O Google Cloud Search oferece suporte ao VPC Service Controls para melhorar a segurança dos dados. Com o VPC Service Controls, é possível definir um perímetro de serviço em torno dos recursos do Google Cloud Platform para restringir os dados e ajudar na redução dos riscos de exfiltração de dados.
Pré-requisitos
Antes de começar, instale a interface de linha de comando gcloud.
Ativar o VPC Service Controls
Para ativar o VPC Service Controls:
Consiga os IDs e os números do projeto do Google Cloud Platform que você quer usar. Para conseguir os IDs e números de projetos, consulte Identificar projetos.
Use a gcloud para criar uma política de acesso para sua organização do Google Cloud Platform:
Crie um perímetro de serviço com o Cloud Search como um serviço restrito executando o seguinte comando gcloud:
gcloud access-context-manager perimeters create NAME \ --title=TITLE \ --resources=PROJECTS \ --restricted-services=RESTRICTED-SERVICES \ --policy=POLICY_NAME
Em que:
NAME
é o nome do perímetro.TITLE
é o título legível do perímetro.PROJECTS
é uma lista separada por vírgulas de um ou mais números de projeto, cada um precedido pela stringprojects/
. Use os números de projeto da etapa 1. Por exemplo, se você tivesse dois projetos,12345
e67890
, sua configuração seria--resource=projects/12345, project/67890
.Essa sinalização aceita apenas números de projeto, não nomes ou IDs.RESTRICTED-SERVICES
é uma lista separada por vírgulas de um ou mais serviços. Usecloudsearch.googleapis.com
.POLICY_NAME
é o nome numérico da política de acesso da organização alcançada na etapa 2c.
Para mais informações sobre como criar um perímetro de serviço, consulte Como criar um perímetro de serviço.
(Opcional) Se você quiser aplicar restrições baseadas em IP ou região, crie níveis de acesso e adicione-os ao perímetro de serviço criado na etapa 3:
- Para criar um nível de acesso, consulte Como criar um nível de acesso básico. Para um exemplo de como criar uma condição de nível de acesso que permita apenas o acesso a partir de um intervalo específico de endereços IP, como aqueles dentro de uma rede corporativa, consulte Limitar o acesso em uma rede corporativa.
- Depois de criar um nível de acesso, adicione-o ao perímetro de serviço. Para instruções sobre como adicionar um nível de acesso a um perímetro de serviço, consulte Como adicionar um nível de acesso a um perímetro atual. Essa alteração pode levar até 30 minutos para ser propagada e entrar em vigor.
Use a API REST do atendimento ao cliente do Cloud Search para atualizar as configurações do cliente com seu projeto protegido por perímetro do VPC Service Controls:
Conseguir um token de acesso do OAuth 2.0 do servidor de autorização do Google. Para informações sobre como conseguir o token, consulte a etapa 2 em Como usar o OAuth 2.0 para acessar as APIs do Google. Ao receber o token de acesso, use um dos seguintes escopos do OAuth:
https://www.googleapis.com/auth/cloud_search.settings.indexing
,https://www.googleapis.com/auth/cloud_search.settings
ouhttps://www.googleapis.com/auth/cloud_search
.Execute o seguinte comando curl para definir o projeto nas configurações do VPC Service Controls em "Configurações do cliente" no Google Cloud Search:
curl --request PATCH \ 'https://cloudsearch.googleapis.com/v1/settings/customer' \ --header 'Authorization: Bearer [YOUR_ACCESS_TOKEN]' \ --header 'Accept: application/json' \ --header 'Content-Type: application/json' \ --data '{ "vpc_settings": { "project": "projects/PROJECT_ID" } }' \ --compressed
Em que:
YOUR_ACCESS_TOKEN
é o token de acesso do OAuth 2.0 obtido na etapa 5a.PROJECT_ID
é o ID do projeto extraído na etapa 1.Se for bem-sucedido, você receberá uma resposta
200 OK
acompanhada pelas configurações atualizadas do cliente.
Depois que as etapas acima forem concluídas com sucesso, as restrições do VPC Service Controls,
conforme definidas no perímetro de serviço, serão aplicadas a todas as APIs
do Google Cloud Search, pesquisas em cloudsearch.google.com
e visualização e
alteração de configurações ou relatórios usando o Admin Console. Outras solicitações à API Google Cloud Search que não seguem os níveis de acesso recebem um erro PERMISSION_DENIED “Request is prohibited by organization’s policy”
.