הגדרת תיקיות ב-service perimeters

במאמר הזה מוסבר איך להגדיר Google Cloud תיקיות כחברות בגבולות גזרה לשירות.

לפני שמתחילים

הוספת תיקיות למתחם

כשיוצרים או מעדכנים את היקף האבטחה, אפשר להגדיר אותו כך שיכלול תיקיות כמשאבים מוגנים.

המסוף

  1. בתפריט הניווט של מסוף Google Cloud , לוחצים על Security > VPC Service Controls.

    כניסה ל-VPC Service Controls

  2. כדי ליצור מתחם חדש, לוחצים על New perimeter.

    כדי לשנות היקף קיים, בוחרים את ההיקף ולוחצים על Edit.

  3. בוחרים באפשרות Resources to protect.

  4. בחלונית Resources to protect, לוחצים על Add folders.

  5. בתיבת הדו-שיח Search folders, מחפשים ובוחרים את התיקיות שרוצים להגן עליהן.

  6. לוחצים על בחירה. התיקיות שנוספו מופיעות בקטע Folders.

  7. לוחצים על Continue.

  8. לוחצים על יצירה או על שמירה.

מידע על הגדרות אחרות של גבולות גזרה מופיע במאמר יצירת גבולות גזרה לשירות.

gcloud

  • כדי ליצור היקף במצב אכיפה ולכלול תיקיות כמשאבים מוגנים, מריצים את הפקודה הבאה של perimeters create:

    gcloud access-context-manager perimeters create NAME \
    --title=TITLE \
    --resources=FOLDER_ID \
    --restricted-services=RESTRICTED-SERVICES \
    --policy=POLICY_NAME

    כדי ליצור פרימטר במצב פרימטר לבדיקות ולכלול תיקיות כמשאבים מוגנים, משתמשים בפקודה perimeters dry-run create.

  • כדי לעדכן היקף קיים במצב אכיפה ולכלול תיקיות כמשאבים מוגנים, מריצים את הפקודה הבאה של perimeters update:

    gcloud access-context-manager perimeters update \
    PERIMETER_ID \
    --add-resources=FOLDER_ID

    כדי לעדכן פרימטר קיים במצב פרימטר לבדיקות ולכלול תיקיות כמשאבים מוגנים, משתמשים בפקודה perimeters dry-run update.

מחליפים את FOLDER_ID ברשימה מופרדת בפסיקים של מזהה תיקייה אחד או יותר. לדוגמה, folders/12345. הארגומנטים --resources ו---add-resources תומכים גם בפרויקטים וברשתות VPC.

מידע על הגדרות אחרות של גבולות גזרה מופיע במאמר יצירת גבולות גזרה לשירות.

הסרת תיקיות ממתחם אבטחה

אתם יכולים להסיר תיקיות ממתחם קיים.

המסוף

  1. בתפריט הניווט של מסוף Google Cloud , לוחצים על Security > VPC Service Controls.

    כניסה ל-VPC Service Controls

  2. כדי לשנות היקף קיים, בוחרים את ההיקף ולוחצים על Edit.

  3. בוחרים באפשרות Resources to protect.

  4. בקטע Folders שבחלונית Resources to protect, בוחרים את התיקיות שרוצים להסיר.

  5. לוחצים על הסרת הפריטים שנבחרו.

  6. לוחצים על Continue.

  7. לוחצים על Save.

מידע נוסף זמין במאמר עדכון של גבולות גזרה לשירות.

gcloud

כדי להסיר תיקיות ממתחם קיים במצב אכיפה, מריצים את הפקודה הבאה של perimeters update:

gcloud access-context-manager perimeters update \
    PERIMETER_ID \
    --remove-resources=FOLDER_ID

כדי להסיר תיקיות מפרימטר קיים במצב פרימטר לבדיקות, משתמשים בפקודה perimeters dry-run update.

