Gestisci perimetri di servizio

Questa pagina descrive come gestire i perimetri di servizio in Controlli di servizio VPC. Per maggiori dettagli sulla creazione di nuovi perimetri di servizio, consulta Creazione dei perimetri di servizio.

Questa pagina include le seguenti sezioni:

• Prima di iniziare

• Elencare e descrivere i perimetri di servizio

• Elenco perimetri di servizio (formattati)

• Aggiornare un perimetro di servizio

• Aggiunta di un livello di accesso a un perimetro esistente

• Eliminazione di un perimetro

• Limitare l'accesso ai servizi all'interno di un perimetro con i servizi accessibili da VPC

Prima di iniziare

• Leggi la Panoramica dei Controlli di servizio VPC.

• Leggi Configurazione perimetro di servizio.

• Imposta il criterio di accesso predefinito per l'utilizzo dello strumento a riga di comando gcloud.

  -oppure-

  Recupera il nome della norma. Il nome del criterio è obbligatorio per i comandi utilizzando lo strumento a riga di comando gcloud e le chiamate API. Se imposti un valore predefinito non è necessario specificare il criterio per lo strumento a riga di comando gcloud.

Elenca e descrivi i perimetri di servizio

Elenca tutti i perimetri di servizio in un'organizzazione:

gcloud access-context-manager perimeters list

NAME           TITLE
ProdPerimeter  Production Perimeter

gcloud access-context-manager perimeters \
  describe PERIMETER_ID

accessLevels:
- accessPolicies/626111171578/accessLevels/corpAccess
resources:
- projects/111584792408
restrictedServices:
- bigquery.googleapis.com
- storage.googleapis.com
title: Production Perimeter

Elenca perimetri di servizio (formattato)

Con lo strumento a riga di comando gcloud puoi ottenere un elenco dei tuoi perimetri di servizio in YAML JSON.

Per visualizzare un elenco formattato dei perimetri, utilizza il comando list:

gcloud access-context-manager perimeters list \
  --format=FORMAT

Sostituisci quanto segue:

• FORMAT è uno dei seguenti valori:

  • list (formato YAML)

  • json (formato JSON)

Il seguente output è un esempio di elenco in formato YAML:

- name: accessPolicies/165717541651/servicePerimeters/On_Prem
  status: {'resources': ['projects/167410821371'], 'restrictedServices': ['bigquery.googleapis.com', 'storage.googleapis.com']}
  title: On Prem
- name: accessPolicies/165717541651/servicePerimeters/Private
  spec: {'resources': ['projects/136109111311'], 'restrictedServices': ['bigquery.googleapis.com', 'storage.googleapis.com', 'logging.googleapis.com']}
  status: {'resources': ['projects/136109111311', 'projects/401921913171'], 'restrictedServices': ['bigquery.googleapis.com']}
  title: Private
  useExplicitDryRunSpec: True
- name: accessPolicies/165717541651/servicePerimeters/OnpremBridge
  perimeterType: PERIMETER_TYPE_BRIDGE
  status: {'resources': ['projects/167410821371']}
  title: OnpremBridge

L'output seguente è un elenco di esempio in formato JSON:

[
  {
    "name": "accessPolicies/165717541651/servicePerimeters/On_Prem",
    "status": {
      "resources": [
        "projects/167410821371"
      ],
      "restrictedServices": [
        "bigquery.googleapis.com",
        "storage.googleapis.com"
      ]
    },
    "title": "On Prem"
  },
  {
    "name": "accessPolicies/165717541651/servicePerimeters/Private",
    "spec": {
      "resources": [
        "projects/136109111311"
      ],
      "restrictedServices": [
        "bigquery.googleapis.com",
        "storage.googleapis.com",
        "logging.googleapis.com"
      ]
    },
    "status": {
      "resources": [
        "projects/136109111311",
        "projects/401921913171"
      ],
      "restrictedServices": [
        "bigquery.googleapis.com"
      ]
    },
    "title": "Private",
    "useExplicitDryRunSpec": true
  },
  {
    "name": "accessPolicies/165717541651/servicePerimeters/OnpremBridge",
    "perimeterType": "PERIMETER_TYPE_BRIDGE",
    "status": {
      "resources": [
        "projects/167410821371"
      ]
    },
    "title": "OnpremBridge"
  }
]

Aggiornare un perimetro di servizio

Questa sezione descrive come aggiornare i singoli perimetri di servizio. Per aggiornare tutti i perimetri di servizio dell'organizzazione in un'unica operazione, consulta Apportare modifiche collettive ai perimetri di servizio.

Per aggiornare un perimetro di servizio, puoi eseguire le seguenti attività:

• Aggiungi nuovi progetti Google Cloud o rimuovili da un perimetro di servizio.
• Modifica l'elenco dei servizi Google Cloud con restrizioni. Puoi anche modificare il titolo e la descrizione di un perimetro di servizio.
• Abilitare, aggiungere, rimuovere o disabilitare i servizi accessibili da VPC.
• Aggiorna i criteri di traffico in entrata e in uscita.

Dopo aver aggiornato un perimetro di servizio, potrebbero essere necessari fino a 30 minuti le modifiche da propagare e da rendere effettive. Durante questo periodo, il perimetro potrebbe bloccare richieste con il seguente messaggio di errore: Error 403: Request is prohibited by organization's policy.

gcloud access-context-manager perimeters update PERIMETER_ID \
  --add-resources=RESOURCES

gcloud access-context-manager perimeters update PERIMETER_ID \
  --add-restricted-services=SERVICES

Aggiungere un livello di accesso a un perimetro esistente

Dopo aver ottenuto hai creato un livello di accesso, puoi applicarlo a un perimetro di servizio per controllare l'accesso.

