เพิ่มความปลอดภัยด้วยการควบคุมบริการ VPC

Google Cloud Search รองรับการควบคุมบริการ VPC เพื่อเพิ่มความปลอดภัยของข้อมูล การควบคุมบริการ VPC ช่วยให้คุณกำหนดขอบเขตบริการรอบๆ ทรัพยากร Google Cloud เพื่อจำกัดข้อมูลและลดความเสี่ยงในการขโมยข้อมูลได้

หมายเหตุ: Cloud Search รองรับการเข้าถึงผ่านการควบคุมบริการ VPC ที่มี IP เสมือน (VIP) แบบจำกัด VIP ที่จำกัดจะช่วยให้มั่นใจได้ว่าการรับส่งข้อมูลจะเข้าถึงได้เฉพาะ Google Cloud APIs และบริการที่ผสานรวมกับการควบคุมบริการ VPC เท่านั้น ดูข้อมูลเพิ่มเติมได้ที่ตั้งค่าการเชื่อมต่อส่วนตัวกับ Google API และบริการ

ข้อกำหนดเบื้องต้น

ก่อนเริ่มต้น ให้ติดตั้ง gcloud CLI

เปิดใช้การควบคุมบริการ VPC

วิธีเปิดใช้การควบคุมบริการ VPC

1. รับรหัสและหมายเลขโปรเจ็กต์สำหรับโปรเจ็กต์ Google Cloud ที่คุณต้องการใช้ ดูการระบุโปรเจ็กต์

2. ใช้ gcloud เพื่อสร้างนโยบายการเข้าถึงสำหรับองค์กร Google Cloud

   1. รับรหัสองค์กร
   2. สร้างนโยบายการเข้าถึง
   3. รับชื่อของนโยบายการเข้าถึง
   หมายเหตุ: องค์กรมีได้เพียงนโยบายการเข้าถึงเดียว

3. สร้างขอบเขตบริการโดยใช้ Cloud Search เป็นบริการที่ถูกจำกัด

   gcloud access-context-manager perimeters create NAME \
       --title=TITLE \
       --resources=PROJECTS \
       --restricted-services=RESTRICTED-SERVICES \
       --policy=POLICY_NAME
   

   สถานที่:

   • NAME คือชื่อขอบเขต
   • TITLE คือชื่อขอบเขต
   • PROJECTS คือรายการหมายเลขโปรเจ็กต์ที่คั่นด้วยคอมมา โดยแต่ละหมายเลขจะนำหน้าด้วย projects/ เช่น --resources=projects/12345,projects/67890 โดยแฟล็กนี้รองรับเฉพาะหมายเลขโปรเจ็กต์
   • RESTRICTED-SERVICES คือรายการที่คั่นด้วยคอมมา ใช้ cloudsearch.googleapis.com
   • POLICY_NAME คือชื่อที่เป็นตัวเลขของนโยบายการเข้าถึงขององค์กร

   โปรดดูข้อมูลเพิ่มเติมที่หัวข้อ การสร้างขอบเขตบริการ

4. (ไม่บังคับ) หากต้องการใช้ข้อจำกัดตาม IP หรือภูมิภาค ให้สร้างระดับการเข้าถึง แล้วเพิ่มลงในขอบเขต

   1. หากต้องการสร้างระดับการเข้าถึง โปรดดูการสร้างระดับการเข้าถึงพื้นฐาน ดูตัวอย่างได้ที่ จำกัดการเข้าถึงในเครือข่ายขององค์กร
   2. เพิ่มระดับการเข้าถึงลงในขอบเขต ดูการเพิ่มระดับการเข้าถึงลงในขอบเขตที่มีอยู่ การเผยแพร่อาจใช้เวลาถึง 30 นาที

5. ใช้ REST API ของฝ่ายบริการลูกค้าของ Cloud Search เพื่ออัปเดต การตั้งค่าลูกค้าด้วยโปรเจ็กต์ที่ได้รับการปกป้อง

   หมายเหตุ: เนื่องจากไม่ได้จัดเก็บทรัพยากร Cloud Search ไว้ในโปรเจ็กต์ Google Cloud คุณจึงต้องอัปเดตการตั้งค่าลูกค้าด้วยโปรเจ็กต์การควบคุมบริการ VPC โปรเจ็กต์นี้ทำหน้าที่เป็นคอนเทนเนอร์เสมือนสำหรับ ทรัพยากรของคุณ
   1. รับโทเค็นเพื่อการเข้าถึง OAuth 2.0 ดูการใช้ OAuth 2.0 เพื่อเข้าถึง Google APIs ใช้ขอบเขตใดขอบเขตหนึ่งต่อไปนี้
      • https://www.googleapis.com/auth/cloud_search.settings.indexing
      • https://www.googleapis.com/auth/cloud_search.settings
      • https://www.googleapis.com/auth/cloud_search

   2. เรียกใช้คำสั่ง curl นี้

      curl --request PATCH \
        'https://cloudsearch.googleapis.com/v1/settings/customer' \
        --header 'Authorization: Bearer [YOUR_ACCESS_TOKEN]' \
        --header 'Accept: application/json' \
        --header 'Content-Type: application/json' \
        --data '{ "vpc_settings": { "project": "projects/PROJECT_ID" } }' \
        --compressed
      

      แทนที่ YOUR_ACCESS_TOKEN และ PROJECT_ID

การอัปเดตที่สำเร็จจะแสดงการตอบกลับ 200 OK ตอนนี้ข้อจำกัดของ VPC Service Controls จะมีผลกับ Cloud Search APIs, การค้นหาที่ cloudsearch.google.com และการกำหนดค่าหรือรายงานในคอนโซลผู้ดูแลระบบทั้งหมด คำขอที่ละเมิดระดับการเข้าถึงจะได้รับข้อผิดพลาด PERMISSION_DENIED