O VPC Service Controls ajuda a reduzir o risco de exfiltração de dados nos serviços do Google Cloud. É possível usar o VPC Service Controls para criar perímetros de serviço que ajudam a proteger os recursos e dados dos serviços especificados explicitamente.
Para adicionar o serviço Looker (Google Cloud Core) a um perímetro de serviço do VPC Service Controls, siga as instruções sobre como criar um perímetro de serviço na página de documentação Criar um perímetro de serviço e selecione API Looker (Google Cloud Core) na caixa de diálogo Especificar serviços para restringir. Para saber como usar o VPC Service Controls, acesse a página de documentação Visão geral do VPC Service Controls.
O VPC Service Controls dá suporte a instâncias do Looker (Google Cloud Core) que atendem a dois critérios:
- As edições de instâncias precisam ser Enterprise ou Embed
- As configurações de rede da instância precisam usar somente IP privado.
Funções exigidas
Para entender os papéis do IAM necessários para configurar o VPC Service Controls, acesse a página Controle de acesso com o IAM na documentação do serviço.
Como remover a rota padrão
Quando uma instância do Looker (Google Cloud Core) é criada em um projeto do Google Cloud dentro de um perímetro do VPC Service Controls, ou em um projeto adicionado a um perímetro do VPC Service Controls, é preciso remover a rota padrão para a Internet.
Para remover a rota padrão para a Internet, selecione uma das seguintes opções:
gcloud
gcloud services vpc-peerings enable-vpc-service-controls --network=NETWORK --service=servicenetworking.googleapis.com
Substitua NETWORK pela rede VPC da sua instância do Looker (Google Cloud Core).
Para mais informações, acesse a página de documentação de gcloud services vpc-peerings enable-vpc-service-controls.
REST
Método HTTP e URL:
PATCH https://servicenetworking.googleapis.com/v1/{parent=services/*}:enableVpcServiceControls
Solicitar corpo JSON:
{
"consumerNetwork": NETWORK
}
Substitua NETWORK pela rede VPC da sua instância do Looker (Google Cloud Core).
Para mais informações, acesse a página de documentação Method: services.enableVpcServiceControls.
Como se conectar a recursos ou serviços fora do perímetro do VPC Service Controls
Para se conectar a outro recurso ou serviço do Google Cloud, talvez seja necessário configurar regras de entrada e saída se o projeto em que o recurso se encontra estiver fora do perímetro do VPC Service Controls.
Para informações sobre como acessar outros recursos externos, siga as instruções do tipo de recurso a que você quer se conectar na página de documentação Rede IP privada com o Looker (Google Cloud Core).
Como adicionar chaves CMEK a um perímetro
Às vezes, uma instância do Looker (Google Cloud Core) ativada com chaves de criptografia gerenciadas pelo cliente (CMEK) tem a chave do Cloud KMS hospedada em outro projeto do Google Cloud. Para este cenário, quando você ativa o VPC Service Controls, é preciso adicionar o projeto de hospedagem da chave KMS ao perímetro de segurança.
A seguir
- Conectar o Looker (Google Cloud Core) ao seu banco de dados
- Configurar a instância do Looker (Google Cloud Core)