VPC Service Controls によるセキュリティの強化

Google Cloud Search は、VPC Service Controls をサポートして、データ セキュリティを強化します。VPC Service Controls を使用すると、Google Cloud リソースの周囲にサービス境界を定義して、データを制約し、データ漏洩のリスクを軽減できます。

注: Cloud Search は、VPC Service Controls の制限付き仮想 IP（VIP）を介したアクセスをサポートしています。制限付き VIP を使用すると、VPC Service Controls と統合された Google Cloud API とサービスにのみトラフィックが到達します。詳細については、Google API とサービスへのプライベート接続を設定するをご覧ください。

前提条件

始める前に、gcloud CLI をインストールします。

VPC Service Controls を有効にする

VPC Service Controls を有効にするには:

1. 使用する Google Cloud プロジェクトのプロジェクト ID とプロジェクト番号を取得します。プロジェクトの識別をご覧ください。

2. gcloud を使用して、Google Cloud 組織のアクセス ポリシーを作成します。

   1. 組織 ID を取得します。
   2. アクセス ポリシーを作成します。
   3. アクセス ポリシーの名前を取得します。
   注: 組織が持つことができるアクセス ポリシーは 1 つのみです。

3. Cloud Search を制限付きサービスとして使用してサービス境界を作成します。

   gcloud access-context-manager perimeters create NAME \
       --title=TITLE \
       --resources=PROJECTS \
       --restricted-services=RESTRICTED-SERVICES \
       --policy=POLICY_NAME
   

   ここで

   • NAME は、境界の名前です。
   • TITLE は、境界のタイトルです。
   • PROJECTS は、プロジェクト番号のカンマ区切りリストです。各プロジェクト番号の前に projects/ が付いています。例: --resources=projects/12345,projects/67890このフラグはプロジェクト番号のみをサポートします。
   • RESTRICTED-SERVICES は、カンマ区切りのリストです。cloudsearch.googleapis.com を使用します。
   • POLICY_NAME は組織のアクセス ポリシーの数値名です。

   詳細については、サービス境界の作成をご覧ください。

4. （省略可）IP またはリージョンベースの制限を適用するには、アクセスレベルを作成して境界に追加します。

   1. アクセスレベルを作成するには、ベーシック アクセスレベルの作成をご覧ください。例については、企業ネットワークへのアクセスを制限するをご覧ください。
   2. アクセスレベルを境界に追加します。既存の境界にアクセスレベルを追加するをご覧ください。伝播には最大 30 分かかることがあります。

5. Cloud Search Customer Service REST API を使用して、保護されたプロジェクトで顧客設定を更新します。

   注: Cloud Search リソースは Google Cloud プロジェクトに保存されないため、VPC Service Controls プロジェクトで顧客設定を更新する必要があります。このプロジェクトは、リソースの仮想コンテナとして機能します。
   1. OAuth 2.0 アクセス トークンを取得します。OAuth 2.0 を使用して Google API にアクセスするをご覧ください。次のいずれかのスコープを使用します。
      • https://www.googleapis.com/auth/cloud_search.settings.indexing
      • https://www.googleapis.com/auth/cloud_search.settings
      • https://www.googleapis.com/auth/cloud_search

   2. 次の curl コマンドを実行します。

      curl --request PATCH \
        'https://cloudsearch.googleapis.com/v1/settings/customer' \
        --header 'Authorization: Bearer [YOUR_ACCESS_TOKEN]' \
        --header 'Accept: application/json' \
        --header 'Content-Type: application/json' \
        --data '{ "vpc_settings": { "project": "projects/PROJECT_ID" } }' \
        --compressed
      

      YOUR_ACCESS_TOKEN と PROJECT_ID を置き換えます。

更新が成功すると、200 OK レスポンスが返されます。VPC Service Controls の制限が、すべての Cloud Search API、cloudsearch.google.com での検索、管理コンソールの構成またはレポートに適用されるようになりました。アクセスレベルに違反するリクエストは、PERMISSION_DENIED エラーを受け取ります。