילים את בקרת הגישה מבוססת-ההקשר (CAA) למסוףGoogle Cloud , היא חלה על כל המשתמשים וקבוצות Google כי זו הגדרה גלובלית.

  1. נכנסים למסוף Admin ב-Google Workspace באמצעות חשבון האדמין: תפריט > ספרייה > משתמשים > הוספת משתמש חדש.

  2. יוצרים משתמש לדוגמה: demo-user@<domain>.

  3. נכנסים למסוףGoogle Cloud ועוברים אל תפריט > IAM & Admin > Groups.

  4. יוצרים קבוצת IAM לגישה ל-Cloud Workstations, נותנים לה את השם Cloud Workstations Users ומקצים לה את משתמש ההדגמה שנוצר קודם, demo-user@<domain>.

  5. לוחצים על Save.

  6. יוצרים גם קבוצת משתמשים עם הרשאת אדמין ב-IAM וקוראים לה Cloud Admin Users. מקצים את מנהלי הפרויקטים ומנהלי החשבונות הארגוניים לקבוצה הזו.

  7. מוסיפים את משתמש ההדגמה, demo-user@<domain>, לקבוצת המשתמשים של Cloud Workstations שיצרתם:

    1. במסוףGoogle Cloud , נכנסים לדף Cloud Workstations > Workstations.
    2. בוחרים את תחנת העבודה ולוחצים על more_vertMore > Add Users.
    3. בוחרים את המשתמש לדוגמה, demo-user@<domain> ובוחרים באפשרות Cloud Workstations User בתור Role.
    4. כדי לתת למשתמש הדמו גישה לתחנת העבודה, בוחרים באפשרות demo-user@<domain>, בוחרים באפשרות Cloud Workstations Users בתור Role ולוחצים על Save.

יצירה של רמת גישה

חוזרים למסוף Google Cloud כדי ליצור רמת גישה ב-Access Context Manager.

כדי לבדוק את הגישה, פועלים לפי ההוראות הבאות:

  1. במסוףGoogle Cloud , נכנסים אל אבטחה > Access Context Manager כדי להגדיר מדיניות למכשירים בניהול הארגון.

  2. לוחצים על יצירת רמת גישה וממלאים את השדות הבאים:

    1. בשדה Access level title, מזינים corpManagedDevice.
    2. בוחרים באפשרות מצב בסיסי.
    3. בקטע תנאים, בוחרים באפשרות True כדי להפעיל את התנאי.
    4. לוחצים על + מדיניות המכשיר כדי להרחיב את האפשרויות ומסמנים את התיבה נדרש מכשיר בבעלות החברה.
    5. לוחצים על Save כדי לשמור את מדיניות הגישה.

הפעלת CAA של Chrome Enterprise Premium במסוף Google Cloud

כדי להקצות אמצעי בקרה לגישה מבוססת-הקשר (CAA) לתחנות עבודה, קודם צריך להפעיל את CAA במסוף Google Cloud :

  1. במסוףGoogle Cloud , נכנסים לדף Security > BeyondCorp Enterprise.

  2. לוחצים על ניהול הגישה למסוף Google Cloud ול-API. הפעולה הזו תעביר אתכם לדף Organization level ב-Chrome Enterprise Premium.

  3. בקטע Secure Google Cloud console & APIs, לוחצים על Enable.

הוספת קבוצות Google נדרשות עם רמות גישה

מוסיפים את קבוצות האדמינים הנדרשות עם החברים הרלוונטיים ומדיניות הגישה הנכונה.

המסוף

  1. יוצרים מדיניות גישה לאדמינים בשם CloudAdminAccess, ומגדירים את המיקום לאזורים שבהם האדמינים עובדים. כך האדמינים יכולים לגשת למשאבים גם אם מדיניות אחרת חוסמת אותם.

  2. יוצרים קבוצת IAM עם גישת אדמין בקטע IAM & Admin > Groups.

    1. בוחרים את הארגון.
    2. יוצרים קבוצה ונותנים לה את השם Cloud Admin Users.
    3. הקצו את עצמכם ואת כל האדמינים האחרים לקבוצה הזו.
    4. לוחצים על Save.

  3. עוברים אל אבטחה > Chrome Enterprise Premium. לוחצים על ניהול הגישה ובודקים את רשימת הקבוצות ורמות הגישה שמופיעות.

  4. לוחצים על Add principals to Google Cloud console & APIs.

    1. בקטע קבוצות Google, בוחרים באפשרות משתמשים עם הרשאת אדמין ב-Cloud. זוהי קבוצת Google שבחרתם בשלב הקודם.
    2. בוחרים באפשרות CloudAdminAccess, רמת הגישה שיצרתם לגישת אדמין.
    3. לוחצים על Save.

