Mode uji coba untuk perimeter layanan

Saat menggunakan Kontrol Layanan VPC, sulit untuk menentukan dampak terhadap lingkungan Anda jika perimeter layanan dibuat atau diubah. Dengan mode uji coba, Anda dapat lebih memahami efek mengaktifkan Kontrol Layanan VPC dan perubahan pada perimeter di lingkungan yang ada.

Dalam mode uji coba, permintaan yang melanggar kebijakan perimeter tidak akan ditolak, hanya ke dalam log. Anda dapat menggunakan mode uji coba untuk menguji konfigurasi perimeter dan memantau penggunaan layanan tanpa mencegah akses ke resource. Kasus penggunaan umum mencakup:

  • Menentukan dampak yang akan ditimbulkan oleh perubahan perimeter layanan yang ada.

  • Melihat pratinjau dampak yang akan ditimbulkan oleh perimeter layanan baru.

  • Memantau permintaan ke layanan yang dilindungi yang berasal dari luar perimeter layanan. Misalnya, melihat asal permintaan ke layanan tertentu, atau untuk mengidentifikasi penggunaan layanan yang tidak terduga di organisasi Anda.

  • Dalam lingkungan pengembangan Anda, buat arsitektur perimeter yang serupa dengan lingkungan produksi. Hal ini memungkinkan Anda mengidentifikasi dan memitigasi masalah apa pun yang akan disebabkan oleh perimeter layanan Anda sebelum menerapkan perubahan pada lingkungan produksi Anda.

Perimeter layanan dapat muncul hanya menggunakan mode uji coba. Anda juga dapat memiliki perimeter layanan yang menggunakan campuran dari mode uji coba yang diterapkan dan mode uji coba.

Manfaat mode uji coba

Dengan menggunakan mode uji coba, Anda dapat membuat perimeter layanan baru atau mengubah beberapa perimeter yang ada tanpa memengaruhi lingkungan yang ada. Permintaan yang melanggar konfigurasi perimeter baru tidak akan diblokir. Anda juga dapat memahami dampak perimeter di lingkungan ketika tidak semua layanan yang digunakan terintegrasi dengan Kontrol Layanan VPC.

Anda dapat menganalisis log Kontrol Layanan VPC untuk penolakan, mengubah konfigurasi untuk memperbaiki potensi masalah, lalu menerapkan postur keamanan baru.

Jika masalah dengan konfigurasi perimeter tidak dapat diselesaikan, Anda dapat memilih untuk mempertahankan konfigurasi uji coba perimeter dan memantau log untuk menemukan penolakan tak terduga yang mungkin mengindikasikan adanya upaya pemindahan yang tidak sah. Namun, permintaan ke perimeter tidak ditolak.

Konsep mode uji coba

Mode uji coba beroperasi sebagai tahap evaluasi kedua dari konfigurasi perimeter. Secara default, konfigurasi mode yang diterapkan untuk semua perimeter layanan diwariskan ke dalam konfigurasi mode uji coba, dengan konfigurasi dapat diubah atau dihapus tanpa memengaruhi pengoperasian perimeter layanan.

Karena mode uji coba mewarisi konfigurasi mode yang diterapkan, kedua konfigurasi harus valid pada setiap langkah. Secara khusus, sebuah project hanya dapat berada dalam satu perimeter dalam konfigurasi yang diterapkan dan satu perimeter dalam konfigurasi uji coba. Oleh karena itu, perubahan yang mencakup beberapa perimeter, seperti memindahkan project di antara perimeter, harus diurutkan dalam urutan yang tepat.

Mode uji coba hanya mencatat permintaan ke dalam log jika memenuhi kedua kriteria berikut:

  • Permintaan belum ditolak oleh konfigurasi yang diterapkan perimeter.

  • Permintaan melanggar konfigurasi uji coba perimeter.

Misalnya, jika konfigurasi uji coba yang identik dan mode penerapan membatasi bucket Cloud Storage, mode yang diterapkan akan memblokir dan mencatat semua permintaan ke bucket Cloud Storage. Mode uji coba hanya mencatat perbedaan pelanggaran dibandingkan dengan mode yang diterapkan.

Anda juga dapat membuat perimeter yang hanya memiliki konfigurasi uji coba. Hal ini memungkinkan Anda melakukan simulasi dampak perimeter yang diterapkan baru di lingkungan Anda.

Semantik kebijakan

Bagian berikut menjelaskan hubungan kebijakan antara mode penerapan dan uji coba, serta penegakan urutan yang diselesaikan.

Batasan keanggotaan unik

Project Google Cloud hanya dapat disertakan dalam satu konfigurasi yang diterapkan dan satu konfigurasi uji coba. Namun, konfigurasi uji coba dan yang diterapkan tidak harus untuk perimeter yang sama. Dengan begitu, Anda dapat menguji dampak pemindahan project dari satu perimeter ke perimeter lainnya tanpa mengorbankan keamanan yang saat ini diterapkan pada project.

Contoh

Project corp-storage saat ini dilindungi oleh konfigurasi yang diterapkan dari perimeter PA. Anda ingin menguji dampak pemindahan corp-storage ke perimeter PB.

Konfigurasi uji coba untuk PA belum diubah. Karena konfigurasi uji coba tidak dimodifikasi, konfigurasi tersebut mewarisi corp-storage dari konfigurasi yang diterapkan.

Untuk menguji dampaknya, pertama-tama hapus corp-storage dari konfigurasi uji coba untuk PA dan tambahkan project ke konfigurasi uji coba untuk PB. Anda harus menghapus corp-storage dari konfigurasi uji coba untuk PA terlebih dahulu, karena project hanya dapat berada dalam satu konfigurasi uji coba dalam satu waktu.

