שיפור האבטחה של מופע על ידי השבתה של כתובת IP ציבורית

בדף הזה מוסבר איך להציג וליישם המלצות לגבי השבתת הגישה לכתובת IP ציבורית במכונות שמפירות את מדיניות הארגון constraints/sql.restrictPublicIp שנאכפת על ידי האדמין. המדיניות הזו מגבילה את ההגדרה של כתובת IP ציבורית במכונות שלכם. הפרת המדיניות מתרחשת כשכבר קיימת גישה לכתובת IP ציבורית במכונה בזמן אכיפת האילוץ. שירות ההמלצות הזה נקרא Disable public IP.

מדי יום, שירות ההמלצות הזה מזהה את המכונות שמפירות את מדיניות הארגון constraints/sql.restrictPublicIp ומספק תובנות והמלצות לשיפור האבטחה של המכונות. אתם יכולים לראות תובנות והמלצות מפורטות לגבי המכונות האלה באמצעות מסוף Google Cloud , ה-CLI של gcloud או Recommender API.

מידע נוסף על מדיניות הארגון זמין במאמר מדיניות הארגון ב-Cloud SQL.

לפני שמתחילים

מוודאים שהפעלתם את Recommender API.

תפקידים והרשאות נדרשים

כדי לקבל את ההרשאות לצפייה בתובנות ובהמלצות ולעבודה איתן, ודאו שיש לכם את התפקידים הנדרשים בניהול זהויות והרשאות גישה (IAM).

Tasks תפקידים
לצפייה בהמלצות ‫recommender.cloudsqlViewer או cloudsql.admin.
יישום ההמלצות cloudsql.editor או cloudsql.admin.
למידע נוסף על תפקידי IAM, קראו את המאמר תפקידים בסיסיים ומוגדרים מראש ב-IAM ואת המאמר ניהול הגישה לפרויקטים, לתיקיות ולארגונים.

הצגת רשימת ההמלצות

כדי להציג את רשימת ההמלצות:

המסוף

כדי להציג רשימה של המלצות לגבי אבטחת מכונות, פועלים לפי השלבים הבאים:

  1. נכנסים לדף Cloud SQL Instances.

    כניסה לדף Cloud SQL Instances

  2. מעיינים בעמודה בעיות בטבלת המופעים.

אפשר גם לפעול לפי השלבים הבאים:

  1. נכנסים אל Active Assist.

    כניסה לדף Active Assist

    מידע נוסף זמין במאמר עיון בהמלצות.

  2. בכרטיס כל ההמלצות, לוחצים על אבטחה.

gcloud

מריצים את הפקודה gcloud recommender recommendations list:

gcloud recommender recommendations list \
--project=PROJECT_ID \
--location=LOCATION \
--recommender=google.cloudsql.instance.SecurityRecommender \
--filter=recommenderSubtype=DISABLE_PUBLIC_IP_TO_MEET_ORG_POLICY

מחליפים את מה שכתוב בשדות הבאים:

  • ‫PROJECT_ID: מזהה הפרויקט.
  • ‫LOCATION: אזור שבו נמצאים המכונות, למשל us-central1.

API

מפעילים את ה-method‏ recommendations.list באופן הבא:

GET https://recommender.googleapis.com/v1beta1/projects/PROJECT_ID/locations/LOCATION/recommenders/google.cloudsql.instance.SecurityRecommender/recommendations?filter=recommenderSubtype=DISABLE_PUBLIC_IP_TO_MEET_ORG_POLICY

מחליפים את מה שכתוב בשדות הבאים:

  • ‫PROJECT_ID: מזהה הפרויקט.
  • ‫LOCATION: אזור שבו נמצאים המכונות, למשל us-central1.

צפייה בתובנות ובהמלצות מפורטות

כדי לראות תובנות והמלצות מפורטות:

המסוף

אחרי שמוצגת רשימת ההמלצות, לוחצים על אחת מהן. חלונית ההמלצות מופיעה, וכוללת תובנות והמלצות מפורטות.

gcloud

מריצים את הפקודה gcloud recommender insights list:


gcloud recommender insights list \
--project=PROJECT_ID \
--location=LOCATION \
--insight-type=google.cloudsql.instance.SecurityInsight \
--filter=insightSubtype=ORG_POLICY_TO_RESTRICT_PUBLIC_IP_VIOLATED

מחליפים את מה שכתוב בשדות הבאים:

  • ‫PROJECT_ID: מזהה הפרויקט.
  • ‫LOCATION : אזור שבו נמצאים המכונות, למשל us-central1.

API

מפעילים את ה-method‏ insights.list באופן הבא:


GET https://recommender.googleapis.com/v1beta1/projects/PROJECT_ID/locations/LOCATION/insightTypes/google.cloudsql.instance.SecurityInsight/insights?filter=insightSubtype=ORG_POLICY_TO_RESTRICT_PUBLIC_IP_VIOLATED

מחליפים את מה שכתוב בשדות הבאים:

  • ‫PROJECT_ID: מזהה הפרויקט.
  • ‫LOCATION: אזור שבו נמצאים המכונות, למשל us-central1.

יישום ההמלצה

המסוף

כדי ליישם את ההמלצה:

  1. לוחצים על Manage instance IP assignment.

  2. מגדירים את הלקוחות כך שיתחברו למכונה באמצעות כתובת IP פרטית.

  3. משביתים את כתובת ה-IP הציבורית במכונה.

gcloud

כדי ליישם את ההמלצה:

  1. מגדירים את הלקוחות כך שיתחברו למכונה באמצעות כתובת IP פרטית.

  2. משביתים את כתובת ה-IP הציבורית במכונה.

API

כדי ליישם את ההמלצה:

  1. מגדירים את הלקוחות כך שיתחברו למכונה באמצעות כתובת IP פרטית.

  2. משביתים את כתובת ה-IP הציבורית במכונה.

המאמרים הבאים