VPC सर्विस कंट्रोल की मदद से सुरक्षा को बेहतर बनाना

Google Cloud Search, आपके डेटा की सुरक्षा को बेहतर बनाने के लिए, वीपीसी सेवा नियंत्रण के साथ काम करता है. VPC सर्विस कंट्रोल की मदद से, Google Cloud Platform के संसाधनों के लिए एक सर्विस पेरीमीटर तय किया जा सकता है. इससे डेटा को सुरक्षित रखने में मदद मिलती है. साथ ही, डेटा बाहर निकाल जाने के जोखिमों को कम किया जा सकता है.

ध्यान दें: Cloud Search, प्रतिबंधित वीआईपी का इस्तेमाल करता है. इससे एक प्राइवेट नेटवर्क रूट मिलता है, ताकि डेटा और संसाधनों को इंटरनेट से ऐक्सेस न किया जा सके. पाबंदी वाला वीआईपी सेट अप करने के बारे में जानकारी पाने के लिए, Google के एपीआई और सेवाओं से निजी कनेक्टिविटी सेट अप करना लेख पढ़ें.

ज़रूरी शर्तें

शुरू करने से पहले, gcloud कमांड-लाइन इंटरफ़ेस इंस्टॉल करें.

वीपीसी सर्विस कंट्रोल चालू करना

VPC सर्विस कंट्रोल चालू करने के लिए:

1. उस Google Cloud Platform प्रोजेक्ट के प्रोजेक्ट आईडी और प्रोजेक्ट नंबर पाएं जिसका आपको इस्तेमाल करना है. प्रोजेक्ट आईडी और नंबर पाने के लिए, प्रोजेक्ट की पहचान करना लेख पढ़ें.

2. gcloud का इस्तेमाल करके, अपने Google Cloud Platform संगठन के लिए ऐक्सेस नीति बनाएं:

   1. अपने संगठन का आईडी पाएं.
   2. ऐक्सेस नीति बनाएं.
   3. अपनी ऐक्सेस नीति का नाम पाएं.
   ध्यान दें: संगठनों के लिए, सिर्फ़ एक ऐक्सेस नीति लागू की जा सकती है. अगर अपने संगठन के लिए दूसरी ऐक्सेस नीति बनाने की कोशिश की जाती है, तो गड़बड़ी होती है.

3. Cloud Search को प्रतिबंधित सेवा के तौर पर इस्तेमाल करने के लिए, सेवा पेरीमीटर बनाएं. इसके लिए, यह gcloud कमांड चलाएं:

   gcloud access-context-manager perimeters create NAME \
       --title=TITLE \
       --resources=PROJECTS \
       --restricted-services=RESTRICTED-SERVICES \
       --policy=POLICY_NAME
   

   कहां:

   • NAME, पेरीमीटर का नाम है.
   • TITLE, पेरीमीटर का ऐसा टाइटल है जिसे आसानी से पढ़ा जा सकता है.
   • PROJECTS एक या उससे ज़्यादा प्रोजेक्ट नंबर की कॉमा-सेपरेटेड लिस्ट है. हर प्रोजेक्ट नंबर से पहले projects/ स्ट्रिंग मौजूद होती है. पहले चरण में मिले प्रोजेक्ट नंबर का इस्तेमाल करें. उदाहरण के लिए, अगर आपके पास दो प्रोजेक्ट हैं, प्रोजेक्ट 12345 और 67890, तो आपकी सेटिंग --resource=projects/12345, project/67890 होगी. यह फ़्लैग सिर्फ़ प्रोजेक्ट नंबर के साथ काम करता है. यह नाम या आईडी के साथ काम नहीं करता.
   • RESTRICTED-SERVICES एक या उससे ज़्यादा सेवाओं की कॉमा से अलग की गई सूची है. cloudsearch.googleapis.com का इस्तेमाल करें.
   • POLICY_NAME आपके संगठन की ऐक्सेस नीति का संख्यात्मक नाम है. यह आपको चरण 2c में मिला था.

   सेवा पैरामीटर बनाने के तरीके के बारे में ज़्यादा जानने के लिए, सेवा पैरामीटर बनाना लेख पढ़ें.