מחליפים את FOLDER_ID ברשימה מופרדת בפסיקים של מזהה תיקייה אחד או יותר. לדוגמה, folders/12345. הארגומנט --remove-resources תומך גם בפרויקטים וברשתות VPC.

מידע נוסף זמין במאמר עדכון של גבולות גזרה לשירות.

חיפוש היקפים שהוגדרו למשאב

כדי לראות אילו גבולות גזרה לשירות (לאכיפה או להרצה ללא השפעה) חלים על פרויקט או תיקייה, משתמשים ב-CLI של gcloud או ב-method של ה-API‏ LookupConfiguredServicePerimeter.

gcloud

כדי לחפש את היקף ההגנה שהוגדר לפרויקט או לתיקייה, מריצים את הפקודה הבאה של lookup-configured-perimeter:

gcloud access-context-manager lookup-configured-perimeter \
    --resource=RESOURCE

מחליפים את RESOURCE בשם המשאב בפורמט projects/PROJECT_NUMBER או folders/FOLDER_NUMBER.

API

כדי לחפש את הגדרת ההיקף של פרויקט, צריך להפעיל את ה-method‏ LookupConfiguredServicePerimeter:

GET https://accesscontextmanager.googleapis.com/v1/projects/PROJECT_NUMBER:lookupConfiguredServicePerimeter

כדי לחפש את היקף ההגנה שהוגדר לתיקייה, מפעילים את ה-method‏ LookupConfiguredServicePerimeter:

GET https://accesscontextmanager.googleapis.com/v1/folders/FOLDER_NUMBER:lookupConfiguredServicePerimeter

ההרשאות הנדרשות

כדי לשלוח שאילתות לגבי הגדרות של מתחמי אבטחה של משאב, ודאו שיש לכם את הרשאות ה-IAM הבאות במדיניות הגישה הרלוונטית:

  • accesscontextmanager.policies.get
  • accesscontextmanager.servicePerimeters.list

דוגמה לתשובה

{
  "servicePerimeter": "accessPolicies/123456/servicePerimeters/my_enforced_perimeter",
  "servicePerimeterDryRun": "accessPolicies/123456/servicePerimeters/my_dry_run_perimeter",
  "restrictedResource": "folders/789012",
  "restrictedResourceDryRun": "projects/345678"
}

בדוגמה הזו, הפרויקט יורש את גבולות הגזרה במצב אכיפה מתיקיית האב folders/789012. לעומת זאת, גבולות הגזרה לבדיקות מוגדרים ישירות בפרויקט projects/345678.

ניהול פרויקטים בתוך מתחם באמצעות תיקיות

כדי להוסיף או להסיר פרויקט באופן עקיף, אתם יכולים להעביר את הפרויקט לתיקייה שהגדרתם בתוך גבולות האבטחה או להוציא אותו ממנה. למידע נוסף, קראו את המאמר העברת פרויקט לתיקייה.

במאמר עדכון של גבולות גזרה לשירות מוסבר איך מוסיפים פרויקטים לגבולות הגזרה או מסירים אותם מהם.

פתרון בעיות

אם נתקלתם בבעיות או בהתנהגות לא צפויה בזמן הגדרת החברויות בתיקיות, בצעו את הפעולות הבאות:

  • מחפשים את גבולות האבטחה שהוגדרו למשאב כדי לוודא אם המשאב יורש גבול אבטחה מתיקיית אב קדמון.
  • כדי לבדוק את פרטי ההפרה של גבולות ההיקף, אפשר לעיין ביומני הביקורת. למידע נוסף, קראו את המאמר אחזור מידע לפתרון בעיות מיומני ביקורת.
  • לפני שמסירים קישורים מפורשים לפרויקטים, צריך לוודא שהושלמה הפצת היררכיית המשאבים לפרויקטים שהועברו למתחמי אבטחה מבוססי-תיקיות. בדרך כלל ההפצה נמשכת כמה דקות, אבל לפעמים היא נמשכת יותר זמן.

המאמרים הבאים