使用服务边界保护数据

VPC Service Controls 可帮助您降低未经授权复制或传输您的 Google 管理的服务中数据的风险。

借助 VPC Service Controls，您可以为 Google 管理的服务的资源配置服务边界，并控制跨边界的数据移动。

创建服务边界

如需创建服务边界，请按照 VPC Service Controls 指南创建服务边界。

在设计服务边界时，请包括以下服务：

  • 迁移中心 API (migrationcenter.googleapis.com)
  • RMA API (rapidmigrationassessment.googleapis.com)
  • Cloud Storage API (storage.googleapis.com)
  • Resource Manager API (cloudresourcemanager.googleapis.com)
  • Cloud Logging API (logging.googleapis.com)

使用入站数据传输规则允许流量

默认情况下，服务边界旨在防止从边界外的服务进行入站数据传输。如果您计划使用数据导入功能从边界外上传数据，或使用资产识别客户端收集基础架构数据，请配置数据访问规则以允许此操作。

启用数据导入

如需启用数据导入，请使用以下语法指定入站数据传输规则：

- ingressFrom:
    identities:
    - serviceAccount: SERVICE_ACCOUNT
    sources:
    - accessLevel: \"*\"
- ingressTo:
    operations:
    - serviceName: storage.googleapis.com
      methodSelectors:
      - method: google.storage.buckets.testIamPermissions
      - method: google.storage.objects.create
    resources:
    - projects/PROJECT_ID

请替换以下内容：

  • SERVICE_ACCOUNT：用于将数据上传到迁移中心的每个产品、每个项目的服务帐号，格式如下：service-PROJECT_NUMBER@gcp-sa-migcenter.iam.gserviceaccount.com.

    此处的 PROJECT_NUMBER 是您启用了 Migration Center API 的 Google Cloud 项目的唯一标识符。如需详细了解项目编号，请参阅标识项目。

  • PROJECT_ID：您要将数据上传到的边界内的项目的 ID。

您不能将 ANY_SERVICE_ACCOUNT 和 ANY_USER_ACCOUNT 身份类型与签名网址一起使用。如需了解详情，请参阅允许从边界外访问受保护的资源。

使用资产识别客户端启用数据收集

如需使用资产识别客户端启用数据收集，请使用以下语法指定入站数据传输规则：

- ingressFrom:
    identities:
    - serviceAccount: SERVICE_ACCOUNT
    sources:
    - accessLevel: \"*\"
- ingressTo:
    operations:
    - serviceName: storage.googleapis.com
      methodSelectors:
      - method: \"*\"
    resources:
    - projects/PROJECT_ID

请替换以下内容：

  • SERVICE_ACCOUNT：您用于创建资产识别客户端的服务帐号。如需了解详情，请参阅发现客户端安装过程。

  • PROJECT_ID：您要将数据上传到的边界内的项目的 ID。

限制

启用服务边界时，存在以下限制。

StratoZone

StratoZone 不符合 VPC Service Controls。创建服务边界后，如果您尝试启用与迁移中心的 StratoZone 集成，则会收到错误消息。

但是，如果您在创建服务边界之前启用了 StratoZone 集成，您仍然可以访问 StratoZone 和已收集的数据，但迁移中心不会将任何新数据发送到 StratoZone。

导出报告

服务边界不支持导出详细价格报告。