הגדרת VPC Service Controls ואשכולות פרטיים

דף זה מתאר כיצד פועלים בקרות שירות VPC ואשכולות פרטיים וכיצד להגדיר אותם בתחנות עבודה בענן.

VPC Service Controls

בקרות שירות VPC מספקות אבטחה נוספת לתחנות העבודה שלך כדי לסייע בהפחתת הסיכון של חטיפת נתונים. באמצעות בקרות שירות VPC, ניתן להוסיף פרויקטים להיקפי שירות שיכולים לסייע בהגנה על משאבים ושירותים מפני בקשות שמקורן מחוץ להיקף.

אלו הן הדרישות לשימוש בתחנות עבודה בענן בהיקף שירות VPC:

• כדי לסייע בהגנה על תחנות עבודה בענן, עליך להגביל את ממשק ה-API של Compute Engine בהיקף השירות שלך בכל פעם שאתה מגביל את ממשק ה-API של תחנות עבודה בענן.

• ודא ש-Google Cloud Storage API ו-Artifact Registry API נגישים ל-VPC בהיקף השירות שלך. זה נחוץ כדי למשוך תמונות לתחנת העבודה שלך. אנו ממליצים גם לאפשר ל-Cloud Logging API ול-Cloud Error Reporting API להיות נגישים ל-VPC בהיקף השירות שלך, אם כי זה לא נדרש לשימוש בתחנות עבודה בענן.

• ודא שאשכול תחנת העבודה שלך הוא פרטי. הגדרת אשכול פרטי מונעת חיבורים לתחנות העבודה שלך מחוץ להיקף שירות ה-VPC שלך. שירות תחנות העבודה בענן מונע יצירת אשכולות ציבוריים בהיקף שירות VPC.
• ודא שאתה מכבה כתובות IP ציבוריות בתצורת תחנת העבודה שלך. אי ביצוע פעולה זו יגרום ליצירת מכונות וירטואליות עם כתובות IP ציבוריות בפרויקט שלך. אנו ממליצים בחום להשתמש באילוץ מדיניות הארגון constraints/compute.vmExternalIpAccess כדי לכבות כתובות IP ציבוריות עבור כל המכונות הווירטואליות בהיקף שירות ה-VPC שלך. לפרטים, ראה הגבלת כתובות IP חיצוניות למכונות וירטואליות ספציפיות.

הערה: בקרת גישה מבוססת רק על כך שהרשת הפרטית שממנה אתם מתחברים שייכת להיקף האבטחה. בקרת גישה המבוססת על מכשיר, כתובת IP חיצונית או מיקום אינה נתמכת.

למידע נוסף על היקף שירות, ראו פרטים ותצורה של היקף שירות.

ארכיטקטורה

בעת הגדרת אשכול תחנת עבודה כפרטי, למישור הבקרה של אשכול תחנת העבודה יש ​​רק כתובת IP פנימית. משמעות הדבר היא שלקוחות מהאינטרנט הציבורי אינם יכולים להתחבר לתחנות העבודה השייכות לאשכול תחנות העבודה. כדי להשתמש באשכול פרטי, עליך לחבר ידנית את האשכול הפרטי לרשת הענן הפרטי הווירטואלי (VPC) שלך דרך נקודת קצה של Private Service Connect.

תצורות עם אשכולות פרטיים דורשות שתי נקודות קצה של PSC:

• כברירת מחדל, תחנות עבודה בענן יוצרות נקודת קצה נפרדת של PSC כדי לחבר את מישור הבקרה למכונות הווירטואליות של תחנת העבודה.

• עליך ליצור נקודת קצה נוספת של PSC עבור אשכולות פרטיים. כדי להתחבר מהמחשב המקומי שלך לתחנת עבודה באשכול פרטי, המכונה המקומית שלך חייבת להיות מחוברת לרשת ה-VPC שלך. השתמש ב-Cloud VPN או ב-Cloud Interconnect כדי לחבר את הרשת החיצונית שבה אתה מפעיל את המחשב שלך לרשת ה-VPC. יש ליצור את נקודת הקצה הנוספת של PSC באותה רשת שאליה הרשת החיצונית שלך מתחברת באמצעות Cloud VPN או Cloud Interconnect.

