Proteja seus dados com um perímetro de serviço

O VPC Service Controls reduz o risco de cópias não autorizadas ou de dados dos serviços gerenciados pelo Google.

Com VPC Service Controls, é possível configurar os perímetros de serviço em torno dos recursos dos serviços gerenciados pelo Google e controlar a movimentação de dados em todo o limite do perímetro.

Criar um perímetro de serviço

Para criar um perímetro de serviço, siga o Guia do VPC Service Controls para criar um perímetro de serviço.

Ao projetar o perímetro de serviço, inclua os seguintes serviços:

• API Migration Center (migrationcenter.googleapis.com)
• API RMA (rapidmigrationassessment.googleapis.com)
• API Cloud Storage (storage.googleapis.com)
• API Resource Manager (cloudresourcemanager.googleapis.com)
• API Cloud Logging (logging.googleapis.com)

Permitir tráfego com regras de entrada de transferência de dados

Por padrão, o perímetro de serviço é projetado para impedir a transferência de dados de entrada de serviços fora do perímetro. Se você planeja usar a importação de dados para fazer upload de dados de fora do perímetro, ou use o discovery client para coletar os dados da infraestrutura, configure regras de acesso a dados para permitir isso.

Ativar importação de dados

Para ativar a importação de dados, especifique o regras de transferência de dados de entrada usando a seguinte sintaxe:

- ingressFrom:
    identities:
    - serviceAccount: SERVICE_ACCOUNT
    sources:
    - accessLevel: \"*\"
- ingressTo:
    operations:
    - serviceName: storage.googleapis.com
      methodSelectors:
      - method: google.storage.buckets.testIamPermissions
      - method: google.storage.objects.create
    resources:
    - projects/PROJECT_ID

Substitua:

• SERVICE_ACCOUNT: o serviço por produto e por projeto. usada para fazer o upload de dados na Central de migração, com o formato: [e-mail].

  Aqui, PROJECT_NUMBER é o identificador exclusivo do Projeto do Google Cloud em que você ativou a API Migration Center. Para mais informações sobre números de projeto, consulte Como identificar projetos.

• PROJECT_ID: o ID do projeto dentro do perímetro. em que você quer fazer upload dos dados.

Não é possível usar ANY_SERVICE_ACCOUNT e ANY_USER_ACCOUNT de tipos de identidade com URLs assinados. Para mais informações, consulte Permitir o acesso a recursos protegidos de fora do perímetro.

Ativar a coleta de dados com o discovery client

Para ativar a coleta de dados com o discovery client, especifique as regras de transferência de dados de entrada com a seguinte sintaxe:

- ingressFrom:
    identities:
    - serviceAccount: SERVICE_ACCOUNT
    sources:
    - accessLevel: \"*\"
- ingressTo:
    operations:
    - serviceName: storage.googleapis.com
      methodSelectors:
      - method: \"*\"
    resources:
    - projects/PROJECT_ID

Substitua:

• SERVICE_ACCOUNT: a conta de serviço que você usada para criar o discovery client. Para mais informações, consulte o processo de instalação do cliente de descoberta.

• PROJECT_ID: o ID do projeto dentro do perímetro. em que você quer fazer upload dos dados.

Limitações

As limitações a seguir se aplicam quando você ativa o perímetro de serviço.

StratoZone

O StratoZone não está em conformidade com o VPC Service Controls. Se você tentar ativar Integração do StratoZone com o Migration Center após a criação do serviço do perímetro, ocorre um erro.

No entanto, se você ativou a integração do StratoZone antes de criar o serviço é possível acessar o StratoZone e os dados já coletados, O Migration Center não envia dados novos para o StratoZone.