Usa los Controles del servicio de VPC con Batch

En este documento, se explica cómo usar los Controles del servicio de VPC con Batch. Los Controles del servicio de VPC te permiten proteger los recursos y los datos de los servicios de Google Cloud a través del aislamiento de recursos específicos en perímetros de servicio. Un perímetro de servicio bloquea las conexiones con los servicios de Google Cloud fuera del perímetro y cualquier conexión desde Internet que no esté permitida de forma explícita.

Para obtener más información sobre los conceptos de redes y cuándo configurarlas, consulta la descripción general de las redes por lotes.

Antes de comenzar

  1. Si nunca usaste Batch, revisa Comienza a usar Batch y habilitar Batch completando el requisitos previos para los proyectos y usuarios.

  2. Para obtener los permisos que necesitas para usar los controles de servicio de VPC con lotes, pídele a tu administrador que te otorgue los siguientes roles de IAM:

    Para obtener más información sobre cómo otorgar roles, consulta Administra el acceso a proyectos, carpetas y organizaciones.

    También puedes obtener los permisos necesarios mediante roles personalizados o cualquier otro rol predefinido.

  3. Si creas un trabajo que se ejecuta en un perímetro de servicio, debes identificar la red que deseas usar para el trabajo. La red que especifiques para un trabajo que se ejecuta en un perímetro de servicio debe cumplir con los siguientes requisitos: Para obtener más información, consulta Crea y administra redes de VPC.

Configura un perímetro de servicio para Batch

Si deseas configurar un perímetro de servicio para Batch, haz lo siguiente:

  1. Planifica la configuración de tu perímetro de servicio. Para obtener una descripción general de las etapas de configuración de los perímetros de servicio, consulta la documentación de los Controles del servicio de VPC sobre Configuración y detalles del perímetro de servicio.

    Para usar Batch, el perímetro del servicio debe cumplir con los siguientes requisitos:

    • Servicios restringidos: para proteger Batch perímetro de servicio, debes incluir los servicios de Google Cloud que los trabajos por lotes en ese perímetro, como los siguientes:

      • API de lotes (batch.googleapis.com)
      • API de Cloud Logging (logging.googleapis.com): Obligatorio si lo deseas tus trabajos para escribir registros en Cloud Logging. (Recomendado)
      • API de Container Registry (containerregistry.googleapis.com): Es obligatoria si envías una tarea que usa contenedores con una imagen de Container Registry.
      • API de Artifact Registry (artifactregistry.googleapis.com): obligatoria si envías un trabajo que usa contenedores con una imagen de Artifact Registry
      • API de Filestore (file.googleapis.com): Obligatorio si tu trabajo usa un archivo compartido de Filestore.
      • API de Cloud Storage (storage.googleapis.com): Es obligatoria para algunas tareas que usan un bucket de Cloud Storage. Es obligatorio si usas un para tu trabajo por lotes que no tenga la Agente de servicio por lotes preinstalado.

      Para obtener información sobre cómo habilitar cada uno de estos servicios en tu perímetro de servicio, consulta Servicios de VPC accesibles.

      Para cada servicio que incluyas, además de Batch, también debes verificar que el perímetro de servicio cumpla con los requisitos que se indican para ese servicio en la documentación de productos compatibles y limitaciones de los Controles del servicio de VPC.

    • Redes de VPC: cada trabajo por lotes requiere una red de VPC, por lo que tu perímetro de servicio debe incluyen una red de VPC que realice trabajos por lotes en los que se puede ejecutar. Para obtener información sobre cómo configurar una red de VPC que pueda ejecutar tus trabajos por lotes dentro de un perímetro de servicio, consulta los siguientes documentos:

  2. Crea un nuevo perímetro de servicio o actualiza un perímetro de servicio existente para cumplir con estos requisitos.

Crea un trabajo que se ejecute en un perímetro de servicio

Cuando creas un trabajo que se ejecuta en un perímetro de servicio, también debes bloquear el acceso externo para todas las VMs en las que se ejecuta un trabajo y especificar una red y una subred que permitan que el trabajo acceda a las APIs requeridas.

Para crear un trabajo que se ejecute en un perímetro de servicio, sigue los pasos que se indican en la documentación para crear un trabajo que bloquee el acceso externo de todas las VMs y especifica una red que cumpla con los requisitos de red para un trabajo que se ejecute en un perímetro de servicio.

¿Qué sigue?