Controles del servicio de VPC es una función de Google Cloud que te permite configurar un perímetro seguro para protegerte del robo de datos. En esta guía, se muestra cómo incluir trabajos de Cloud Scheduler en un perímetro de Controles del servicio de VPC.
Limitaciones
Las siguientes limitaciones se aplican a la compatibilidad de los Controles del servicio de VPC para de Google Cloud Scheduler.
Acciones aplicadas
Los Controles del servicio de VPC solo se aplican en las siguientes acciones:
- Creación de trabajos de Cloud Scheduler
- Actualizaciones de trabajos de Cloud Scheduler
¿Por qué esto es importante?
Debido a que los Controles del servicio de VPC solo se aplican a la creación y actualización de trabajos, los Controles del servicio de VPC no se aplican automáticamente a los trabajos que se crearon antes de agregar Cloud Scheduler a tu perímetro de los Controles del servicio de VPC. Las tareas se siguen ejecutando, incluso si sus objetivos no forman parte de tu perímetro de los Controles del servicio de VPC o no son objetivos compatibles. Para hacer cumplir los Controles del servicio de VPC en todos los trabajos de Cloud Scheduler, haz lo siguiente:
- Trabajos con objetivos que no se admiten o que están fuera de tu perímetro: Borra los trabajos. Consulta Cómo borrar trabajos que no cumplen con los requisitos.
- Trabajos con objetivos admitidos y dentro de tu perímetro: Ejecuta una actualización en cada trabajo después de agregar Cloud Scheduler a tu perímetro. Consulta Cómo aplicar la política en trabajos preexistentes.
Categorías admitidas
La integración de Cloud Scheduler con los Controles del servicio de VPC solo admite los siguientes destinos:
- Funciones de Cloud Run (en la URL
functions.net) - Cloud Run (en la URL
run.appde Cloud Run de Google Cloud. No se admiten los destinos de trabajo de Cloud Run. Para obtener información sobre la diferencia entre los recursos de servicio y de trabajo de Cloud Run, consulta Servicios y trabajos: dos formas de ejecutar tu código. - API de Dataflow (debe estar en el mismo proyecto de Google Cloud que tu trabajo de Cloud Scheduler)
- Canalizaciones de datos (debe estar en el mismo proyecto de Google Cloud que tu trabajo de Cloud Scheduler)
- Pub/Sub (debe estar en el mismo proyecto de Google Cloud que tu trabajo de Cloud Scheduler)
Borra los trabajos que no cumplen con los requisitos
(recomendado) Borrar los trabajos de Cloud Scheduler que tengan objetivos una de las siguientes opciones:
- No compatible (consulta Destinos compatibles)
- Fuera del perímetro de los Controles del servicio de VPC que planeas usar
Para obtener instrucciones sobre cómo borrar trabajos, consulta Borra un trabajo.
Si no borras estos trabajos antes de agregar Cloud Scheduler a tu perímetro de Controles del servicio de VPC, los trabajos siguen ejecutándose, pero Los Controles del servicio de VPC no se les aplican (consulta Acciones aplicadas).
Por ejemplo, si tienes un trabajo de Cloud Scheduler que se orienta a destino no admitido (como un dominio personalizado de Cloud Run), el trabajo sigue ejecutándose después de que agregas Cloud Scheduler a tu perímetro de los Controles del servicio de VPC, pero no está protegido por ellos. Lo mismo ocurre con un trabajo preexistente con un objetivo fuera de tu perímetro de los Controles del servicio de VPC.
Agrega los roles de IAM necesarios
Obligatorio. Para usar los Controles del servicio de VPC, la cuenta de servicio de Cloud Scheduler debe tener el rol de IAM de Agente de servicio de Cloud Scheduler. Se crea la cuenta de servicio de Cloud Scheduler para tu proyecto automáticamente. Para verificar que tenga el rol de IAM de agente de servicio de Cloud Scheduler o para otorgarle este rol, sigue estos pasos:
En la consola de Google Cloud, ve a IAM.
Selecciona la casilla de verificación Incluir asignaciones de funciones proporcionadas por Google.
En el filtro, ingresa Cloud Scheduler Service Account y selecciona esta opción. principal.
Consulta la columna Role para la principal Cloud Scheduler Service Account. Puedes continuar si aparece el siguiente rol:
- Agente de servicio de Cloud Scheduler
Si no aparece el rol de cuenta de servicio de Cloud Scheduler, haz clic en el ícono Editar y otorga el rol de Agente de servicio de Cloud Scheduler al principal de la cuenta de servicio de Cloud Scheduler.
Especifica un perímetro de Controles del servicio de VPC
Obligatorio. Puedes usar un perímetro existente o crear uno nuevo para proteger los trabajos de Cloud Scheduler que admiten objetivos. Ambos enfoques te permiten especificar los servicios que deseas restringir. Especifica la API de Cloud Scheduler.
Perímetros existentes: Para actualizar un perímetro existente de los Controles del servicio de VPC para incluir Cloud Scheduler, sigue los pasos para actualizar un perímetro de servicio.
Périmetros nuevos: Para crear un perímetro nuevo para Cloud Scheduler, sigue los pasos para crear un perímetro de servicio.
Aplica los Controles del servicio de VPC en trabajos preexistentes
(recomendado) Para aplicar los Controles del servicio de VPC en las tareas de Cloud Scheduler que creaste antes de agregar Cloud Scheduler a tu perímetro de Controles del servicio de VPC, ejecuta un update en la tarea. No es necesario
cambiar la tarea, pero debes ejecutar la actualización para que los Controles del servicio de VPC
se apliquen a la tarea y a sus ejecuciones futuras.
Puedes ejecutar una actualización del trabajo desde la consola de Google Cloud (selecciona el trabajo y usa el botón Editar), con la API o con la CLI de gcloud.
Para aplicar los Controles del servicio de VPC en un trabajo preexistente mediante el gcloud CLI, ejecuta lo siguiente:
Destinos de HTTP
gcloud scheduler jobs update http JOB_ID
Reemplaza lo siguiente:
JOB_ID: Es el ID del trabajo.
Destinos de Pub/Sub
gcloud scheduler jobs update pubsub JOB_ID
Reemplaza lo siguiente:
JOB_ID: Es el ID de tu trabajo.