Ayudar a proteger IAM con los Controles del servicio de VPC

Con los Controles del servicio de VPC, puedes crear perímetros, que son límites para tus recursos de Google Cloud. Luego, puedes definir políticas de seguridad que ayuden a evitar el acceso a los servicios compatibles fuera del perímetro. Para obtener más información sobre los Controles del servicio de VPC, consulta la Descripción general de los Controles del servicio de VPC.

Puedes usar los Controles del servicio de VPC para ayudar a proteger las siguientes API relacionadas con IAM:

• API de IAM
• API del servicio de token de seguridad

Ayuda a proteger la API de IAM

Beta - Using VPC Service Controls with IAM

Esta función está cubierta por las Condiciones de las Ofertas de Fase Previa a la DG de las Condiciones del Servicio de Google Cloud. Las funciones de fase previa a la DG pueden tener asistencia limitada, y los cambios en las funciones que se encuentran en fase previa a la DG podrían no ser compatibles con otras versiones en fase previa a la DG. Para obtener más información, consulta las descripciones de la etapa de lanzamiento.

Puedes ayudar a proteger tus recursos de Identity and Access Management (IAM) mediante los Controles del servicio de VPC. Los recursos de IAM incluyen los siguientes elementos:

• Funciones personalizadas
• Claves de cuenta de servicio
• Cuentas de servicio
• Grupos de Workload Identity

Cómo funcionan los Controles del servicio de VPC con IAM

Cuando restringes IAM con un perímetro, solo se restringen las acciones que usan la API de IAM. Estas acciones incluyen la administración de las funciones de IAM personalizadas, la administración de los grupos de Workload Identity, y las cuentas y las claves de servicio. El perímetro no restringe las acciones que usan otras API, incluidas las siguientes:

• API del Policy Simulator de IAM
• API del solucionador de problemas de políticas de IAM
• API del servicio de token de seguridad
• API de Service Account Credentials (incluidos los métodos signBlob y signJwt heredados en la API de IAM)

El perímetro alrededor de IAM no restringe la obtención ni la configuración de políticas de permisos para recursos pertenecientes a otros servicios, como instancias de máquinas virtuales de Compute Engine. A fin de restringir el acceso y la configuración de políticas de permisos para estos recursos, crea un perímetro que restrinja el servicio al que pertenecen los recursos. Para obtener una lista de los recursos que aceptan políticas de permisos y los servicios que los contienen, consulta Tipos de recursos que aceptan políticas de permisos.

Para obtener más detalles sobre cómo funcionan los Controles del servicio de VPC con IAM, consulta la entrada de IAM en la tabla de productos compatibles con los Controles del servicio de VPC.

Ayuda a proteger la API del servicio de token de seguridad

Puedes ayudar a proteger los intercambios de tokens mediante los Controles del servicio de VPC.

Nota: Los Controles del servicio de VPC solo restringen los intercambios de tokens si el público de la solicitud es un recurso a nivel de proyecto. Por ejemplo, no restringe las solicitudes de tokens con alcance reducido, ya que esas solicitudes no tienen público.

Cuando restringes la API del servicio de token de seguridad con un perímetro, solo las siguientes entidades pueden intercambiar tokens:

• Recursos dentro del mismo perímetro que el grupo de Workload Identity que usas para intercambiar el token
• Principales con los atributos definidos en el perímetro de servicio

Para obtener más detalles sobre cómo funcionan los Controles del servicio de VPC con IAM, consulta la entrada Servicio de token de seguridad en la tabla de productos compatibles con los Controles del servicio de VPC.

¿Qué sigue?

• Obtén más información para crear un perímetro de servicio.