從已授權的網路移除廣泛的公開 IP 範圍，提升執行個體安全性

本頁面說明如何查看及實施建議，瞭解何時應從授權網路中移除 0.0.0.0/0 的 IP 位址範圍。授權網路中含有 0.0.0.0/0 的執行個體會接受來自所有網際網路 IP 的連線。這項建議工具稱為「移除廣泛公開存取權」。

這項建議工具每天都會主動偵測公開 IP 位址範圍廣泛的執行個體，並提供洞察資料和建議，協助您提升執行個體安全性。您可以使用 Google Cloud 控制台、gcloud CLI 或 Recommender API，查看執行個體的洞察和詳細建議。這些執行個體已啟用公開 IP 位址範圍，且容易受到安全漏洞影響。

事前準備

請務必啟用 Recommender API。

必要角色和權限

如要取得查看及使用洞察和建議的權限，請確認您具備必要的 Identity and Access Management (IAM) 角色。

Tasks 角色
查看建議 recommender.cloudsqlViewer 或 cloudsql.admin。
套用建議 cloudsql.editor 或 cloudsql.admin。
如要進一步瞭解 IAM 角色，請參閱「IAM 基本和預先定義的角色參考資料」和「管理專案、資料夾和組織的存取權」。

列出建議

如要列出建議，請按照下列步驟操作：

控制台

如要列出執行個體安全性的建議，請按照下列步驟操作：

  1. 前往「Cloud SQL 執行個體」頁面。

    前往「Cloud SQL Instances」(Cloud SQL 執行個體) 頁面

  2. 查看執行個體表格中的「Issues」(問題) 欄。

或者，請按照下列步驟操作：

  1. 前往「Active Assist」。

    前往「Active Assist」頁面

    詳情請參閱「探索建議」。

  2. 在「所有建議」資訊卡中，按一下「安全性」。

gcloud

執行 gcloud recommender recommendations list 指令，如下所示：

gcloud recommender recommendations list \
--project=PROJECT_ID \
--location=LOCATION \
--recommender=google.cloudsql.instance.SecurityRecommender \
--filter=recommenderSubtype=REMOVE_BROAD_PUBLIC_IP_RANGE

更改下列內容：

  • PROJECT_ID：專案 ID。
  • LOCATION：執行個體所在的區域，例如 us-central1。

API

呼叫 recommendations.list 方法，如下所示：

GET https://recommender.googleapis.com/v1beta1/projects/PROJECT_ID/locations/LOCATION/recommenders/google.cloudsql.instance.SecurityRecommender/recommendations?filter=recommenderSubtype=REMOVE_BROAD_PUBLIC_IP_RANGE

更改下列內容：

  • PROJECT_ID：專案 ID。
  • LOCATION：執行個體所在的區域，例如 us-central1。

查看洞察資料和詳細建議

如要查看洞察資料和詳細建議，請按照下列步驟操作：

控制台

列出建議後，請點選其中一項。建議面板隨即顯示，其中包含洞察資料和詳細建議。

gcloud

執行 gcloud recommender insights list 指令，如下所示：


gcloud recommender insights list \
--project=PROJECT_ID \
--location=LOCATION \
--insight-type=google.cloudsql.instance.SecurityInsight \
--filter=insightSubtype=BROAD_AUTHORIZED_NETWORKS

更改下列內容：

  • PROJECT_ID：專案 ID。
  • LOCATION：執行個體所在的區域，例如 us-central1。

API

呼叫 insights.list 方法，如下所示：


GET https://recommender.googleapis.com/v1beta1/projects/PROJECT_ID/locations/LOCATION/insightTypes/google.cloudsql.instance.SecurityInsight/insights?filter=insightSubtype=BROAD_AUTHORIZED_NETWORKS

更改下列內容：

  • PROJECT_ID：專案 ID。
  • LOCATION：執行個體所在的區域，例如 us-central1。

套用最佳化建議

控制台

如要採行這項建議，請按一下「管理授權網路」，然後選擇下列其中一個選項：

gcloud

如要採行這項建議，請使用下列其中一種方法：

API

如要採行這項建議，請使用下列其中一種方法：

後續步驟