Mengonfigurasi folder di perimeter layanan

Dokumen ini menjelaskan cara mengonfigurasi folderGoogle Cloud sebagai anggota dalam perimeter layanan.

Sebelum memulai

Menambahkan folder ke perimeter

Anda dapat mengonfigurasi perimeter untuk menyertakan folder sebagai resource yang dilindungi saat Anda membuat atau memperbarui perimeter.

Konsol

  1. Di menu navigasi konsol Google Cloud , klik Security > Kontrol Layanan VPC.

    Buka Kontrol Layanan VPC

  2. Untuk membuat perimeter baru, klik New perimeter.

    Untuk mengubah perimeter yang ada, pilih perimeter dan klik Edit.

  3. Pilih Resource yang akan dilindungi.

  4. Di panel Resources to protect, klik Add folders.

  5. Di dialog Search folders, telusuri dan pilih folder yang ingin Anda lindungi.

  6. Klik Pilih. Folder yang ditambahkan akan muncul di bagian Folders.

  7. Klik Lanjutkan.

  8. Klik Buat atau Simpan.

Untuk mengetahui informasi tentang konfigurasi perimeter lainnya, lihat Membuat perimeter layanan.

gcloud

  • Untuk membuat perimeter dalam mode diterapkan dan menyertakan folder sebagai resource yang dilindungi, jalankan perintah perimeters create berikut:

    gcloud access-context-manager perimeters create NAME \
    --title=TITLE \
    --resources=FOLDER_ID \
    --restricted-services=RESTRICTED-SERVICES \
    --policy=POLICY_NAME

    Untuk membuat perimeter dalam mode uji coba dan menyertakan folder sebagai resource yang dilindungi, gunakan perintah perimeters dry-run create.

  • Untuk memperbarui perimeter yang ada dalam mode diterapkan dan menyertakan folder sebagai resource yang dilindungi, jalankan perintah perimeters update berikut:

    gcloud access-context-manager perimeters update \
    PERIMETER_ID \
    --add-resources=FOLDER_ID

    Untuk memperbarui perimeter yang ada dalam mode uji coba dan menyertakan folder sebagai resource yang dilindungi, gunakan perintah perimeters dry-run update.

Ganti FOLDER_ID dengan daftar yang dipisahkan koma dari satu atau beberapa ID folder. Contoh, folders/12345. Argumen --resources dan --add-resources juga mendukung project dan jaringan VPC.

Untuk mengetahui informasi tentang konfigurasi perimeter lainnya, lihat Membuat perimeter layanan.

Menghapus folder dari perimeter

Anda dapat menghapus folder dari perimeter yang ada.

Konsol

  1. Di menu navigasi konsol Google Cloud , klik Security > Kontrol Layanan VPC.

    Buka Kontrol Layanan VPC

  2. Untuk mengubah perimeter yang ada, pilih perimeter dan klik Edit.

  3. Pilih Resource yang akan dilindungi.

  4. Di bagian Folders pada panel Resources to protect, pilih folder yang ingin Anda hapus.

  5. Klik Hapus yang dipilih.

  6. Klik Lanjutkan.

  7. Klik Simpan.

Untuk mengetahui informasi selengkapnya, lihat Memperbarui perimeter layanan.

gcloud

Untuk menghapus folder dari perimeter yang ada dalam mode diterapkan, jalankan perintah perimeters update berikut:

gcloud access-context-manager perimeters update \
    PERIMETER_ID \
    --remove-resources=FOLDER_ID

Untuk menghapus folder dari perimeter yang ada dalam mode uji coba, gunakan perintah perimeters dry-run update.

Ganti FOLDER_ID dengan daftar yang dipisahkan koma dari satu atau beberapa ID folder. Contoh, folders/12345. Argumen --remove-resources juga mendukung project dan jaringan VPC.

Untuk mengetahui informasi selengkapnya, lihat Memperbarui perimeter layanan.

Mencari perimeter yang dikonfigurasi untuk resource

Gunakan gcloud CLI atau metode API LookupConfiguredServicePerimeter untuk melihat perimeter layanan yang diterapkan atau uji coba yang berlaku untuk project atau folder.

gcloud

Untuk mencari perimeter yang dikonfigurasi untuk project atau folder, jalankan perintah lookup-configured-perimeter berikut:

gcloud access-context-manager lookup-configured-perimeter \
    --resource=RESOURCE

Ganti RESOURCE dengan nama resource dalam format projects/PROJECT_NUMBER atau folders/FOLDER_NUMBER.

API

Untuk mencari perimeter yang dikonfigurasi untuk sebuah project, panggil metode LookupConfiguredServicePerimeter:

GET https://accesscontextmanager.googleapis.com/v1/projects/PROJECT_NUMBER:lookupConfiguredServicePerimeter

Untuk mencari perimeter yang dikonfigurasi untuk folder, panggil metode LookupConfiguredServicePerimeter:

GET https://accesscontextmanager.googleapis.com/v1/folders/FOLDER_NUMBER:lookupConfiguredServicePerimeter

Izin yang diperlukan

Untuk mengkueri perimeter yang dikonfigurasi untuk suatu resource, pastikan Anda memiliki izin IAM berikut pada Kebijakan Akses yang relevan:

  • accesscontextmanager.policies.get
  • accesscontextmanager.servicePerimeters.list

Contoh respons

{
  "servicePerimeter": "accessPolicies/123456/servicePerimeters/my_enforced_perimeter",
  "servicePerimeterDryRun": "accessPolicies/123456/servicePerimeters/my_dry_run_perimeter",
  "restrictedResource": "folders/789012",
  "restrictedResourceDryRun": "projects/345678"
}

Dalam contoh ini, project mewarisi perimeter yang diterapkan dari folder ancestor folders/789012. Sebaliknya, perimeter uji coba dikonfigurasi langsung di project projects/345678.

Mengelola project dalam perimeter menggunakan folder

Anda dapat menambahkan atau menghapus project secara tidak langsung dari perimeter dengan memindahkan project ke dalam atau ke luar folder yang telah Anda konfigurasi di perimeter. Untuk mengetahui informasi selengkapnya, lihat Memindahkan project ke dalam folder.

Untuk mengetahui informasi tentang cara menambahkan atau menghapus project secara eksplisit dari perimeter, lihat Memperbarui perimeter layanan.

Memecahkan masalah

Jika Anda mengalami masalah atau perilaku yang tidak terduga saat mengonfigurasi keanggotaan folder, lakukan hal berikut:

  • Cari perimeter yang dikonfigurasi untuk resource guna mengonfirmasi apakah resource mewarisi perimeter dari folder ancestor.
  • Memeriksa log audit untuk mengetahui detail pelanggaran perimeter. Untuk mengetahui informasi selengkapnya, lihat Mengambil informasi pemecahan masalah dari log audit.
  • Pastikan propagasi hierarki resource telah selesai untuk project yang dimigrasikan ke perimeter berbasis folder sebelum menghapus binding project eksplisit. Penyebaran biasanya memerlukan waktu beberapa menit, tetapi bisa lebih lama.

Langkah berikutnya