Dopo aver aggiornato un perimetro di servizio, potrebbero essere necessari fino a 30 minuti prima che le modifiche da propagare e da rendere effettive. Durante questo periodo, il perimetro potrebbe bloccare richieste con il seguente messaggio di errore: Error 403: Request is prohibited by organization's policy.

gcloud access-context-manager perimeters update PERIMETER_ID \
  --add-access-levels=LEVEL_NAME

Elimina un perimetro di servizio

Quando elimini un perimetro di servizio, i controlli di sicurezza associati al perimetro non vengono più applicati ai progetti Google Cloud associati. Non ci sono altri effetti sui progetti Google Cloud membri o risorse associate.

gcloud access-context-manager perimeters delete PERIMETER_ID

Limitare l'accesso ai servizi all'interno di un perimetro con i servizi accessibili da VPC

Questa sezione descrive come abilitare, aggiungere, rimuovere e disabilitare un VPC accessibile i servizi di machine learning.

Puoi utilizzare la funzionalità dei servizi accessibili da VPC per limitare l'insieme di servizi accessibili dagli endpoint di rete all'interno del perimetro di servizio. Puoi aggiungere servizi accessibili da VPC ai perimetri di servizio, ma non bridge perimetrali.

Per saperne di più sulla funzionalità dei servizi accessibili da VPC, scopri di più Servizi accessibili da VPC.

Abilita i servizi accessibili da VPC

Per abilitare i servizi accessibili da VPC per il perimetro di servizio, utilizza il metodo Comando update:

gcloud access-context-manager perimeters update PERIMETER_ID \
  --enable-vpc-accessible-services \
  --add-vpc-allowed-services=SERVICES

Sostituisci quanto segue:

• PERIMETER_ID è l'ID del tuo perimetro di servizio.

• SERVICES è un elenco di uno o più servizi separati da virgole che vuoi consentire alle reti all'interno del tuo perimetro. L'accesso a qualsiasi servizio non incluso in questo elenco è bloccato.

  Per includere rapidamente i servizi protetti dal perimetro, aggiungi RESTRICTED-SERVICES all'elenco per SERVICES. Puoi includere altri servizi oltre a RESTRICTED-SERVICES.

Ad esempio, per garantire che le reti VPC nel tuo perimetro abbiano accesso solo ai servizi Logging e Cloud Storage, utilizza il seguente comando:

gcloud access-context-manager perimeters update example_perimeter \
  --enable-vpc-accessible-services \
  --add-vpc-allowed-services=RESTRICTED-SERVICES,logging.googleapis.com,storage.googleapis.com \
  --policy=11271009391

Aggiungi un servizio ai servizi accessibili da VPC

Per aggiungere ulteriori servizi ai servizi accessibili da VPC per il tuo utilizza il comando update:

gcloud access-context-manager perimeters update PERIMETER_ID \
  --add-vpc-allowed-services=SERVICES

Sostituisci quanto segue:

• PERIMETER_ID è l'ID del tuo perimetro di servizio.

• SERVICES è un elenco di uno o più servizi separati da virgole che vuoi consentire alle reti all'interno del tuo perimetro.

  Per includere rapidamente i servizi protetti dal perimetro, aggiungi RESTRICTED-SERVICES all'elenco per SERVICES. Puoi includere servizi separati oltre a RESTRICTED-SERVICES.

Ad esempio, se abiliti i servizi accessibili da VPC e richiedi che il VPC nel tuo perimetro hanno accesso al servizio Pub/Sub, utilizza il seguente comando:

gcloud access-context-manager perimeters update example_perimeter \
  --add-vpc-allowed-services=RESTRICTED-SERVICES,pubsub.googleapis.com \
  --policy=11271009391

Rimuovere un servizio dai servizi accessibili da VPC

Per rimuovere i servizi dai servizi accessibili da VPC per il perimetro di servizio, utilizza il comando update:

gcloud access-context-manager perimeters update PERIMETER_ID \
  --remove-vpc-allowed-services=SERVICES

Sostituisci quanto segue:

• PERIMETER_ID è l'ID del tuo perimetro di servizio.

• SERVICES è un elenco separato da virgole di uno o più servizi che vuoi rimuovere dall'elenco dei servizi a cui le reti all'interno del tuo perimetro di servizio possono accedere.

Ad esempio, se abiliti i servizi accessibili da VPC e non vuoi più che il VPC alle reti del tuo perimetro per avere accesso al servizio Cloud Storage, utilizza questo comando:

gcloud access-context-manager perimeters update example_perimeter \
  --remove-vpc-allowed-services=storage.googleapis.com \
  --policy=11271009391

Disabilita i servizi accessibili da VPC

Per disabilitare le limitazioni di servizio VPC per il perimetro di servizio, utilizza il metodo Comando update:

gcloud access-context-manager perimeters update PERIMETER_ID \
  --no-enable-vpc-accessible-services \
  --clear-vpc-allowed-services

Sostituisci quanto segue:

• PERIMETER_ID è l'ID del tuo perimetro di servizio.

Ad esempio, per disabilitare le limitazioni di servizio VPC per example_perimeter, utilizza questo comando:

gcloud access-context-manager perimeters update example_perimeter \
  --no-enable-vpc-accessible-services \
  --clear-vpc-allowed-services \
  --policy=11271009391

Servizi accessibili da VPC e API Access Context Manager

Puoi anche utilizzare l'API Access Context Manager per gestire i servizi accessibili tramite VPC. Quando crei o modifichi un perimetro di servizio, utilizza Oggetto ServicePerimeterConfig nel corpo della risposta a per configurare i servizi accessibili da VPC.