Migliora la sicurezza dell'istanza disattivando l'IP pubblico

In questa pagina viene descritto come visualizzare e implementare i suggerimenti relativi alla disattivazione dell'accesso con IP pubblico per le istanze che violano la policy dell'organizzazione constraints/sql.restrictPublicIp applicata dall'amministratore. Questa policy limita la configurazione dell'IP pubblico sulle tue istanze. La violazione delle policy si verifica quando esiste già l'accesso IP pubblico per un'istanza al momento dell'applicazione del vincolo. Questo recommender si chiama Disabilita IP pubblico.

Ogni giorno, questo motore per suggerimenti rileva le istanze che violano la policy dell'organizzazione constraints/sql.restrictPublicIp e fornisce insight e suggerimenti per migliorare la sicurezza delle istanze. Puoi visualizzare insight e suggerimenti dettagliati su queste istanze utilizzando la console Google Cloud , gcloud CLI o l'API Recommender.

Per saperne di più sulle policy dell'organizzazione, consulta Policy dell'organizzazione di Cloud SQL.

Prima di iniziare

Assicurati di abilitare l'API Recommender.

Ruoli e autorizzazioni richiesti

Per ottenere le autorizzazioni per visualizzare e utilizzare insight e suggerimenti, assicurati di disporre dei ruoli IAM (Identity and Access Management) richiesti.

Tasks Ruoli
Visualizza i suggerimenti recommender.cloudsqlViewer o cloudsql.admin.
Applica suggerimenti cloudsql.editor o cloudsql.admin.
Per saperne di più sui ruoli IAM, consulta il riferimento ai ruoli di base e predefiniti di IAM e Gestisci l'accesso a progetti, cartelle e organizzazioni.

Elenca i suggerimenti

Per elencare i suggerimenti, segui questi passaggi:

Console

Per elencare i suggerimenti sulla sicurezza delle istanze, segui questi passaggi:

  1. Vai alla pagina Istanze Cloud SQL.

    Vai a Istanze Cloud SQL

  2. Visualizza la colonna Problemi nella tabella delle istanze.

In alternativa, segui questi passaggi:

  1. Vai ad Active Assist.

    Vai ad Active Assist

    Per saperne di più, consulta Esplorazione dei suggerimenti.

  2. Nella scheda Tutti i suggerimenti, fai clic su Sicurezza.

gcloud

Esegui il comando gcloud recommender recommendations list come segue:

gcloud recommender recommendations list \
--project=PROJECT_ID \
--location=LOCATION \
--recommender=google.cloudsql.instance.SecurityRecommender \
--filter=recommenderSubtype=DISABLE_PUBLIC_IP_TO_MEET_ORG_POLICY

Sostituisci quanto segue:

  • PROJECT_ID: il tuo ID progetto.
  • LOCATION: una regione in cui si trovano le istanze, ad esempio us-central1.

API

Chiama il metodo recommendations.list come segue:

GET https://recommender.googleapis.com/v1beta1/projects/PROJECT_ID/locations/LOCATION/recommenders/google.cloudsql.instance.SecurityRecommender/recommendations?filter=recommenderSubtype=DISABLE_PUBLIC_IP_TO_MEET_ORG_POLICY

Sostituisci quanto segue:

  • PROJECT_ID: il tuo ID progetto.
  • LOCATION: una regione in cui si trovano le istanze, ad esempio us-central1.

Visualizza insight e suggerimenti dettagliati

Per visualizzare gli approfondimenti e i consigli dettagliati, segui questi passaggi:

Console

Dopo aver elencato i suggerimenti, fai clic su uno di questi. Viene visualizzato il riquadro dei suggerimenti, che contiene insight e suggerimenti dettagliati.

gcloud

Esegui il comando gcloud recommender insights list come segue:


gcloud recommender insights list \
--project=PROJECT_ID \
--location=LOCATION \
--insight-type=google.cloudsql.instance.SecurityInsight \
--filter=insightSubtype=ORG_POLICY_TO_RESTRICT_PUBLIC_IP_VIOLATED

Sostituisci quanto segue:

  • PROJECT_ID: il tuo ID progetto.
  • LOCATION : una regione in cui si trovano le istanze, ad esempio us-central1.

API

Chiama il metodo insights.list come segue:


GET https://recommender.googleapis.com/v1beta1/projects/PROJECT_ID/locations/LOCATION/insightTypes/google.cloudsql.instance.SecurityInsight/insights?filter=insightSubtype=ORG_POLICY_TO_RESTRICT_PUBLIC_IP_VIOLATED

Sostituisci quanto segue:

  • PROJECT_ID: il tuo ID progetto.
  • LOCATION: una regione in cui si trovano le istanze, ad esempio us-central1.

Applica il consiglio

Console

Per implementare il suggerimento, segui questi passaggi:

  1. Fai clic su Gestisci assegnazione IP dell'istanza.

  2. Configura i client per la connessione all'istanza utilizzando l'IP privato.

  3. Disabilita l'IP pubblico sulla tua istanza.

gcloud

Per implementare il suggerimento, segui questi passaggi:

  1. Configura i client per la connessione all'istanza utilizzando l'IP privato.

  2. Disabilita l'IP pubblico sulla tua istanza.

API

Per implementare il suggerimento, segui questi passaggi:

  1. Configura i client per la connessione all'istanza utilizzando l'IP privato.

  2. Disabilita l'IP pubblico sulla tua istanza.

Passaggi successivi