4. (ज़रूरी नहीं) अगर आपको आईपी या क्षेत्र के हिसाब से पाबंदियां लागू करनी हैं, तो ऐक्सेस लेवल बनाएं और उन्हें तीसरे चरण में बनाए गए सेवा के दायरे में जोड़ें:

   1. ऐक्सेस लेवल बनाने के लिए, बेसिक ऐक्सेस लेवल बनाना लेख पढ़ें. ऐक्सेस लेवल की ऐसी शर्त बनाने के तरीके के बारे में उदाहरण देखें जो सिर्फ़ आईपी पतों की किसी खास रेंज से ऐक्सेस करने की अनुमति देती है. जैसे, कॉर्पोरेट नेटवर्क में मौजूद आईपी पते. इसके लिए, कॉर्पोरेट नेटवर्क पर ऐक्सेस सीमित करना लेख पढ़ें.
   2. ऐक्सेस लेवल बनाने के बाद, उसे सेवा के दायरे में जोड़ें. किसी सेवा के पेरीमीटर में ऐक्सेस लेवल जोड़ने के निर्देशों के लिए, मौजूदा पेरीमीटर में ऐक्सेस लेवल जोड़ना लेख पढ़ें. इस बदलाव को लागू होने में 30 मिनट लग सकते हैं.

5. Cloud Search Customer Service REST API का इस्तेमाल करके, ग्राहक की सेटिंग को अपडेट करें. इसके लिए, VPC सर्विस कंट्रोल के पेरीमीटर से सुरक्षित किए गए प्रोजेक्ट का इस्तेमाल करें:

ध्यान दें: Cloud Search के संसाधन, Google Cloud Platform प्रोजेक्ट में सेव नहीं किए जाते हैं. इसलिए, आपको Cloud Search की ग्राहक सेटिंग को, VPC सेवा नियंत्रण के पेरीमीटर से सुरक्षित किए गए प्रोजेक्ट के साथ अपडेट करना होगा. VPC सर्विस कंट्रोल प्रोजेक्ट, आपके सभी Cloud Search संसाधनों के लिए वर्चुअल प्रोजेक्ट कंटेनर के तौर पर काम करता है. यह मैपिंग बनाए बिना, VPC सर्विस कंट्रोल, Cloud Search API के लिए काम नहीं करेगा.

1. Google Authorization Server से OAuth 2.0 का ऐक्सेस टोकन पाएं. टोकन पाने के बारे में जानकारी के लिए, OAuth 2.0 का इस्तेमाल करके, Google API को ऐक्सेस करना लेख का दूसरा चरण देखें. ऐक्सेस टोकन हासिल करते समय, OAuth के इनमें से किसी एक स्कोप का इस्तेमाल करें: https://www.googleapis.com/auth/cloud_search.settings.indexing, https://www.googleapis.com/auth/cloud_search.settings, या https://www.googleapis.com/auth/cloud_search

2. Google Cloud Search में ग्राहक सेटिंग के तहत, वीपीसी सर्विस कंट्रोल की सेटिंग में प्रोजेक्ट सेट करने के लिए, यह कर्ल कमांड चलाएं:

   curl --request PATCH \
     'https://cloudsearch.googleapis.com/v1/settings/customer' \
     --header 'Authorization: Bearer [YOUR_ACCESS_TOKEN]' \
     --header 'Accept: application/json' \
     --header 'Content-Type: application/json' \
     --data '{ "vpc_settings": { "project": "projects/PROJECT_ID" } }' \
     --compressed
   

   कहां:

• YOUR_ACCESS_TOKEN, चरण 5a में मिला OAuth 2.0 ऐक्सेस टोकन है.

• PROJECT_ID वह प्रोजेक्ट आईडी है जो आपको पहले चरण में मिला था.

  अगर अनुरोध पूरा हो जाता है, तो आपको 200 OK रिस्पॉन्स मिलेगा. साथ ही, ग्राहक की अपडेट की गई सेटिंग भी मिलेंगी.

ऊपर दिए गए चरणों को पूरा करने के बाद, सेवा पेरीमीटर में तय की गई वीपीसी सर्विस कंट्रोल की पाबंदियां, Google Cloud Search के सभी एपीआई, cloudsearch.google.com पर की गई खोजों, और Admin console का इस्तेमाल करके कॉन्फ़िगरेशन या रिपोर्ट देखने और बदलने पर लागू होती हैं. Google Cloud Search API के लिए किए गए ऐसे अनुरोधों को PERMISSION_DENIED “Request is prohibited by organization’s policy” गड़बड़ी का मैसेज मिलता है जो ऐक्सेस लेवल के मुताबिक नहीं होते.