允许公共端点从 VPC Service Controls 边界外访问受保护的资源

本页介绍了如何使用入站流量和出站流量规则允许 VPC 网络中内部 IP 地址的流量进入服务边界。

参考架构

在以下参考架构中，共享 VPC 在服务项目 ph-fm-svc-project（基础模型服务项目）中部署了 Gemini 模型，并具有以下服务政策属性，允许对 Vertex AI 上的生成式 AI 的 Vertex AI API 进行已知的公开访问：

  • 单个 VPC Service Controls 边界
  • 访问权限级别 - 已知的外部公共端点 CIDR 范围
  • 项目定义的用户身份

使用 VPC Service Controls 创建服务边界的架构图。

创建访问权限级别

Access Context Manager 允许 Google Cloud 组织管理员为Google Cloud中的项目和资源定义基于属性的精细访问权限控制。管理员首先定义一个访问权限政策，这是组织范围内的访问权限级别和服务边界容器。

访问权限级别说明请求被接受所需要满足的条件。示例包括：

在此参考架构中，公共 IP 子网访问权限级别用于构建 VPC Service Controls 访问权限政策。

  1. 在 Google Cloud 控制台顶部的项目选择器中，点击全部标签页，然后选择您的组织。

  2. 按照创建基本访问权限级别页面中的说明创建基本访问权限级别。指定以下选项：

    1. 在在以下位置创建条件下，选择基本模式。
    2. 在访问权限级别标题字段中，输入 corp-public-block。
    3. 在条件部分中，对于满足条件时返回选项，请选择 TRUE。
    4. 在 IP 子网下，选择 Public IP（公共 IP）。
    5. 对于 IP 地址范围，请指定需要访问 VPC Service Controls 边界的外部 CIDR 范围。

构建 VPC Service Controls 服务边界

创建服务边界时，除了受保护的项目之外，还可以在创建 VPC Service Controls 边界时指定访问权限级别（IP 地址），以允许从边界外访问受保护的服务。将 VPC Service Controls 与共享 VPC 搭配使用时，最佳实践是创建一个包含宿主项目和服务项目的大型边界；仅在边界中选择服务项目意味着属于服务项目的网络端点似乎位于边界之外，因为子网与宿主项目相关联。

为新边界选择配置类型

在本部分中，您将在试运行模式下创建 VPC Service Controls 服务边界。在试运行模式下，边界会记录违规行为，虽然看起来已实施边界，但实际上并不会阻止对受限服务的访问。建议您在切换到强制模式之前使用模拟运行模式。

  1. 在 Google Cloud 控制台导航菜单中，点击安全，然后点击 VPC Service Controls。

    前往 VPC Service Controls 页面

  2. 如果出现提示，请选择您的组织、文件夹或项目。

  3. 在 VPC Service Controls 页面上，点击试运行模式。

  4. 点击新建边界。

  5. 在新建 VPC 服务边界标签页的边界名称框中，为边界输入一个名称。否则，接受默认值。

    边界名称的最大长度为 50 个字符，必须以字母开头，并且只能包含 ASCII 拉丁字母（a-z、A-Z）、数字 (0-9) 或下划线 (_)。边界名称区分大小写，并且在访问权限政策中必须是唯一的。

选择要保护的资源

  1. 点击要保护的资源。

  2. 如需添加您要在边界内保护的项目或 VPC 网络，请执行以下操作：

    1. 点击添加资源。

    2. 如需将项目添加到边界中，请在添加资源窗格中，点击添加项目。

      1. 如需选择项目，请在添加项目对话框中选中相应项目的复选框。选中以下项目对应的复选框：

        • aiml-host-project
        • ph-fm-svc-project

      2. 点击添加所选资源。添加的项目会显示在项目部分中。

选择受限服务

在此参考架构中，受限 API 的范围有限，仅启用 Gemini 所需的必要 API。不过，最佳实践是，我们建议您在创建边界时对所有服务施加限制，以降低Google Cloud 服务发生数据渗漏的风险。

如需选择要在边界内保护的服务，请执行以下操作：

  1. 点击受限的服务。

  2. 在受限的服务窗格中，点击添加服务。

  3. 在指定要限制的服务对话框中，选择 Vertex AI API。

  4. 点击 Add Vertex AI API（添加 Vertex AI API）。

可选：选择可通过 VPC 访问的服务

VPC 可访问服务设置限制了可从服务边界内的网络端点访问的一组服务。在此参考架构中，我们将保留所有服务的默认设置。

  1. 点击 VPC 可访问服务。

  2. 在 VPC 可访问服务窗格中，选择所有服务。

选择访问权限级别

如需允许从边界外访问受保护的资源，请执行以下操作：

  1. 点击访问权限级别。

  2. 点击选择访问权限级别框。

    您也可以在创建边界后添加访问权限级别。

  3. 选择与 corp-public-block 访问权限级别对应的复选框。

入站和出站政策

在此参考架构中，无需在入站流量政策或出站流量政策窗格中指定任何设置。

创建边界

完成上述配置步骤后，点击创建边界以创建边界。

在试运行模式下验证边界

在此参考架构中，服务边界配置为试运行模式，可让您在不强制执行的情况下测试访问权限政策的效果。这意味着，您可以查看政策生效后对环境的影响，而不会冒中断合法流量的风险。

在试运行模式下验证边界后，将其切换到强制执行模式。

如需了解如何在试运行模式下验证边界，请参阅 VPC Service Controls 试运行日志记录。