התרשים הבא ממחיש ארכיטקטורה לדוגמה של אשכול פרטי:

איור 1. אשכולות פרטיים

לפני שמתחילים

לפני שתתחיל, ודא שהשלמת את שלבי ההתקנה הנדרשים:

1. In the Google Cloud console, on the project selector page, select or create a Google Cloud project.

   Roles required to select or create a project

   • Select a project: Selecting a project doesn't require a specific IAM role—you can select any project that you've been granted a role on.
   • Create a project: To create a project, you need the Project Creator role (roles/resourcemanager.projectCreator), which contains the resourcemanager.projects.create permission. Learn how to grant roles.
   Note: If you don't plan to keep the resources that you create in this procedure, create a project instead of selecting an existing project. After you finish these steps, you can delete the project, removing all resources associated with the project.

   Go to project selector

2. Verify that billing is enabled for your Google Cloud project.

3. מפעילים את Cloud Workstations API.

   תפקידים שנדרשים להפעלת ממשקי API

   כדי להפעיל ממשקי API, נדרשת ההרשאה serviceusage.services.enable. אם יצרתם את הפרויקט, סביר להניח שכבר יש לכם את ההרשאה הזו דרך התפקיד 'בעלים' (roles/owner). אחרת, תוכלו לקבל את ההרשאה הזו דרך התפקיד 'אדמין בממשק Service Usage' (roles/serviceusage.serviceUsageAdmin). איך מקצים תפקידים

   להפעלת ה-API

4. ודא שיש לך תפקיד IAM של מנהל תחנות עבודה בענן בפרויקט כדי שתוכל ליצור תצורות של תחנת עבודה. כדי לבדוק את תפקידי ה-IAM שלך ב- Google Cloud קונסולה, עבור אלIAM עַמוּד:

   עבור אל IAM

5. תחנות עבודה בענן מתארחות על מכונות וירטואליות (VMs) שאותרו מתמונות ציבוריות של מערכת הפעלה אופטימלית למכולות (COS) שתצורתן נקבעה מראש של Compute Engine. אם אילוץ מדיניות הארגון constraints/compute.trustedimageProjects נאכף, עליך להגדיר אילוצי גישה לתמונות כדי לאפשר למשתמשים ליצור דיסקי אתחול מ-projects/cos-cloud או מכל התמונות הציבוריות.
6. תחנות עבודה בענן משתמשות ב-Private Service Connect כדי להתחבר לשירותים המנוהלים על ידי גוגל. אם אילוץ מדיניות הארגון constraints/compute.restrictPrivateServiceConnectProducer נאכף בארגון שלך, עליך להוסיף את Google כיצרן מורשה (under:organizations/433637338589).
7. אם אילוץ מדיניות הארגון constraints/compute.disablePrivateServiceConnectCreationForConsumers נאכף בארגון שלך, עליך לוודא שנקודות קצה של Private Service Connect המתחברות לממשקי ה-API של גוגל (GOOGLE_APIS) מותרות. אם מגדירים אשכולות פרטיים, יש לאפשר גם נקודות קצה המתחברות לשירותים שפורסמו (SERVICE_PRODUCERS).
8. אופציונלי: הפעל את ממשק ה-API של מערכת הקבצים של המכולה כדי לאפשר הפעלה מהירה יותר של תחנת העבודה.

   הפעל את ממשק ה-API של מערכת הקבצים של המכולות

   למידע נוסף, ראו הפחתת זמן ההפעלה של תחנת עבודה באמצעות הזרמת תמונות.

יצירת אשכול פרטי

בצע את השלבים הבאים כדי ליצור אשכול פרטי:

1. ב- Google Cloud קונסולה, עבור אלתחנות עבודה בענן עַמוּד.

   עבור אל תחנות עבודה בענן

2. נווט לדף ניהול אשכולות של תחנת העבודה.

3. לוחצים על יצירה.

4. הזן את השם ובחר אזור עבור אשכול תחנת העבודה שלך.

5. במקטע 'רשתות', בחר רשתות בפרויקט זה.

6. בחר רשת ותת-רשת.

7. עבור סוג שער, בחר שער פרטי.

8. אופציונלי: ציין פרויקט נוסף אחד או יותר המארחים את נקודת הקצה של Private Service Connect המאפשרת גישת HTTP לאשכול הפרטי שלך. כברירת מחדל, ניתן ליצור נקודת קצה זו רק בפרויקט אשכול תחנת העבודה ובפרויקט מארח רשת VPC (אם שונים). במידת הצורך, ניתן לציין פרויקטים אלה גם לאחר יצירת אשכול.

