Proteger seus dados com um perímetro de serviço

O VPC Service Controls ajuda a reduzir o risco de cópia ou transferência não autorizada de dados dos seus serviços gerenciados pelo Google.

Com VPC Service Controls, é possível configurar os perímetros de serviço em torno dos recursos dos serviços gerenciados pelo Google e controlar a movimentação de dados em todo o limite do perímetro.

Criar um perímetro de serviço

Para criar um perímetro de serviço, siga o Guia do VPC Service Controls para criar um perímetro de serviço.

Ao projetar o perímetro de serviço, inclua os seguintes serviços:

• API Migration Center (migrationcenter.googleapis.com)
• API RMA (rapidmigrationassessment.googleapis.com)
• API Cloud Storage (storage.googleapis.com)
• API Resource Manager (cloudresourcemanager.googleapis.com)
• API Cloud Logging (logging.googleapis.com)

Permitir tráfego com regras de transferência de dados de entrada

Por padrão, o perímetro de serviço é projetado para impedir a transferência de dados de entrada de serviços fora do perímetro. Se você planeja usar a importação de dados para fazer upload de dados de fora do perímetro ou usar o cliente de descoberta para coletar dados de infraestrutura, configure as regras de acesso a dados para permitir isso.

Ativar importação de dados

Para ativar a importação de dados, especifique o regras de transferência de dados de entrada usando a seguinte sintaxe:

- ingressFrom:
    identities:
    - serviceAccount: SERVICE_ACCOUNT
    sources:
    - accessLevel: \"*\"
- ingressTo:
    operations:
    - serviceName: storage.googleapis.com
      methodSelectors:
      - method: google.storage.buckets.testIamPermissions
      - method: google.storage.objects.create
    resources:
    - projects/PROJECT_ID

Substitua:

• SERVICE_ACCOUNT: a conta de serviço por produto e por projeto usada para fazer upload de dados para o Migration Center, com o seguinte formato: [e-mail].

  Aqui, PROJECT_NUMBER é o identificador exclusivo do Projeto do Google Cloud em que você ativou a API Migration Center. Para mais informações sobre os números de projeto, consulte Como identificar projetos.

• PROJECT_ID: o ID do projeto dentro do perímetro. em que você quer fazer upload dos dados.

Não é possível usar os tipos de identidade ANY_SERVICE_ACCOUNT e ANY_USER_ACCOUNT com URLs assinados. Para mais informações, consulte Permitir acesso a recursos protegidos de fora do perímetro.

Ativar a coleta de dados com o discovery client

Para ativar a coleta de dados com o discovery client, especifique as regras de transferência de dados de entrada com a seguinte sintaxe:

- ingressFrom:
    identities:
    - serviceAccount: SERVICE_ACCOUNT
    sources:
    - accessLevel: \"*\"
- ingressTo:
    operations:
    - serviceName: storage.googleapis.com
      methodSelectors:
      - method: \"*\"
    resources:
    - projects/PROJECT_ID

Substitua:

• SERVICE_ACCOUNT: a conta de serviço que você usou para criar o cliente de descoberta. Para mais informações, consulte o processo de instalação do Discovery Client.

• PROJECT_ID: o ID do projeto dentro do perímetro para o qual você quer fazer o upload dos dados.

Limitações

As limitações a seguir se aplicam quando você ativa o perímetro de serviço.

StratoZone

O StratoZone não está em conformidade com o VPC Service Controls. Se você tentar ativar Integração do StratoZone com o Migration Center após a criação do serviço do perímetro, ocorre um erro.

No entanto, se você tiver ativado a integração do StratoZone antes de criar o perímetro do serviço, ainda poderá acessar o StratoZone e os dados já coletados, mas a Central de Migração não enviará novos dados para o StratoZone.