配置 VPC Service Controls

本指南介绍了如何为 Universal Ledger 配置 VPC Service Controls，以增强安全性并帮助降低数据渗漏风险。

VPC Service Controls 为 Google Cloud服务提供一层额外的、独立于 Identity and Access Management (IAM) 的防御。通过配置服务边界，您可以将对 Universal Ledger API 的访问权限限制为已获授权的请求，例如来自虚拟私有云网络或使用受限 VIP 的已获授权 IP 地址的请求。

使用服务边界保护 Universal Ledger

如需使用 VPC Service Controls 保护 Universal Ledger 资源，请执行以下操作：

  1. 将 API 添加到边界：将 Universal Ledger API (universalledger.googleapis.com) 添加到服务边界内的受限服务列表中。如需查看相关说明，请参阅创建服务边界或更新服务边界。

  2. 通过受限 VIP 路由请求：配置专用连接，以便将对 universalledger.googleapis.com 的请求路由到受限 VIP (restricted.googleapis.com)。如需详细了解如何配置 DNS 记录和路由，请参阅设置专用连接。

限制和安全注意事项

以下部分介绍了将 VPC Service Controls 与 Universal Ledger 搭配使用时的限制和安全注意事项。

共享账本和交易数据

Universal Ledger API 在共享的多租户网络上运行，其中提交到账本的数据被归类为交易数据。根据服务专用条款，交易数据（包括交易载荷、公钥和加密签名）明确排除在客户数据的定义之外。

由于账本网络的共享性质，提交到账本的交易数据可供所有获得授权的账本参与者访问。因此，这些数据无法受到单个组织的 VPC Service Controls 边界配置的限制或约束。

数据渗漏缓解

虽然 VPC Service Controls 可保护 API 入站和出站流量，但在事务提交到共享账本后，它不会强制执行数据可见性。

为帮助防止数据渗漏，请使用 IAM 拒绝政策来限制修改或发布数据的方法，例如 universalledger.endpoints.submitTransaction。此方法会阻止未经授权的用户从边界内发布数据，同时仍允许只读查询。

如需了解详情，请参阅 VPC Service Controls 支持的产品和限制文档中的Universal Ledger 条目。

后续步骤