‫gcloud ו-API

כדי להפעיל הרצה לניסיון, פועלים לפי המדריך להרצה לניסיון ב-Chrome Enterprise Premium.

הקצאת רמת גישה לקבוצת משתמשים ב-Cloud Workstations

כדי להקצות את רמת הגישה לקבוצת המשתמשים של Cloud Workstations:

  1. עוברים אל אבטחה > Chrome Enterprise Premium ולוחצים על ניהול הגישה.

  2. בודקים את רשימת הקבוצות ורמות הגישה שמופיעה.

  3. לוחצים על Add principals to Google Cloud console & APIs.

    1. ב-קבוצות Google, בוחרים באפשרות Cloud Workstations Users. זו קבוצה ב-Google שבחרתם בשלב הקודם.
    2. בוחרים את רמת הגישה שיצרתם קודם, corpManagedDevice.
    3. לוחצים על Save.

בדיקת הגישה של המפתחים ל-Cloud Workstations

לבדוק את גישת המפתחים ל-Cloud Workstations API מכמה נקודות כניסה. במכשיר בבעלות החברה, ודאו שלמפתחים יש גישה ל-API של תחנת העבודה.

  • בודקים שהגישה ל-API של תחנת העבודה ממכשיר לא מנוהל חסומה:

    ‫Chrome Enterprise Premium חוסם משתמשים שמנסים לגשת ל-Cloud Workstations API. כשמשתמשים מנסים להיכנס, מופיעה הודעת שגיאה שמודיעה להם שאין להם גישה או שהם צריכים לבדוק את החיבור לרשת ואת הגדרות הדפדפן.

  • בודקים שהגישה ל-Workstations API ממכשיר בבעלות החברה מופעלת:

    מפתחים עם גישה ל-Chrome Enterprise Premium ול-Cloud Workstations אמורים להיות מסוגלים ליצור את תחנת העבודה שלהם ואז להפעיל אותה.

חלק 2: הגדרת יכולות DLP ב-Chrome Enterprise Premium

בקטע הזה מוסבר איך להשתמש ב-BeyondCorp Threat and Data Protection כדי לשלב תכונות של מניעת אובדן נתונים (DLP). כך אפשר למנוע זליגה של קוד מקור מעורך הבסיס של Cloud Workstations‏ (Code OSS for Cloud Workstations) שמבוסס על Chrome.

כדי להגדיר את יכולות ה-DLP של Chrome Enterprise Premium שיעזרו למנוע הורדה של קוד מקור:

  1. הפעלת הגנה מפני איומים והגנה על נתונים.
  2. יצירת כלל DLP ב-BeyondCorp
  3. בודקים את ההגדרות ויוצרים את הכלל.
  4. בודקים את כלל ה-DLP.

הפעלת הגנה מפני איומים והגנה על נתונים

כדי להפעיל את ההגנה על נתונים והגנה מפני איומים דרך מסוף Google Workspace Admin:

  1. עוברים אל מכשירים > Chrome > הגדרות > משתמשים ודפדפנים.

  2. אחרי שבוחרים את מזהה היחידה הארגונית (OU ID), לוחצים על חיפוש או הוספת מסנן בקטע הגדרות משתמש והגדרות הדפדפן ובוחרים את סוג המשנה קטגוריה.

  3. מחפשים את Chrome Enterprise Connector בסוג המשנה Category.

  4. בקטע ניתוח תוכן של הורדות, בוחרים באפשרות Google BeyondCorp Enterprise.

  5. מרחיבים את הקטע הגדרות נוספות.

    1. בוחרים באפשרות עיכוב הגישה לקובץ עד להשלמת הניתוח.
    2. בקטע בדיקת נתונים רגישים > מצב, בוחרים באפשרות מופעל כברירת מחדל, מלבד תבנית ה-URL הבאה.

  6. לוחצים על שמירה כדי לשמור את ההגדרה.

יצירת כלל DLP ב-Chrome Enterprise Premium

כדי ליצור כלל DLP, מבצעים את השלבים הבאים:

  1. במסוף Google Workspace Admin, לוחצים על אבטחה > שליטה בגישה ובנתונים > הגנה על נתונים > ניהול הכללים.

  2. כדי ליצור כלל חדש, לוחצים על הוספת כלל ואז על כלל חדש. ייפתח הדף Name and scope.

  3. בקטע שם, מזינים שם ותיאור. לדוגמה, בשדה Name מזינים CloudWorkstations-DLP-Rule1 ובשדה Description מזינים Cloud Workstations Data Loss Prevention Rule 1.

