VPC Hizmet Kontrolleri ile güvenliği artırma

Google Cloud Search, veri güvenliğini artırmak için VPC Hizmet Kontrolleri'ni destekler. VPC Hizmet Kontrolleri, verileri sınırlandırmak ve veri hırsızlığı risklerini azaltmak için Google Cloud kaynakları etrafında bir hizmet çevresi tanımlamanıza olanak tanır.

Not: Cloud Search, VPC Hizmet Kontrolleri ile kısıtlanmış sanal IP (VIP) üzerinden erişimi destekler. Kısıtlanmış VIP, trafiğin yalnızca VPC Hizmet Kontrolleri ile entegre edilmiş Google Cloud API'lerine ve hizmetlerine ulaşabilmesini sağlar. Daha fazla bilgi için Google API'leri ve hizmetleri ile özel bağlantı kurma başlıklı makaleye bakın.

Ön koşullar

Başlamadan önce gcloud CLI'yı yükleyin.

VPC Hizmet Kontrolleri'ni etkinleştirme

VPC Hizmet Kontrolleri'ni etkinleştirmek için:

1. Kullanmak istediğiniz Google Cloud projesinin proje kimliklerini ve numaralarını alın. Projeleri tanımlama başlıklı makaleyi inceleyin.

2. Google Cloud kuruluşunuz için erişim politikası oluşturmak üzere gcloud simgesini kullanın:

   1. Kuruluş kimliğinizi alın.
   2. Erişim politikası oluşturun.
   3. Erişim politikanızın adını alın.
   Not: Kuruluşlar yalnızca bir erişim politikasına sahip olabilir.

3. Kısıtlanmış hizmet olarak Cloud Search'ü kullanarak hizmet çevresi oluşturun:

   gcloud access-context-manager perimeters create NAME \
       --title=TITLE \
       --resources=PROJECTS \
       --restricted-services=RESTRICTED-SERVICES \
       --policy=POLICY_NAME
   

   Burada:

   • NAME, çevre adıdır.
   • TITLE, çevre başlığıdır.
   • PROJECTS, her birinin önüne projects/ eklenmiş proje numaralarının virgülle ayrılmış listesidir. Örneğin, --resources=projects/12345,projects/67890. Bu işaret yalnızca proje numaralarını destekler.
   • RESTRICTED-SERVICES, virgülle ayrılmış bir listedir. cloudsearch.googleapis.com kullanın.
   • POLICY_NAME, kuruluşunuzun erişim politikasının sayısal adıdır.

   Daha fazla bilgi için Hizmet çevresi oluşturma başlıklı makaleyi inceleyin.

4. (İsteğe bağlı) IP veya bölge tabanlı kısıtlamalar uygulamak için erişim düzeyleri oluşturun ve bunları sınıra ekleyin:

   1. Erişim düzeyi oluşturmak için Temel erişim düzeyi oluşturma başlıklı makaleye bakın. Örnek için Kurumsal ağda erişimi sınırlama başlıklı makaleyi inceleyin.
   2. Erişim düzeyini çevreye ekleyin. Mevcut bir sınıra erişim düzeyi ekleme başlıklı makaleyi inceleyin. Yayma işlemi 30 dakika kadar sürebilir.

5. Müşteri ayarlarını korumalı projenizle güncellemek için Cloud Search Customer Service REST API'yi kullanın:

   Not: Cloud Search kaynakları bir Google Cloud projesinde depolanmadığından müşteri ayarlarını VPC Hizmet Kontrolleri projesiyle güncellemeniz gerekir. Bu proje, kaynaklarınız için sanal bir kapsayıcı görevi görür.
   1. OAuth 2.0 erişim jetonu alın. Google API'lerine Erişmek İçin OAuth 2.0'ı Kullanma başlıklı makaleyi inceleyin. Aşağıdaki kapsamlardan birini kullanın:
      • https://www.googleapis.com/auth/cloud_search.settings.indexing
      • https://www.googleapis.com/auth/cloud_search.settings
      • https://www.googleapis.com/auth/cloud_search

   2. Bu curl komutunu çalıştırın:

      curl --request PATCH \
        'https://cloudsearch.googleapis.com/v1/settings/customer' \
        --header 'Authorization: Bearer [YOUR_ACCESS_TOKEN]' \
        --header 'Accept: application/json' \
        --header 'Content-Type: application/json' \
        --data '{ "vpc_settings": { "project": "projects/PROJECT_ID" } }' \
        --compressed
      

      YOUR_ACCESS_TOKEN ve PROJECT_ID öğelerini değiştirin.

Başarılı bir güncelleme 200 OK yanıtı döndürür. VPC Hizmet Kontrolleri kısıtlamaları artık tüm Cloud Search API'leri, cloudsearch.google.com adresindeki aramalar ve Yönetici Konsolu yapılandırmaları ya da raporları için geçerlidir. Erişim düzeylerini ihlal eden istekler PERMISSION_DENIED hatası alır.