Unterstützung von VPC Service Controls für Looker (Google Cloud Core)

Mit VPC Service Controls können Sie das Risiko der Daten-Exfiltration aus Google Cloud -Diensten verringern. Mit VPC Service Controls können Sie Dienstperimeter erstellen, die die Ressourcen und Daten von Diensten schützen, die Sie explizit angeben.

Wenn Sie den Dienst „Looker (Google Cloud Core)“ einem VPC Service Controls-Dienstperimeter hinzufügen möchten, folgen Sie der Anleitung zum Erstellen eines Dienstperimeters auf der Dokumentationsseite Dienstperimeter erstellen und wählen Sie im Dialogfeld Geben Sie Dienste an, die eingeschränkt werden sollen die Looker (Google Cloud Core) API aus. Weitere Informationen zur Verwendung von VPC Service Controls finden Sie auf der Dokumentationsseite Überblick über VPC Service Controls.

VPC Service Controls unterstützt Looker (Google Cloud Core)-Instanzen, die zwei Kriterien erfüllen:

• Instanzversionen müssen Enterprise oder Embed sein.
• Instanznetzwerkkonfigurationen müssen private Verbindungen verwenden.

Hinweis :Wenn Sie eine freigegebene VPC verwenden, müssen Sie das Looker (Google Cloud Core)-Dienstprojekt entweder in denselben Dienstperimeter wie das Hostprojekt der freigegebenen VPC aufnehmen oder eine Perimeter-Bridge zwischen den beiden Projekten erstellen. Wenn sich das Looker (Google Cloud Core)-Dienstprojekt und das freigegebene VPC-Hostprojekt nicht im selben Perimeter befinden oder nicht über eine Perimeter Bridge kommunizieren können, kann die Instanzerstellung fehlschlagen oder die Looker (Google Cloud Core)-Instanz funktioniert möglicherweise nicht richtig.

Achtung :Der Looker-Connector kann bei Verwendung mit Looker Studio Pro- oder Looker-Berichten keine Verbindung zu einer Looker (Google Cloud Core)-Instanz herstellen, die sich innerhalb eines VPC Service Controls-Perimeters befindet. Weitere Informationen zu den Einschränkungen des Looker-Connectors finden Sie auf der Dokumentationsseite Einschränkungen des Looker-Connectors.

Erforderliche Rollen

Informationen zu den erforderlichen IAM-Rollen für die Einrichtung von VPC Service Controls finden Sie in der Dokumentation zu VPC Service Controls auf der Seite Zugriffssteuerung mit IAM.

Standardroute entfernen

Wenn eine Looker (Google Cloud Core)-Instanz in einem Google Cloud -Projekt erstellt wird, das sich innerhalb eines VPC Service Controls-Perimeters befindet, oder in einem Projekt, das einem VPC Service Controls-Perimeter hinzugefügt wird, müssen Sie die Standardroute zum Internet entfernen.

Wählen Sie eine der folgenden Optionen aus, um die Standardroute zum Internet zu entfernen:

gcloud

gcloud services vpc-peerings enable-vpc-service-controls --network=NETWORK --service=servicenetworking.googleapis.com

Ersetzen Sie NETWORK durch das VPC-Netzwerk Ihrer Looker (Google Cloud Core)-Instanz.

Weitere Informationen finden Sie auf der Dokumentationsseite gcloud services vpc-peerings enable-vpc-service-controls.

REST

HTTP-Methode und URL:

PATCH https://servicenetworking.googleapis.com/v1/{parent=services/*}:enableVpcServiceControls

JSON-Text anfordern:

{
"consumerNetwork": NETWORK
}

Ersetzen Sie NETWORK durch das VPC-Netzwerk Ihrer Looker (Google Cloud Core)-Instanz.

Weitere Informationen finden Sie auf der Dokumentationsseite Methode: services.enableVpcServiceControls.

Hinweis :Wenn Sie die Standardroute entfernen, wird der ausgehende Traffic auf VPC Service Controls-kompatible Dienste beschränkt. Wenn beispielsweise die Standardroute entfernt wird, schlägt das Senden von E-Mails fehl, da die zum Senden von E-Mails verwendete API nicht mit VPC Service Controls kompatibel ist.

Verbindung zu Ressourcen oder Diensten außerhalb des VPC Service Controls-Perimeters herstellen

Wenn Sie eine Verbindung zu einer anderen Google Cloud Ressource oder einem anderen Dienst herstellen möchten, müssen Sie möglicherweise Regeln für ein- und ausgehenden Traffic einrichten, wenn sich das Projekt, in dem sich die Ressource befindet, außerhalb des VPC Service Controls-Perimeters befindet.

Informationen zum Zugriff auf andere externe Ressourcen finden Sie in der Dokumentation Über den Zugriff auf private Dienste auf externe Dienste zugreifen oder Looker (Google Cloud Core)-Southbound-Zugriff auf externe Dienste über Private Service Connect (je nachdem, ob Ihre Instanz den Zugriff auf private Dienste oder Private Service Connect verwendet).

Hinweis :Wenn Sie eine Looker (Google Cloud Core)-Instanz in einer freigegebenen VPC erstellen und sich das freigegebene VPC-Hostprojekt und das Looker (Google Cloud Core)-Dienstprojekt in verschiedenen VPC Service Controls-Perimetern befinden, müssen Sie eine VPC Service Controls-Perimeter-Bridge zwischen den beiden Perimetern erstellen, damit die Instanz erstellt werden kann.

CMEK-Schlüssel einem Perimeter hinzufügen

Manchmal wird der Cloud KMS-Schlüssel für eine Looker-Instanz (Google Cloud Core), die mit vom Kunden verwalteten Verschlüsselungsschlüsseln (CMEK) aktiviert ist, in einem anderen Google Cloud Projekt gehostet. Wenn Sie in einem solchen Szenario VPC Service Controls aktivieren, müssen Sie das KMS-Schlüsselhosting-Projekt zum Sicherheitsbereich hinzufügen.

Nächste Schritte

• Looker (Google Cloud Core) mit Ihrer Datenbank verbinden
• Looker-Instanz (Google Cloud Core) einrichten