I Controlli di servizio VPC possono migliorare la tua capacità di ridurre il rischio di esfiltrazione di dati dai servizi Google Cloud . Puoi utilizzare i Controlli di servizio VPC per creare perimetri di servizio che contribuiscono a proteggere le risorse e i dati dei servizi che specifichi esplicitamente.
Per aggiungere il servizio Looker (Google Cloud core) a un perimetro di servizio Controlli di servizio VPC, segui le istruzioni su come creare un perimetro di servizio nella pagina di documentazione Crea un perimetro di servizio e seleziona API Looker (Google Cloud core) nella finestra di dialogo Specifica i servizi da limitare. Per scoprire di più sull'utilizzo dei Controlli di servizio VPC, visita la pagina di documentazione Panoramica dei Controlli di servizio VPC.
Controlli di servizio VPC supporta le istanze di Looker (Google Cloud core) che soddisfano due criteri:
- Le versioni delle istanze devono essere Enterprise o Embed.
- Le configurazioni di rete dell'istanza devono utilizzare connessioni private
Ruoli obbligatori
Per comprendere i ruoli IAM necessari per configurare i Controlli di servizio VPC, visita la pagina Controllo dell'accesso con IAM della documentazione dei Controlli di servizio VPC.
Rimozione della route predefinita
Quando viene creata un'istanza di Looker (Google Cloud core) all'interno di un progetto che si trova all'interno di un perimetro di Controlli di servizio VPC o all'interno di un progetto che viene aggiunto a un perimetro di Controlli di servizio VPC, devi rimuovere la route predefinita a internet. Google Cloud
Per rimuovere la route predefinita a internet, seleziona una delle seguenti opzioni:
gcloud
gcloud services vpc-peerings enable-vpc-service-controls --network=NETWORK --service=servicenetworking.googleapis.com
Sostituisci NETWORK con la rete VPC della tua istanza di Looker (Google Cloud core).
Per ulteriori informazioni, visita la pagina di documentazione gcloud services vpc-peerings enable-vpc-service-controls.
REST
Metodo HTTP e URL:
PATCH https://servicenetworking.googleapis.com/v1/{parent=services/*}:enableVpcServiceControls
Corpo JSON della richiesta:
{
"consumerNetwork": NETWORK
}
Sostituisci NETWORK con la rete VPC della tua istanza di Looker (Google Cloud core).
Per ulteriori informazioni, visita la pagina di documentazione Metodo: services.enableVpcServiceControls.
Connessione a risorse o servizi esterni al perimetro dei Controlli di servizio VPC
Per connetterti a un'altra risorsa o a un altro servizio, potrebbe essere necessario configurare le regole di ingresso e di uscita se il progetto in cui si trova la risorsa si trova al di fuori del perimetro Controlli di servizio VPC. Google Cloud
Per informazioni sull'accesso ad altre risorse esterne, segui le istruzioni per il tipo di risorsa a cui vuoi connetterti nella pagina della documentazione Accedere a servizi esterni utilizzando l'accesso privato ai servizi o Accesso in uscita di Looker (Google Cloud core) a servizi esterni utilizzando Private Service Connect (a seconda che la tua istanza utilizzi l'accesso privato ai servizi o Private Service Connect).
Aggiunta di chiavi CMEK a un perimetro
A volte, un'istanza di Looker (Google Cloud core) abilitata con chiavi di crittografia gestite dal cliente (CMEK) ha la chiave Cloud KMS ospitata in un progetto Google Cloud diverso. Per questo scenario, quando abiliti i Controlli di servizio VPC, devi aggiungere il progetto di hosting della chiave KMS al perimetro di sicurezza.
Passaggi successivi
- Connetti Looker (Google Cloud core) al tuo database
- Configura l'istanza di Looker (Google Cloud core)