I Controlli di servizio VPC aiutano a ridurre il rischio di copie o il trasferimento di dati dai servizi gestiti da Google.
Con i Controlli di servizio VPC, puoi configurare i perimetri di servizio intorno al le risorse dei tuoi servizi gestiti da Google e controllare lo spostamento dei dati lungo il confine del perimetro.
Crea un perimetro di servizio
Per creare un perimetro di servizio, segui Guida ai Controlli di servizio VPC per la creazione di un perimetro di servizio.
Quando progetti il perimetro di servizio, includi i seguenti servizi:
- API Migration Center (
migrationcenter.googleapis.com
) - API RMA (
rapidmigrationassessment.googleapis.com
) - API Cloud Storage (
storage.googleapis.com
) - API Resource Manager (
cloudresourcemanager.googleapis.com
) - API Cloud Logging (
logging.googleapis.com
)
Consenti il traffico con regole per il trasferimento di dati in entrata
Per impostazione predefinita, il perimetro di servizio è progettato per impedire il trasferimento di dati in entrata dai servizi esterni al perimetro. Se prevedi di utilizzare l'importazione dati per caricare i dati dall'esterno del perimetro, o utilizzare il client predittivo per raccogliere i dati dell'infrastruttura e configurare le regole di accesso ai dati per consentire questa operazione.
Abilita importazione dati
Per attivare l'importazione dati, specifica regole per il trasferimento di dati in entrata utilizzando la seguente sintassi:
- ingressFrom:
identities:
- serviceAccount: SERVICE_ACCOUNT
sources:
- accessLevel: \"*\"
- ingressTo:
operations:
- serviceName: storage.googleapis.com
methodSelectors:
- method: google.storage.buckets.testIamPermissions
- method: google.storage.objects.create
resources:
- projects/PROJECT_ID
Sostituisci quanto segue:
SERVICE_ACCOUNT
: servizio per prodotto e progetto che utilizzi per caricare i dati in Migration Center, con seguente formato:service-PROJECT_NUMBER@gcp-sa-migcenter.iam.gserviceaccount.com.
In questo caso
PROJECT_NUMBER
è l'identificatore univoco del Progetto Google Cloud in cui hai abilitato l'API Migration Center. Per ulteriori informazioni sui numeri di progetto, consulta Identificazione dei progetti.PROJECT_ID
: l'ID del progetto all'interno del perimetro in cui vuoi caricare i dati.
Non puoi utilizzare
ANY_SERVICE_ACCOUNT
e ANY_USER_ACCOUNT
tipi di identità con URL firmati.
Per ulteriori informazioni, vedi
Consentire l'accesso alle risorse protette dall'esterno del perimetro.
Abilita la raccolta dei dati con il client predittivo
Per attivare la raccolta dei dati con il client predittivo, specifica le regole per il trasferimento di dati in entrata con la seguente sintassi:
- ingressFrom:
identities:
- serviceAccount: SERVICE_ACCOUNT
sources:
- accessLevel: \"*\"
- ingressTo:
operations:
- serviceName: storage.googleapis.com
methodSelectors:
- method: \"*\"
resources:
- projects/PROJECT_ID
Sostituisci quanto segue:
SERVICE_ACCOUNT
: l'account di servizio con utilizzata per creare il client predittivo. Per ulteriori informazioni, consulta il processo di installazione del client predittivo.PROJECT_ID
: l'ID del progetto all'interno del perimetro in cui vuoi caricare i dati.
Limitazioni
Quando abiliti il perimetro di servizio, si applicano le seguenti limitazioni.
StratoZone
StratoZone non è conforme ai Controlli di servizio VPC. Se provi ad abilitare il Integrazione di StratoZone con Migration Center dopo la creazione del servizio automaticamente, ricevi un errore.
Tuttavia, se hai abilitato l'integrazione StratoZone prima di creare il servizio perimetro, puoi comunque accedere a StratoZone e ai dati già raccolti, ma Il Centro di migrazione non invia nuovi dati a StratoZone.