In questa pagina viene descritto come visualizzare e implementare suggerimenti sulla disattivazione dell'accesso IP pubblico per le istanze che violano il criterio dell'organizzazione constraints/sql.restrictPublicIp
applicato dall'amministratore. Questo criterio limita la configurazione dell'IP pubblico sulle tue istanze. La violazione dei criteri si verifica quando esiste già l'accesso IP pubblico per un'istanza al momento dell'applicazione del vincolo. Questo recommender è denominato Disabilita IP pubblico.
Ogni giorno, questo motore per suggerimenti rileva le istanze che violano il criterio dell'organizzazione constraints/sql.restrictPublicIp
e fornisce insight e suggerimenti per migliorare la sicurezza dell'istanza. Puoi visualizzare insight e suggerimenti dettagliati su queste istanze utilizzando la console Google Cloud, gcloud CLI o l'API Recommender.
Per saperne di più sui criteri dell'organizzazione, vedi Criteri dell'organizzazione di Cloud SQL.
Prima di iniziare
Assicurati di abilitare l'API Recommender.
Ruoli e autorizzazioni richiesti
Per ottenere le autorizzazioni per visualizzare e utilizzare insight e suggerimenti, assicurati di disporre dei ruoli IAM (Identity and Access Management) necessari.
Attività | Ruoli |
---|---|
Visualizza i suggerimenti |
recommender.cloudsqlViewer o
cloudsql.admin .
|
Applica consigli |
cloudsql.editor
o cloudsql.admin .
|
Elenca i consigli
Per elencare i consigli:
Console
Vai all'hub dei suggerimenti.
Per saperne di più, consulta la sezione Esplorazione dei suggerimenti.
Nella scheda Istanze Cloud SQL sicure, fai clic su Visualizza tutto. Viene visualizzata la pagina Consigli per la sicurezza. Elenca i consigli insieme alle istanze a cui si applicano.
gcloud
Esegui il comando gcloud recommender recommendations list
come segue:
gcloud recommender recommendations list \ --project=PROJECT_ID \ --location=LOCATION \ --recommender=google.cloudsql.instance.SecurityRecommender \ --filter=recommenderSubtype=DISABLE_PUBLIC_IP_TO_MEET_ORG_POLICY
Sostituisci quanto segue:
- PROJECT_ID: l'ID progetto.
- LOCATION: una regione in cui si trovano le istanze, ad esempio us-central1.
API
Chiama il metodo recommendations.list
come segue:
GET https://recommender.googleapis.com/v1beta1/projects/PROJECT_ID/locations/LOCATION/recommenders/google.cloudsql.instance.SecurityRecommender/recommendations?filter=recommenderSubtype=DISABLE_PUBLIC_IP_TO_MEET_ORG_POLICY
Sostituisci quanto segue:
- PROJECT_ID: l'ID progetto.
- LOCATION: una regione in cui si trovano le istanze, ad esempio
us-central1
.
Visualizza approfondimenti e consigli dettagliati
Per visualizzare approfondimenti e consigli dettagliati:
Console
Nella pagina Consigli per la sicurezza, fai clic sul consiglio per un'istanza. Viene visualizzato il riquadro dei consigli, che contiene approfondimenti e consigli dettagliati.
gcloud
Esegui il comando gcloud recommender insights list
come segue:
gcloud recommender insights list \ --project=PROJECT_ID \ --location=LOCATION \ --insight-type=google.cloudsql.instance.SecurityInsight \ --filter=insightSubtype=ORG_POLICY_TO_RESTRICT_PUBLIC_IP_VIOLATED
Sostituisci quanto segue:
- PROJECT_ID: l'ID progetto.
- LOCATION : una regione in cui si trovano le istanze, ad esempio
us-central1
.
API
Chiama il metodo insights.list
come segue:
GET https://recommender.googleapis.com/v1beta1/projects/PROJECT_ID/locations/LOCATION/insightTypes/google.cloudsql.instance.SecurityInsight/insights?filter=insightSubtype=ORG_POLICY_TO_RESTRICT_PUBLIC_IP_VIOLATED
Sostituisci quanto segue:
- PROJECT_ID: l'ID progetto.
- LOCATION: una regione in cui si trovano le istanze, ad esempio
us-central1
.
Applica il consiglio
Console
Per implementare il suggerimento:
Fai clic su Gestisci assegnazione IP dell'istanza.
Configura i client in modo che si connettano all'istanza tramite IP privato.
Disabilita l'IP pubblico sulla tua istanza.
gcloud
Per implementare il suggerimento:
Configura i client in modo che si connettano all'istanza tramite IP privato.
Disabilita l'IP pubblico sulla tua istanza.
API
Per implementare il suggerimento:
Configura i client in modo che si connettano all'istanza tramite IP privato.
Disabilita l'IP pubblico sulla tua istanza.