Mehr Sicherheit mit VPC Service Controls

Google Cloud Search unterstützt VPC Service Controls, um die Datensicherheit zu erhöhen. Mit VPC Service Controls können Sie einen Dienstperimeter für Google Cloud-Ressourcen definieren, um Daten einzuschränken und das Risiko einer Exfiltration zu minimieren.

Hinweis: Cloud Search unterstützt den Zugriff über die eingeschränkte virtuelle IP (VIP) von VPC Service Controls. Die eingeschränkte VIP sorgt dafür, dass Traffic nur Google Cloud APIs und ‑Dienste erreichen kann, die in VPC Service Controls integriert wurden. Weitere Informationen finden Sie unter Private Verbindung zu Google APIs und ‑Diensten einrichten.

Vorbereitung

Installieren Sie zuerst die gcloud CLI.

VPC Service Controls aktivieren

So aktivieren Sie VPC Service Controls:

1. Rufen Sie die Projekt-IDs und ‑Nummern für das Google Cloud-Projekt ab, das Sie verwenden möchten. Weitere Informationen finden Sie unter Projekte identifizieren.

2. Erstellen Sie mit gcloud eine Zugriffsrichtlinie für Ihre Google Cloud-Organisation:

   1. Rufen Sie Ihre Organisations-ID ab.
   2. Erstellen Sie eine Zugriffsrichtlinie.
   3. Rufen Sie den Namen Ihrer Zugriffsrichtlinie ab.
   Hinweis: Organisationen können nur eine Zugriffsrichtlinie haben.

3. Erstellen Sie einen Dienstperimeter mit Cloud Search als eingeschränkten Dienst:

   gcloud access-context-manager perimeters create NAME \
       --title=TITLE \
       --resources=PROJECTS \
       --restricted-services=RESTRICTED-SERVICES \
       --policy=POLICY_NAME
   

   Wobei:

   • NAME ist der Name des Perimeters.
   • TITLE ist der Titel des Perimeters.
   • PROJECTS ist eine durch Kommas getrennte Liste von Projektnummern, die jeweils mit projects/ beginnen. Beispiel: --resources=projects/12345,projects/67890. Dieses Flag unterstützt nur Projektnummern.
   • RESTRICTED-SERVICES ist eine durch Kommas getrennte Liste. Verwenden Sie cloudsearch.googleapis.com.
   • POLICY_NAME ist der numerische Name der Zugriffsrichtlinie Ihrer Organisation.

   Weitere Informationen finden Sie unter Dienstperimeter erstellen.

4. (Optional) Wenn Sie IP- oder regionsbasierte Einschränkungen anwenden möchten, erstellen Sie Zugriffsebenen und fügen Sie sie dem Perimeter hinzu:

   1. Informationen zum Erstellen einer Zugriffsebene finden Sie unter Einfache Zugriffsebene erstellen. Ein Beispiel finden Sie unter Zugriff auf ein Unternehmensnetzwerk beschränken.
   2. Fügen Sie dem Perimeter die Zugriffsebene hinzu. Weitere Informationen finden Sie unter Zugriffsebene zu einem vorhandenen Perimeter hinzufügen. Die Weitergabe kann bis zu 30 Minuten dauern.

5. Aktualisieren Sie die Kundeneinstellungen mit Ihrem geschützten Projekt über die Cloud Search Customer Service REST API:

   Hinweis: Da Cloud Search-Ressourcen nicht in einem Google Cloud-Projekt gespeichert werden, müssen Sie die Kundeneinstellungen mit dem VPC Service Controls-Projekt aktualisieren. Dieses Projekt fungiert als virtueller Container für Ihre Ressourcen.
   1. Rufen Sie ein OAuth 2.0-Zugriffstoken ab. Weitere Informationen finden Sie unter Mit OAuth 2.0 auf Google APIs zugreifen. Verwenden Sie einen der folgenden Bereiche:
      • https://www.googleapis.com/auth/cloud_search.settings.indexing
      • https://www.googleapis.com/auth/cloud_search.settings
      • https://www.googleapis.com/auth/cloud_search

   2. Führen Sie diesen curl-Befehl aus:

      curl --request PATCH \
        'https://cloudsearch.googleapis.com/v1/settings/customer' \
        --header 'Authorization: Bearer [YOUR_ACCESS_TOKEN]' \
        --header 'Accept: application/json' \
        --header 'Content-Type: application/json' \
        --data '{ "vpc_settings": { "project": "projects/PROJECT_ID" } }' \
        --compressed
      

      Ersetzen Sie YOUR_ACCESS_TOKEN und PROJECT_ID.

Bei einer erfolgreichen Aktualisierung wird die Antwort 200 OK zurückgegeben. Die Einschränkungen von VPC Service Controls gelten jetzt für alle Cloud Search APIs, Suchanfragen unter cloudsearch.google.com und Konfigurationen oder Berichte in der Admin-Konsole. Bei Anfragen, die gegen Zugriffsebenen verstoßen, wird der Fehler PERMISSION_DENIED zurückgegeben.