Configurar o VPC Service Controls para a Duet AI

Neste documento, mostramos como configurar o VPC Service Controls para oferecer suporte à Duet AI, um colaborador com tecnologia de IA no Google Cloud. Para concluir essa configuração, faça o seguinte:

  1. Atualize o perímetro de serviço da sua organização para incluir a Duet AI. Neste documento, presumimos que você já tenha um perímetro de serviço no nível da organização. Para mais informações sobre perímetros de serviço, consulte Detalhes e configuração de perímetros de serviço.

  2. Nos projetos em que você ativou o acesso à Duet AI, configure as redes VPC para bloquear o tráfego de saída, exceto o tráfego para o intervalo VIP restrito.

Antes de começar

  1. Verifique se a Duet AI está configurada para seu projeto e conta de usuário do Google Cloud.
  2. Verifique se você tem os papéis Identity and Access Management (IAM) para configurar e administrar o VPC Service Controls.

  3. Verifique se você tem um perímetro de serviço no nível da organização que possa ser usado para configurar a Duet AI. Se você não tiver um perímetro de serviço nesse nível, crie um.

Adicionar a Duet AI ao perímetro de serviço

Para usar o VPC Service Controls com a Duet AI, adicione-a ao perímetro de serviço no nível da organização. O perímetro de serviço precisa incluir todos os serviços usados com a Duet AI e outros serviços do Google Cloud que você quer proteger.

Para adicionar a Duet AI ao perímetro de serviço, siga estas etapas:

  1. No console do Google Cloud, acesse a página VPC Service Controls.

    Acessar o VPC Service Controls

  2. Selecione a organização.

  3. Na página VPC Service Controls, clique no nome do perímetro.

  4. Clique em Adicionar recursos e faça o seguinte:

    1. Para cada projeto em que você ativou a Duet AI, no painel Adicionar recursos, clique em Adicionar projeto e faça o seguinte:

      1. Na caixa de diálogo Adicionar projetos, selecione os projetos que você quer adicionar.

        Se você estiver usando a VPC compartilhada, adicione o projeto host e os projetos de serviço ao perímetro de serviço.

      2. Clique em Adicionar recursos selecionados. Os projetos adicionados aparecem na seção Projetos.

    2. Para cada rede VPC nos projetos, no painel Adicionar recursos, clique em Adicionar rede VPC e faça o seguinte:

      1. Na lista de projetos, clique no projeto que contém a rede VPC.

      2. Na caixa de diálogo Adicionar recursos, marque a caixa de seleção da rede VPC.

      3. Clique em Adicionar recursos selecionados. A rede adicionada aparece na seção Redes VPC.

  5. Clique em Serviços restritos e faça o seguinte:

    1. No painel Serviços restritos, clique em Adicionar serviços.

    2. Na caixa de diálogo Especificar serviços a serem restringidos, selecione API Cloud AI Companion como o serviço que você quer proteger no perímetro.

    3. Clique em Adicionar serviços do n, em que n é o número de serviços que você selecionou na etapa anterior.

  6. Opcional: se os desenvolvedores precisarem usar a Duet AI no perímetro do plug-in do Cloud Code nos ambientes de desenvolvimento integrado, configure a política de entrada.

    Ativar o VPC Service Controls para a Duet AI impede todo o acesso de fora do perímetro, incluindo a execução de extensões do ambiente de desenvolvimento integrado do Cloud Code de máquinas fora do perímetro, como laptops da empresa. Portanto, é necessário configurar a política de entrada se você quiser usar a Duet AI com o plug-in do Cloud Code.

    1. Clique em Política de entrada.

    2. No painel Regras de entrada, clique em Adicionar regra.

    3. Em De atributos do cliente da API, especifique as origens de fora do perímetro que exigem acesso. É possível especificar projetos, níveis de acesso e redes VPC como origens.

    4. Em Para atributos dos recursos/serviços do Google Cloud, especifique o nome do serviço da Duet AI.

      Para uma lista de atributos de regra de entrada, consulte Referência de regras de entrada.

  7. Opcional: se sua organização usa o Access Context Manager e você quer fornecer aos desenvolvedores acesso a recursos protegidos de fora do perímetro, defina os níveis de acesso:

    1. Clique em Níveis de acesso.

    2. No painel Política de entrada: níveis de acesso, selecione o campo Escolher nível de acesso.

    3. Marque as caixas de seleção correspondentes aos níveis de acesso que você quer aplicar ao perímetro.

  8. Clique em Save.

Depois de concluir essas etapas, o VPC Service Controls verifica todas as chamadas à API Cloud AI Companion para garantir que elas sejam originadas no mesmo perímetro.

Configurar redes VPC

É necessário configurar suas redes VPC para que as solicitações enviadas ao IP virtual googleapis.com normal sejam automaticamente roteadas para o intervalo de IP virtual (VIP) restrito, 199.36.153.4/30 (restricted.googleapis.com), em que o serviço da Duet AI é veiculado. Não é necessário alterar as configurações nas extensões do ambiente de desenvolvimento integrado do Cloud Code.

Para cada rede VPC no projeto, siga estas etapas para bloquear o tráfego de saída, exceto o tráfego para o intervalo VIP restrito:

  1. Ative o Acesso privado do Google nas sub-redes que hospedam os recursos da rede VPC.

  2. Configure regras de firewall para impedir que os dados saiam da rede VPC.

    1. Crie uma regra de saída de negação que bloqueie todo o tráfego de saída.

    2. Crie uma regra de saída de permissão que permita o tráfego para 199.36.153.4/30 na porta TCP 443. Verifique se a regra de saída de permissão tem uma prioridade antes da regra de saída de negação recém-criada. Isso permite a saída apenas para o intervalo VIP restrito.

  3. Crie uma política de resposta do Cloud DNS.

  4. Crie uma regra para a política de resposta a fim de resolver *.googleapis.com para restricted.googleapis.com com os seguintes valores:

    • Nome do DNS: *.googleapis.com.

    • Dados locais: restricted.googleapis.com.

    • Tipo de registro: A

    • TTL: 300

    • Dados de RR: 199.36.153.4|199.36.153.5|199.36.153.6|199.36.153.7

      O intervalo de endereços IP de restricted.googleapis.com é 199.36.153.4/30.

Depois de concluir essas etapas, as solicitações originadas na rede VPC não poderão sair da rede VPC, impedindo a saída fora do perímetro de serviço. Essas solicitações só podem alcançar as APIs e os serviços do Google que verificam o VPC Service Controls, impedindo a exfiltração por meio das APIs do Google.

Outras configurações

Dependendo dos produtos do Google Cloud que você usa com a Duet AI, considere o seguinte:

  • Máquinas clientes conectadas ao perímetro. As máquinas que estão dentro do perímetro do VPC Service Controls podem acessar todas as experiências da Duet AI. Também é possível estender o perímetro a um Cloud VPN ou Cloud Interconnect autorizado a partir de uma rede externa.

  • Máquinas clientes fora do perímetro. Quando você tem máquinas clientes fora do perímetro de serviço, é possível conceder acesso controlado ao serviço restrito da Duet AI.

  • Duet AI para desenvolvedores. Para conformidade com o VPC Service Controls, verifique se o ambiente de desenvolvimento integrado ou a estação de trabalho que você está usando não tem acesso a https://www.google.com/tools/feedback/mobile por políticas de firewall.

  • Cloud Workstations: Se você usa o Cloud Workstations, siga as instruções em Configurar o VPC Service Controls e clusters particulares.

A seguir