Tăng cường bảo mật bằng tính năng Kiểm soát dịch vụ VPC

Google Cloud Search hỗ trợ giải pháp VPC Service Controls để tăng cường bảo mật dữ liệu. VPC Service Controls cho phép bạn xác định phạm vi dịch vụ xung quanh các tài nguyên Google Cloud Platform để ràng buộc dữ liệu và giúp giảm thiểu rủi ro đánh cắp dữ liệu.

Lưu ý: Cloud Search hỗ trợ địa chỉ IP bị hạn chế, trong đó cung cấp tuyến mạng riêng để khiến không thể truy cập vào dữ liệu và tài nguyên trên Internet. Để biết thông tin về cách thiết lập VIP bị hạn chế, hãy tham khảo bài viết Thiết lập kết nối riêng tư với các API và dịch vụ của Google.

Điều kiện tiên quyết

Trước khi bắt đầu, hãy cài đặt giao diện dòng lệnh gcloud.

Bật VPC Service Controls

Cách bật VPC Service Controls:

1. Lấy mã dự án và số dự án cho dự án Google Cloud Platform bạn muốn sử dụng. Để lấy mã và số dự án, hãy tham khảo phần Xác định dự án.

2. Hãy sử dụng gcloud để tạo chính sách truy cập cho tổ chức Google Cloud Platform của bạn:

   1. Lấy mã tổ chức của bạn.
   2. Tạo chính sách truy cập.
   3. Xem tên của chính sách về quyền truy cập.
   Lưu ý: Các tổ chức chỉ có thể có một chính sách về quyền truy cập. Nếu bạn cố tạo chính sách về quyền truy cập thứ hai cho tổ chức của mình, thì sẽ xảy ra lỗi.

3. Tạo phạm vi dịch vụ với Cloud Search dưới dạng dịch vụ bị hạn chế bằng cách chạy lệnh gcloud sau đây:

   gcloud access-context-manager perimeters create NAME \
       --title=TITLE \
       --resources=PROJECTS \
       --restricted-services=RESTRICTED-SERVICES \
       --policy=POLICY_NAME
   

   Trong trường hợp:

   • NAME là tên của chu vi.
   • TITLE là tiêu đề mà con người có thể đọc được của chu vi.
   • PROJECTS là một danh sách được phân tách bằng dấu phẩy gồm một hoặc nhiều số dự án, bắt đầu bằng chuỗi projects/. Sử dụng các số dự án thu được ở bước 1. Ví dụ: nếu bạn có 2 dự án, dự án 12345 và 67890, chế độ cài đặt của bạn sẽ là --resource=projects/12345, project/67890 .Cờ này chỉ hỗ trợ số dự án chứ không hỗ trợ tên hoặc mã nhận dạng.
   • RESTRICTED-SERVICES là danh sách được phân tách bằng dấu phẩy gồm một hoặc nhiều dịch vụ. Sử dụng tài khoản cloudsearch.googleapis.com.
   • POLICY_NAME là tên dạng số của chính sách truy cập mà tổ chức của bạn đã nhận được ở bước 2c.

   Để biết thêm thông tin về cách tạo phạm vi dịch vụ, hãy tham khảo bài viết Tạo phạm vi dịch vụ.

4. (không bắt buộc) Nếu bạn muốn áp dụng các quy tắc hạn chế theo IP hoặc khu vực, hãy tạo các cấp truy cập và thêm các cấp truy cập đó vào phạm vi dịch vụ đã tạo ở bước 3:

   1. Để tạo một cấp truy cập, hãy tham khảo bài viết Tạo cấp truy cập cơ bản. Để xem ví dụ về cách tạo một điều kiện cấp truy cập chỉ cho phép truy cập từ một dải địa chỉ IP cụ thể, chẳng hạn như các địa chỉ IP trong mạng công ty, hãy tham khảo bài viết Giới hạn quyền truy cập trên mạng công ty.
   2. Sau khi bạn tạo một cấp truy cập, hãy thêm cấp truy cập đó vào phạm vi dịch vụ. Để biết hướng dẫn về cách thêm cấp truy cập vào phạm vi dịch vụ, hãy tham khảo phần Thêm cấp truy cập vào phạm vi hiện có. Thay đổi này có thể mất tối đa 30 phút để thay đổi có hiệu lực.

5. Sử dụng API REST dịch vụ khách hàng của Cloud Search để cập nhật chế độ cài đặt khách hàng bằng dự án được bảo vệ theo phạm vi của VPC Service Controls:

Lưu ý: Vì tài nguyên trên Cloud Search không được lưu trữ trong một dự án Google Cloud Platform, nên bạn phải cập nhật chế độ cài đặt cho khách hàng của Cloud Search bằng dự án được bảo vệ theo phạm vi của dịch vụ VPC Services. Dự án VPC Service Controls hoạt động như một vùng chứa dự án ảo cho tất cả tài nguyên Cloud Search của bạn. Nếu không tạo mối liên kết này, VPC Service Controls sẽ không hoạt động cho Cloud Search API.

1. Lấy mã truy cập OAuth 2.0 từ Máy chủ Uỷ quyền của Google. Để biết thông tin về cách lấy mã thông báo, hãy tham khảo bước 2 của bài viết Sử dụng OAuth 2.0 để truy cập API của Google. Khi lấy mã truy cập, hãy sử dụng một trong các phạm vi OAuth sau: https://www.googleapis.com/auth/cloud_search.settings.indexing, https://www.googleapis.com/auth/cloud_search.settings hoặc https://www.googleapis.com/auth/cloud_search

2. Chạy lệnh curl sau đây để thiết lập dự án trong phần cài đặt VPC Service Controls trong phần Customer settings (Cài đặt khách hàng) trong Google Cloud Search:

   curl --request PATCH \
     'https://cloudsearch.googleapis.com/v1/settings/customer' \
     --header 'Authorization: Bearer [YOUR_ACCESS_TOKEN]' \
     --header 'Accept: application/json' \
     --header 'Content-Type: application/json' \
     --data '{ "vpc_settings": { "project": "projects/PROJECT_ID" } }' \
     --compressed
   

   Trong trường hợp:

• YOUR_ACCESS_TOKEN là mã truy cập OAuth 2.0 lấy được ở bước 5a.

• PROJECT_ID là mã dự án thu được ở bước 1.

  Nếu thành công, bạn sẽ nhận được phản hồi 200 OK kèm theo các chế độ cài đặt khách hàng đã cập nhật.

Sau khi hoàn tất các bước trên, các hạn chế của VPC Service Controls, như xác định trong phạm vi dịch vụ, sẽ được áp dụng cho tất cả các API Google Cloud Search, tìm kiếm tại cloudsearch.google.com cũng như xem và thay đổi cấu hình hoặc báo cáo bằng Bảng điều khiển dành cho quản trị viên. Các yêu cầu tiếp theo đến API Google Cloud Search không tuân theo các cấp truy cập sẽ nhận được lỗi PERMISSION_DENIED “Request is prohibited by organization’s policy”.