  4. בקטע היקף, קובעים את ההגדרות הבאות:

    1. בוחרים באפשרות יחידות ארגוניות או קבוצות.
    2. לוחצים על הכללת יחידות ארגוניות ובוחרים את הארגון.
    3. לוחצים על Continue.

  5. בקטע אפליקציות, קובעים את ההגדרות הבאות:

    1. באפשרויות של Chrome, בוחרים באפשרויות הקובץ הועלה והקובץ הורד.
    2. לוחצים על Continue.

  6. בדף Conditions, קובעים את ההגדרות הבאות:

    1. לוחצים על הוספת תנאי כדי ליצור תנאי חדש.
    2. לוחצים על כל התוכן.
    3. בוחרים באפשרות התאמה לסוג מוגדר מראש של נתונים (מומלץ).
    4. בקטע בחירת סוג הנתונים, בוחרים באפשרות מסמכים – קובץ קוד מקור.
    5. בשדה Likelihood threshold, בוחרים באפשרות High.
    6. בשדה מספר מינימלי של התאמות ייחודיות, מזינים 1.
    7. בשדה מספר מינימלי של התאמות, מזינים 1.
    8. לוחצים על Continue.

  7. בדף Actions, קובעים את ההגדרות הבאות:

    1. באפשרויות של פעולות, בוחרים באפשרות Chrome > חסימת תוכן.
    2. באפשרויות Alerting, מגדירים את הפרטים הבאים:
      • בשדה Severity, בוחרים באפשרות Medium.
      • בוחרים באפשרות שליחה למרכז ההתראות.
    3. לוחצים על Continue.

בדיקת ההגדרות ויצירת הכלל

בדף Review, בודקים את ההגדרות שקבעתם בדפים הקודמים:

  1. מוודאים שההגדרות נכונות.
  2. כדי להמשיך, לוחצים על יצירה.
  3. בדף הבא, מוודאים שהאפשרות פעיל מסומנת.
  4. כדי לסיים את יצירת הכלל, לוחצים על סיום.

בדיקת כלל ה-DLP

אחרי שמוסיפים את כלל ה-DLP, אפשר לבדוק אותו ב-Cloud Workstations ב-Chrome:

  1. בכרטיסייה חדשה ב-Chrome, מזינים את הכתובת chrome://policy ולוחצים על טעינה מחדש של כללי המדיניות כדי לוודא שהמדיניות של Chrome מעודכנת.

  2. גוללים למטה כדי לוודא שמוצגת רשימה של כללי מדיניות. אם אתם רואים את המדיניות, סימן שהיא הורדה בהצלחה. במקרה כזה, חפשו את המדיניות OnFileDownloadEnterpriseConnector.

  3. נכנסים לGoogle Cloud מסוף ויוצרים הגדרה של Cloud Workstations.

    כשיוצרים את הגדרת סביבת העבודה, חשוב לבחור באפשרות Code editors on base images ואז לבחור בקובץ האימג' הבסיסי שהוגדר מראש Base Editor (Code OSS for Cloud Workstations).

  4. יצירת תחנת עבודה.

  5. הפעלה והשקה של תחנת העבודה.

  6. נכנסים לכתובת ה-URL של Code OSS for Cloud Workstations שמופיעה אחרי שמפעילים את תחנת העבודה ומתחברים ליציאה 80.

  7. משכפלים מאגר באמצעות האפשרות Clone Git Repository ב-IDE. אחרי שהמאגר משוכפל, נסו להוריד קובץ עם קוד מקור.

    כדי להוריד קבצים בתצוגת Explorer של Code OSS for Cloud Workstations, אפשר להשתמש בכל אחת מהשיטות הבאות:

    • גוררים קבצים מהתצוגה של סייר הקבצים.

    • עוברים לקבצים ולספריות שרוצים להשתמש בהם, לוחצים לחיצה ימנית ובוחרים באפשרות Download.

  8. מדיניות ה-DLP נכנסת לתוקף בזמן ההורדה. אם מופיעה הודעה על חסימת הורדה בגלל שהיא לא עומדת בדרישות המדיניות של הארגון:

כל הכבוד! הצלחת למנוע הורדה של קובצי קוד מקור.

הסרת המשאבים

כדי להימנע מצבירת חיובים בחשבון Google Cloud על המשאבים שבהם השתמשתם במדריך הזה, אתם יכולים למחוק את הפרויקט שמכיל את המשאבים, או להשאיר את הפרויקט ולמחוק את המשאבים הנפרדים. מידע נוסף זמין במאמר מחיקת משאבים.

המאמרים הבאים