Google Cloud Search は VPC Service Controls を サポートしてデータのセキュリティを強化しますVPC Service Controls を使用すると、Google Cloud Platform リソースのサービス境界を定義して、データを制約し、データ漏洩のリスクを軽減できます。
前提条件
始める前に、gcloud コマンドライン インターフェースをインストールします。
VPC Service Controls を有効にする
VPC Service Controls を有効にするには:
使用する Google Cloud Platform プロジェクトのプロジェクト ID とプロジェクト番号を取得します。プロジェクト ID と番号を取得するには、プロジェクトの識別をご覧ください。
gcloud を使用して、Google Cloud Platform 組織のアクセス ポリシーを作成します。
次の gcloud コマンドを実行して、Cloud Search を制限付きサービスとしてサービス境界を作成します。
gcloud access-context-manager perimeters create NAME \ --title=TITLE \ --resources=PROJECTS \ --restricted-services=RESTRICTED-SERVICES \ --policy=POLICY_NAMEここで
NAMEは、境界の名前です。TITLEは、人間が読める境界のタイトルです。PROJECTSは、1 つ以上のプロジェクト番号のカンマ区切りのリストで、各プロジェクト番号の前にprojects/という文字列が付加されます。手順 1 で取得したプロジェクト番号を使用します。たとえば、プロジェクト12345と67890の 2 つのプロジェクトがある場合、設定は--resource=projects/12345, project/67890になります。このフラグはプロジェクト番号のみをサポートし、名前や ID はサポートされません。RESTRICTED-SERVICESは、1 つ以上のサービスのカンマ区切りのリストです。cloudsearch.googleapis.comを使用します。POLICY_NAMEは、手順 2c で取得した組織のアクセス ポリシーの名前です。
サービス境界の作成方法については、サービス境界の作成をご覧ください。
（省略可）IP またはリージョンベースの制限を適用する場合は、アクセスレベルを作成して、手順 3 で作成したサービス境界に追加します。
- アクセスレベルを作成するには、基本アクセスレベルの作成をご覧ください。企業ネットワーク内の IP アドレスなど、特定の範囲の IP アドレスからのアクセスのみを許可するアクセスレベル条件を作成する例については、企業ネットワーク上のアクセスを制限するをご覧ください。
- アクセスレベルを作成したら、サービス境界に追加します。サービス境界にアクセスレベルを追加する手順については、既存の境界にアクセスレベルを追加するをご覧ください。この変更が反映されて有効になるまでに 30 分ほどかかることがあります。
Cloud Search Customer Service REST API を使用して、VPC Service Controls の境界で保護されたプロジェクトでお客様の設定を更新します。
Google 承認サーバーから OAuth 2.0 アクセス トークンを取得します。トークンの取得については、OAuth 2.0 を使用した Google API へのアクセスのステップ 2 をご覧ください。アクセス トークンを取得するときに、
https://www.googleapis.com/auth/cloud_search.settings.indexing、https://www.googleapis.com/auth/cloud_search.settings、https://www.googleapis.com/auth/cloud_searchのいずれかの OAuth スコープを使用します。次の curl コマンドを実行して、Google Cloud Search の [顧客の設定] にある VPC Service Controls の設定でプロジェクトを設定します。
curl --request PATCH \ 'https://cloudsearch.googleapis.com/v1/settings/customer' \ --header 'Authorization: Bearer [YOUR_ACCESS_TOKEN]' \ --header 'Accept: application/json' \ --header 'Content-Type: application/json' \ --data '{ "vpc_settings": { "project": "projects/PROJECT_ID" } }' \ --compressedここで
YOUR_ACCESS_TOKENは、手順 5a で取得した OAuth 2.0 アクセス トークンです。PROJECT_IDは、手順 1 で取得したプロジェクト ID です。成功すると、更新された顧客設定を含む
200 OKレスポンスが返されます。
上記の手順が正常に完了すると、サービス境界で定義されている VPC Service Controls の制限がすべての Google Cloud Search API、cloudsearch.google.com での検索、管理コンソールを使用した構成やレポートの表示と変更に適用されます。アクセスレベルに準拠していない Google Cloud Search API へのリクエストは、PERMISSION_DENIED “Request is prohibited by organization’s policy” エラーになります。