VPC Service Controls によるセキュリティの強化

Google Cloud Search は、VPC Service Controls をサポートして、データのセキュリティを強化します。VPC Service Controls を使用すると、Google Cloud リソースの周囲にサービス境界を定義して、データを制約し、データ漏洩のリスクを軽減できます。

注: Cloud Search は、VPC Service Controls の制限付き仮想 IP（VIP）を介したアクセスをサポートしています。制限付き VIP により、トラフィックは VPC Service Controls と統合された Google Cloud API とサービスにのみ到達できます。詳細については、 Google API とサービスへのプライベート接続の設定をご覧ください。

前提条件

始める前に、 gcloud CLI をインストールしてください。

VPC Service Controls を有効にする

VPC Service Controls を有効にするには:

1. 使用する Google Cloud プロジェクトのプロジェクト ID と番号を取得します。プロジェクトの識別をご覧ください。

2. gcloud を使用して、Google Cloud 組織のアクセス ポリシーを作成します。

   1. 組織 ID を取得します。
   2. アクセス ポリシーを作成します。
   3. アクセス ポリシーの名前を取得します。
   注: 組織が持つことができるアクセス ポリシーは 1 つのみです。

3. Cloud Search を制限付きサービスとして使用して、サービス境界を作成します。

   gcloud access-context-manager perimeters create NAME \
       --title=TITLE \
       --resources=PROJECTS \
       --restricted-services=RESTRICTED-SERVICES \
       --policy=POLICY_NAME
   

   ここで

   • NAME は境界の名前です。
   • TITLE は境界のタイトルです。
   • PROJECTS は、プロジェクト番号のカンマ区切りのリストです。各プロジェクト番号の前に projects/ が付きます。例: --resources=projects/12345,projects/67890。 このフラグはプロジェクト番号のみをサポートします。
   • RESTRICTED-SERVICES はカンマ区切りのリストです。cloudsearch.googleapis.com を使用します。
   • POLICY_NAME は組織のアクセス ポリシーの数値名です。

   詳細については、 サービス境界の作成をご覧ください。

4. （省略可）IP またはリージョン ベースの制限を適用するには、アクセスレベルを作成して境界に追加します。

   1. アクセスレベルを作成するには、 基本的なアクセスレベルを作成するをご覧ください。 例については、 企業ネットワークでのアクセスを制限するをご覧ください。
   2. アクセスレベルを境界に追加します。既存の境界にアクセスレベルを追加するをご覧ください。伝播には最大 30 分かかることがあります。

5. Cloud Search Customer Service REST API を使用して、保護されたプロジェクトでお客様の設定を更新します。

   注: Cloud Search リソースは Google Cloud プロジェクトに保存されないため、VPC Service Controls プロジェクトでお客様の設定を更新する必要があります。このプロジェクトは、リソースの仮想コンテナとして機能します。
   1. OAuth 2.0 アクセス トークンを取得します。OAuth 2.0 を使用して Google API にアクセスするをご覧ください。 次のいずれかのスコープを使用します。
      • https://www.googleapis.com/auth/cloud_search.settings.indexing
      • https://www.googleapis.com/auth/cloud_search.settings
      • https://www.googleapis.com/auth/cloud_search

   2. 次の curl コマンドを実行します。

      curl --request PATCH \
        'https://cloudsearch.googleapis.com/v1/settings/customer' \
        --header 'Authorization: Bearer [YOUR_ACCESS_TOKEN]' \
        --header 'Accept: application/json' \
        --header 'Content-Type: application/json' \
        --data '{ "vpc_settings": { "project": "projects/PROJECT_ID" } }' \
        --compressed
      

      YOUR_ACCESS_TOKEN と PROJECT_ID を置き換えます。

更新が成功すると、200 OK レスポンスが返されます。VPC Service Controls の制限が、すべての Cloud Search API、cloudsearch.google.com での検索、管理コンソールの構成またはレポートに適用されます。 アクセスレベルに違反するリクエストは、PERMISSION_DENIED エラーを受け取ります。