为 VPC Service Controls 配置 Assured OSS 支持

Enterprise 服务层级

如果您在 VPC Service Controls 服务边界内启用有保障的开源软件 (Assured OSS)，则必须配置出站规则。

本文档仅适用于有保障的开源软件高级层级。

如需了解详情，请参阅配置出站政策。

准备工作

1. 确保您拥有在组织级配置 VPC Service Controls 所需的角色。

2. 请确保您了解以下信息：

   • 您用于设置 Assured OSS 的服务账号。
   • 设置 Assured OSS 时自动创建的 Artifact Registry 服务代理。
   • 设置 Assured OSS 的用户账号。

配置从 Assured OSS 代码库下载二进制文件时应遵循的出站规则

请为您的 Artifact Registry 代码库完成此任务。

配置以下出站规则：

- egressFrom:
    identities:
    - serviceAccount: ASSURED_OSS_EMAIL_ADDRESS
    - serviceAccount: ARTIFACT_REPOSITORY_EMAIL_ADDRESS
    - serviceAccount: OTHER_SERVICE_ACCOUNT_EMAIL_ADDRESS
    - USER_GROUP
  egressTo:
    operations:
    - methodSelectors:
      - method: artifactregistry.googleapis.com/MavenRead
      - method: artifactregistry.googleapis.com/NPMRead
      - method: artifactregistry.googleapis.com/PythonRead
      serviceName: artifactregistry.googleapis.com
    resources:
    - projects/855934472549
    - projects/107114433875

替换以下内容：

• ASSURED_OSS_EMAIL_ADDRESS：您在设置 Assured OSS 时指定的服务账号的邮箱。

• ARTIFACT_REGISTRY_EMAIL_ADDRESS：Artifact Registry 服务代理的邮箱。

• OTHER_SERVICE_ACCOUNT_EMAIL_ADDRESS：需要访问开源软件包的其他服务账号的邮箱。

• USER_GROUP：需要访问开源软件包的群组。例如 group:[e-mail] 或 user:[e-mail]。

配置从 Assured OSS 存储桶访问安全元数据时应遵循的出站规则

请为您用于设置 Assured OSS 的用户账号和服务账号完成此任务。

配置以下出站规则：

- egressFrom:
    identities:
    - serviceAccount: ASSURED_OSS_EMAIL_ADDRESS
    - user: ASSURED_OSS_USER_EMAIL_ADDRESS
  egressTo:
    operations:
    - methodSelectors:
      - method: google.storage.objects.get
      - method: google.storage.objects.list
      serviceName: storage.googleapis.com
    resources:
    - projects/107114433875

替换以下内容：

• ASSURED_OSS_EMAIL_ADDRESS：您在设置 Assured OSS 时指定的服务账号的邮箱。

• ASSURED_OSS_USER_EMAIL_ADDRESS：您用于设置 Assured OSS 的用户账号的邮箱。

配置设置 Pub/Sub 通知时应遵循的出站规则

完成此任务以为 Assured OSS 设置 Pub/Sub 通知。

创建以下出站规则：

- egressFrom:
    - serviceAccount: ASSURED_OSS_EMAIL_ADDRESS
    - user: ASSURED_OSS_USER_EMAIL_ADDRESS
  egressTo:
    operations:
    - methodSelectors:
      - method: Subscriber.CreateSubscription
      serviceName: pubsub.googleapis.com
    resources:
    - projects/107114433875

替换以下内容：

• ASSURED_OSS_EMAIL_ADDRESS：您在设置 Assured OSS 时指定的服务账号的邮箱。

• ASSURED_OSS_USER_EMAIL_ADDRESS：您用于设置 Assured OSS 的用户账号的邮箱。

配置订阅后，您可以移除此出站规则。

后续步骤

• 详细了解如何配置出站政策。

• 激活启用了 VPC Service Controls 的 Security Command Center。