Setelah yakin bahwa memigrasikan corp-storage dari PA ke PB tidak akan berdampak buruk pada postur keamanan Anda, Anda memutuskan untuk menerapkan perubahan tersebut.

Ada dua cara untuk menerapkan perubahan pada perimeter PA dan PB:

  • Anda dapat secara manual menghapus corp-storage dari konfigurasi yang diterapkan untuk PA dan menambahkan project ke konfigurasi yang diterapkan untuk PB. Karena corp-storage hanya dapat berada dalam satu konfigurasi yang diterapkan pada satu waktu, Anda perlu melakukan langkah-langkah dalam urutan ini.

    -atau-

  • Anda dapat menggunakan alat command line gcloud atau Access Context Manager API untuk menerapkan semua konfigurasi uji coba. Operasi ini berlaku untuk semua konfigurasi uji uji yang diubah untuk perimeter Anda, sehingga Anda perlu mengoordinasikan operasi dengan orang lain di organisasi Anda yang telah mengubah konfigurasi uji uji untuk perimeter Anda. Karena konfigurasi uji coba untuk PA sudah mengecualikan corp-storage, tidak ada langkah tambahan yang diperlukan.

Konfigurasi perimeter yang diterapkan dieksekusi terlebih dahulu

Hanya permintaan yang diizinkan oleh konfigurasi perimeter yang diterapkan tetapi ditolak oleh konfigurasi uji coba yang dicatat ke dalam log sebagai pelanggaran kebijakan uji coba. Permintaan yang ditolak oleh konfigurasi yang diterapkan, tetapi akan diizinkan oleh konfigurasi uji coba tidak akan dicatat dalam log.

Tingkat akses tidak memiliki padanan mode uji coba

Meskipun Anda dapat membuat konfigurasi uji coba untuk perimeter, tingkat akses tidak memiliki konfigurasi uji coba. Dalam praktiknya, ini berarti jika Anda ingin menguji pengaruh perubahan pada tingkat akses terhadap konfigurasi uji coba, Anda harus:

  1. Buat tingkat akses yang mencerminkan perubahan yang ingin Anda buat pada tingkat akses yang ada.

  2. Terapkan tingkat akses baru ke konfigurasi uji coba untuk perimeter.

Mode uji coba tidak berdampak negatif terhadap keamanan

Perubahan pada konfigurasi uji coba untuk perimeter, seperti menambahkan project atau level akses baru ke perimeter, atau mengubah layanan yang dilindungi atau diakses oleh jaringan di dalam perimeter, tidak berdampak pada penerapan perimeter yang sebenarnya.

Misalnya, anggap Anda memiliki project yang berada dalam perimeter PA layanan. Jika project ditambahkan ke konfigurasi uji coba dari perimeter lain, keamanan sebenarnya yang diterapkan pada project tidak akan berubah. Project akan terus dilindungi oleh konfigurasi PA perimeter yang diterapkan, seperti yang diharapkan.

Tindakan uji coba dan status konfigurasi

Dengan menggunakan fitur uji coba, Anda dapat:

  • Membuat perimeter dengan konfigurasi uji coba saja

  • Mengupdate konfigurasi uji coba perimeter yang ada

  • Memindahkan project baru ke perimeter yang ada

  • Memindahkan proyek dari satu perimeter ke perimeter lainnya

  • Hapus konfigurasi uji coba perimeter

Berdasarkan tindakan yang diambil dalam mode uji coba, perimeter dapat berada dalam salah satu status konfigurasi berikut:

Diwariskan dari diterapkan: Status default untuk perimeter yang diterapkan. Dalam status ini, setiap perubahan pada konfigurasi perimeter yang diterapkan juga diterapkan pada konfigurasi uji coba.

Diubah: Konfigurasi uji coba untuk perimeter telah dilihat atau diubah, lalu disimpan. Dalam status ini, perubahan pada konfigurasi perimeter yang diterapkan tidak diterapkan ke konfigurasi uji coba.

Baru: Perimeter hanya memiliki konfigurasi uji coba. Meskipun perubahan dilakukan pada konfigurasi uji coba, sampai perimeter ini memiliki konfigurasi yang diterapkan, status akan tetap New.

Dihapus: Konfigurasi uji coba untuk perimeter telah dihapus. Status ini tetap ada hingga Anda membuat konfigurasi uji coba baru untuk perimeter atau membatalkan tindakan tersebut. Dalam status ini, perubahan pada konfigurasi perimeter yang diterapkan tidak diterapkan ke konfigurasi uji coba.

Batasan mode uji coba

Mode uji coba hanya berlaku untuk perimeter. Hal ini tidak membantu memahami dampak pembatasan akses Google Cloud API ke VIP terbatas atau pribadi. Sebaiknya pastikan semua layanan yang ingin Anda gunakan tersedia di VIP terbatas sebelum mengonfigurasi domain restricted.googleapis.com.

Jika Anda tidak yakin apakah API yang digunakan di lingkungan yang sudah ada didukung oleh VIP yang dibatasi, sebaiknya gunakan VIP pribadi. Anda masih dapat menerapkan keamanan perimeter untuk layanan yang didukung. Namun, jika Anda menggunakan VIP pribadi, entitas dalam jaringan Anda akan memiliki akses ke layanan yang tidak aman (layanan yang tidak didukung oleh Kontrol Layanan VPC), seperti Gmail dan Drive versi konsumen. Karena VIP pribadi mengizinkan layanan yang tidak didukung oleh Kontrol Layanan VPC, kode yang disusupi, malware, atau pengguna berbahaya di dalam jaringan Anda kemungkinan dapat mengambil data secara tidak sah menggunakan layanan yang tidak aman tersebut.

Apa langkah selanjutnya?