9. לוחצים על יצירה. בזמן יצירת האשכול, הסטטוס מופיע כ-מעדכן.

   יצירת אשכול אורכת מספר דקות. לאחר סיום יצירת האשכול, סטטוס האשכול עשוי להופיע כ-מפוגע. לאחר שתשלים את השלבים בקטע יצירת נקודת קצה של PSC, סטטוס האשכול ישתנה ל-מוכן תוך מספר דקות.

הפעל קישוריות אשכול פרטי

לקוחות אינם יכולים להתחבר לתחנות עבודה באשכולות תחנות עבודה פרטיות מהאינטרנט הציבורי. לקוחות חייבים להיות ברשת שמתחברת לאשכול תחנת העבודה באמצעות Private Service Connect ‏(PSC). בצע את השלבים בסעיף זה כדי להתחבר לתחנת עבודה:

1. צור נקודת קצה של PSC שמכוונת לקובץ המצורף לשירות תחנת העבודה שלך.

2. צור אזור DNS פרטי.

3. השתמשו ב-Cloud DNS כדי ליצור רשומת DNS שממפה את שם המארח של האשכול שלכם לנקודת הקצה של PSC.

יצירת נקודת קצה של Private Service Connect

הערה: כברירת מחדל, ניתן ליצור את נקודת הקצה של PSC ואת אזור ה-DNS רק בפרויקט אשכול תחנת העבודה ובפרויקט מארח רשת VPC (אם שונים). אם ברצונך ליצור את המשאבים האלה בפרויקט אחר, עדכן את השדה privateClusterConfig.allowedProjects באשכול תחנת העבודה שלך באמצעות ממשק ה-API או ממשק המשתמש של תחנת העבודה כדי לכלול את הפרויקט.

בצע את השלבים הבאים כדי ליצור נקודת קצה של PSC:

1. במסוף Google Cloud , עוברים אל Private Service Connect.

   מעבר אל Private Service Connect

2. לוחצים על הכרטיסייה Connected endpoints (נקודות קצה מקושרות) ואז על addConnect endpoint (הוספה של נקודת קצה).

3. בקטע יעד, בוחרים באפשרות שירות שפורסם.

4. בשדה Target service (שירות יעד), מזינים את מזהה המשאבים האחיד (URI) של קובץ השירות שנוצר עבור אשכול תחנות העבודה. כדי למצוא את ה-URI, עוברים אל אשכול תחנות העבודה במסוף ומחפשים את השדה Service attachment URI בקטע הגדרות רשת.

5. בשדה Endpoint, מזינים שם לנקודת הקצה.

6. בוחרים רשת לנקודת הקצה ואז בוחרים רשת משנה. הרשת הזו צריכה להיות הרשת שבה רוצים להשתמש כדי להתחבר לתחנות העבודה, והיא חייבת להיות אותה רשת שהרשת החיצונית מתחברת אליה באמצעות Cloud VPN או Cloud Interconnect.

7. בוחרים כתובת IP לנקודת הקצה.

   אם אתם צריכים כתובת IP חדשה, בוחרים באפשרות יצירת כתובת IP:

   1. מזינים שם ותיאור (אופציונלי) לכתובת ה-IP.
   2. כדי להקצות כתובת IP סטטית, בוחרים באפשרות הקצאה אוטומטית. בשביל כתובת IP מותאמת אישית, בוחרים באפשרות אני רוצה לבחור ומזינים את כתובת ה-IP שרוצים להשתמש בה.
   3. בקטע מטרה, בוחרים באפשרות לא משותף.
   4. לוחצים על Reserve.

8. בוחרים מרחב שמות מהרשימה הנפתחת או יוצרים מרחב שמות חדש. הערך של אזור מאוכלס על סמך רשת המשנה שנבחרה.

9. לוחצים על הוספת נקודת קצה.

10. מעתיקים את כתובת ה-IP של נקודת הקצה כדי להשתמש בה בקטע הבא כדי ליצור אזור DNS פרטי ורשומת DNS.

יצירת תחום DNS פרטי

כדי ליצור אזור DNS פרטי לאשכול תחנות העבודה הזה, צריך לבצע את השלבים הבאים ולהגדיר את שם ה-DNS ל-clusterHostname. אפשר למצוא את הערך הזה באשכול תחנות העבודה בקונסולה.

1. במסוף Google Cloud , נכנסים לדף יצירת תחום DNS.

   מעבר אל יצירת תחום DNS

2. בקטע Zone type (סוג האזור), בוחרים באפשרות Private (פרטי).

