Suporte do VPC Service Controls para o Looker (Google Cloud Core)

O VPC Service Controls pode melhorar sua capacidade de reduzir o risco de exfiltração de dados dos serviços do Google Cloud. É possível usar o VPC Service Controls para criar perímetros de serviço que ajudam a proteger os recursos e os dados dos serviços especificados explicitamente.

Para adicionar o serviço Looker (Google Cloud Core) a um perímetro de serviço do VPC Service Controls, siga as instruções sobre como criar um perímetro de serviço na página de documentação Criar um perímetro de serviço e selecione API Looker (Google Cloud Core) na caixa de diálogo Especificar serviços a serem restritos. Para saber mais sobre o uso do VPC Service Controls, acesse a página de documentação Visão geral do VPC Service Controls.

O VPC Service Controls é compatível com instâncias do Looker (Google Cloud Core) que atendem a dois critérios:

Funções exigidas

Para entender os papéis do IAM necessários para configurar o VPC Service Controls, acesse a página Controle de acesso com IAM da documentação do serviço.

Como remover a rota padrão

Quando uma instância do Looker (Google Cloud Core) é criada em um projeto do Google Cloud dentro de um perímetro do VPC Service Controls ou em um projeto adicionado a um perímetro do VPC Service Controls, é necessário remover a rota padrão para a Internet.

Para remover a rota padrão para a Internet, selecione uma das seguintes opções:

gcloud

gcloud services vpc-peerings enable-vpc-service-controls --network=NETWORK --service=servicenetworking.googleapis.com

Substitua NETWORK pela rede VPC da sua instância do Google Cloud Core.

Para mais informações, acesse a página de documentação gcloud services vpc-peerings enable-vpc-service-controls.

REST

Método HTTP e URL:

PATCH https://servicenetworking.googleapis.com/v1/{parent=services/*}:enableVpcServiceControls

Solicitar corpo JSON:

{
"consumerNetwork": NETWORK
}

Substitua NETWORK pela rede VPC da sua instância do Google Cloud Core.

Para obter mais informações, visite a página de documentação Método: services.enableVpcServiceControls.

Como se conectar a recursos ou serviços fora do perímetro do VPC Service Controls

Para se conectar a outro recurso ou serviço do Google Cloud, talvez seja necessário configurar regras de entrada e saída se o projeto em que o recurso estiver localizado estiver fora do perímetro do VPC Service Controls.

Para informações sobre como acessar outros recursos externos, siga as instruções para o tipo de recurso ao qual você quer se conectar na página de documentação Rede IP particular com o Looker (Google Cloud core).

Como adicionar chaves CMEK a um perímetro

Às vezes, uma instância do Looker (Google Cloud Core) ativada com chaves de criptografia gerenciadas pelo cliente (CMEK) tem a chave do Cloud KMS hospedada em outro projeto do Google Cloud. Para esse cenário, quando você ativa o VPC Service Controls, é preciso adicionar o projeto de hospedagem de chave KMS ao perímetro de segurança.

A seguir