3. הזן שם אזור כגון private-workstations-cluster-zone.

4. הזן סיומת שם DNS עבור האזור הפרטי. כל הרשומות באזור חולקות סיומת זו. הגדר שם זה ל-clusterHostname שלך.

   כדי למצוא את שלךclusterHostname, נווט אל תחנות עבודה בענן  > ניהול אשכולות עמוד ב- Google Cloud קונסולה, ולאחר מכן לחץ על אשכול תחנת העבודה שלך כדי להציג את שם המארח.

5. אופציונלי: הוסף תיאור.

6. תחת אפשרויות, בחר ברירת מחדל (פרטי).

7. בחר את הרשת שבה יצרת את נקודת הקצה של PSC בסעיף הקודם מכיוון שכתובת ה-IP תקפה רק ברשת זו.

8. לוחצים על יצירה.

למידע נוסף על אזורי DNS פרטיים, עיין בתיעוד של Cloud DNS בנושא יצירת אזור פרטי ושיטות עבודה מומלצות עבור אזורי DNS פרטיים בענן.

צור רשומת DNS

כדי להוסיף רשומה שממפה את *.<clusterHostname> לכתובת ה-IP ששמורה בעת יצירת נקודת הקצה של Private Service Connect, בצע את השלבים הבאים:

1. נכנסים לדף Cloud DNS zones במסוף Google Cloud .

   מעבר לאזורים ב-Cloud DNS

2. לוחצים על השם של האזור המנוהל שרוצים להוסיף אליו את הרשומה.

3. בדף פרטי אזור, לחץ על הוסף תקן.

4. בדף יצירת קבוצת רשומות, בשדה שם DNS, הזן *.<clusterHostname>.

5. בשדה כתובת IP, הזן את כתובת ה-IP ששמרת עבור נקודת הקצה של Private Service Connect בסעיף הקודם.

6. לוחצים על יצירה.

7. רשת ה-VPC שלך אמורה להיות מחוברת כעת לאשכול תחנות העבודה ותוכל להתחבר לתחנות עבודה באמצעות רשת זו.

הפעלת רזולוציית DNS מקומית

כדי להשתמש בעורך מבוסס הדפדפן המוגדר כברירת מחדל בתחנת העבודה שלך, השתמש בדפדפן ממחשב המחובר לרשת VPC. ניתן להשתמש ב-Cloud VPN או ב-Cloud Interconnect כדי להתחבר מהרשת החיצונית שבה אתם מפעילים את הדפדפן שלכם לרשת ה-VPC.

כדי להתחבר מרשת חיצונית, עליך להגדיר DNS ברשת החיצונית. בדומה לשלבים הקודמים, ניתן ליצור אזור DNS עבור clusterHostname ולהוסיף רשומה שממפה את *.<clusterHostname> לכתובת ה-IP ששמורה בעת יצירת נקודת הקצה של Private Service Connect. לחלופין, ניתן להגדיראזורי העברת DNS או מדיניות שרת DNS כדי לאפשר חיפושים של שמות DNS בין האתר שלך לבין Google Cloud סביבות.

ייתכן שתצטרך גם להוסיף את *cloudworkstations.dev לרשימת ההיתרים של התשתית המקומית שלך.

הגדרת בקרות שירות VPC עבור הזרמת תמונות

אם אתם מאפשרים באופן אופציונלי הזרמת תמונות כדי להפחית את זמני ההפעלה של תחנת העבודה, ואשכול תחנת העבודה שלכם נמצא בתוך היקף של בקרות שירות VPC, עליכם להגדיר את הפרטים הבאים במדיניות ההיקף שלכם:

• כלול את ממשק ה-API של מערכת הקבצים של Container (containerfilesystem.googleapis.com) בשירותים המוגבלים של היקף השירות שלך.
• הוסף כלל יציאה בהיקף השירות המאפשר לחשבון השירות שצוין בתצורת תחנת העבודה לגשת לממשק ה-API של מערכת הקבצים של המכולות בפרויקט המארח את תמונות המכולות שלך.
• אם אתם משתמשים ב-IDE מוגדר מראש, עליכם גם להגדיר את כלל היציאה כדי לאפשר גישה לפרויקט cloud-workstations-images (מספר פרויקט 662288601415).

המאמרים הבאים

• הגדרת גישה משותפת ל-VPC
• פתרון בעיות נפוצות ב-VPC