Mode uji coba untuk perimeter layanan

Saat menggunakan Kontrol Layanan VPC, sulit untuk menentukan dampaknya terhadap lingkungan Anda saat perimeter layanan dibuat atau diubah. Dengan mode uji coba, Anda dapat lebih memahami dampak pengaktifan Kontrol Layanan VPC dan perubahan pada perimeter di lingkungan yang ada.

Dalam mode uji coba, permintaan yang melanggar kebijakan perimeter tidak ditolak, hanya dicatat dalam log. Anda dapat menggunakan mode uji coba untuk menguji konfigurasi perimeter dan memantau penggunaan layanan tanpa mencegah akses ke resource. Kasus penggunaan umum mencakup:

  • Menentukan dampak yang akan ditimbulkan oleh perubahan pada perimeter layanan yang ada.

  • Melihat pratinjau dampak yang akan ditimbulkan oleh perimeter layanan baru.

  • Memantau permintaan ke layanan yang dilindungi yang berasal dari luar perimeter layanan. Misalnya, melihat asal permintaan ke layanan tertentu, atau untuk mengidentifikasi penggunaan layanan yang tidak terduga di organisasi Anda.

  • Di lingkungan pengembangan, buat arsitektur perimeter yang analog dengan lingkungan produksi Anda. Hal ini memungkinkan Anda mengidentifikasi dan mengurangi masalah apa pun yang akan disebabkan oleh perimeter layanan sebelum menerapkan perubahan ke lingkungan produksi.

Perimeter layanan dapat ada menggunakan mode uji coba secara eksklusif. Anda juga dapat memiliki perimeter layanan yang menggunakan gabungan mode penerapan dan uji coba.

Manfaat mode uji coba

Dengan menggunakan mode uji coba, Anda dapat membuat perimeter layanan baru atau mengubah beberapa perimeter yang ada tanpa memengaruhi lingkungan yang ada. Permintaan yang melanggar konfigurasi perimeter baru tidak diblokir. Anda juga dapat memahami dampak perimeter di lingkungan tempat tidak semua layanan yang digunakan terintegrasi dengan Kontrol Layanan VPC.

Anda dapat menganalisis log Kontrol Layanan VPC untuk mengetahui penolakan, mengubah konfigurasi untuk memperbaiki potensi masalah, lalu menerapkan postur keamanan baru.

Jika masalah pada konfigurasi perimeter tidak dapat diatasi, Anda dapat memilih untuk mempertahankan konfigurasi uji coba perimeter dan memantau log untuk menemukan penolakan yang tidak terduga yang mungkin menunjukkan upaya pemindahan data. Namun, permintaan ke perimeter tidak ditolak.

Konsep mode uji coba

Mode uji coba beroperasi sebagai tahap evaluasi kedua dari konfigurasi perimeter. Secara default, konfigurasi mode yang diterapkan untuk semua perimeter layanan diwarisi ke dalam konfigurasi mode uji coba, tempat konfigurasi dapat diubah atau dihapus tanpa memengaruhi operasi perimeter layanan.

Karena mode uji coba mewarisi konfigurasi mode yang diterapkan, pada setiap langkah, kedua konfigurasi harus valid. Secara khusus, project hanya dapat berada di satu perimeter dalam konfigurasi yang diterapkan dan satu perimeter dalam konfigurasi uji coba. Akibatnya, perubahan yang mencakup beberapa perimeter, seperti memindahkan project antar-perimeter, harus diurutkan dalam urutan yang benar.

Mode uji coba hanya mencatat permintaan jika memenuhi kedua kriteria berikut:

  • Permintaan belum ditolak oleh konfigurasi yang diterapkan di perimeter.

  • Permintaan melanggar konfigurasi uji coba perimeter.

Misalnya, jika konfigurasi mode dry run dan mode yang diterapkan identik membatasi bucket Cloud Storage, mode yang diterapkan akan memblokir dan mencatat permintaan apa pun ke bucket Cloud Storage. Mode uji coba hanya mencatat perbedaan pelanggaran dibandingkan dengan mode yang diterapkan.

Anda juga dapat membuat perimeter yang hanya memiliki konfigurasi uji coba. Hal ini memungkinkan Anda menyimulasikan dampak perimeter baru yang diterapkan di lingkungan Anda.

Semantik kebijakan

Bagian berikut menjelaskan hubungan kebijakan antara mode penerapan dan uji coba, serta mode penerapan urutan yang di-resolve.

Batasan keanggotaan unik

Project Google Cloud hanya dapat disertakan dalam satu konfigurasi yang diterapkan dan satu konfigurasi uji coba. Namun, konfigurasi yang diterapkan dan uji coba tidak perlu untuk perimeter yang sama. Hal ini memungkinkan Anda menguji dampak pemindahan project dari satu perimeter ke perimeter lain tanpa mengorbankan keamanan yang saat ini diterapkan ke project.

Contoh

Project corp-storage saat ini dilindungi oleh konfigurasi perimeter PA yang diterapkan. Anda ingin menguji dampak pemindahan corp-storage ke perimeter PB.

Konfigurasi uji coba untuk PA belum diubah. Karena konfigurasi uji coba tidak diubah, konfigurasi tersebut mewarisi corp-storage dari konfigurasi yang diterapkan.

Untuk menguji dampaknya, Anda harus menghapus corp-storage terlebih dahulu dari konfigurasi uji coba untuk PA dan menambahkan project ke konfigurasi uji coba untuk PB. Anda harus menghapus corp-storage dari konfigurasi uji coba untuk PA terlebih dahulu karena project hanya dapat ada dalam satu konfigurasi uji coba dalam satu waktu.

Jika Anda yakin bahwa memigrasikan corp-storage dari PA ke PB tidak akan memiliki efek buruk pada postur keamanan Anda, Anda memutuskan untuk menerapkan perubahan.

Ada dua cara untuk menerapkan perubahan pada perimeter PA dan PB:

  • Anda dapat menghapus corp-storage secara manual dari konfigurasi yang diterapkan untuk PA dan menambahkan project ke konfigurasi yang diterapkan untuk PB. Karena corp-storage hanya dapat berada dalam satu konfigurasi yang diterapkan sekaligus, Anda perlu melakukan langkah-langkah dalam urutan ini.

    -atau-

  • Anda dapat menggunakan alat command line gcloud atau Access Context Manager API untuk menerapkan semua konfigurasi uji coba. Operasi ini berlaku untuk semua konfigurasi uji coba yang diubah untuk perimeter Anda, jadi sebaiknya Anda mengoordinasikan operasi dengan orang lain di organisasi yang telah mengubah konfigurasi uji coba untuk perimeter Anda. Karena konfigurasi uji coba untuk PA sudah mengecualikan corp-storage, tidak ada langkah tambahan yang diperlukan.

Konfigurasi perimeter yang diterapkan akan dieksekusi terlebih dahulu

Hanya permintaan yang diizinkan oleh konfigurasi perimeter yang diterapkan, tetapi ditolak oleh konfigurasi uji coba yang dicatat ke dalam log sebagai pelanggaran kebijakan uji coba. Permintaan yang ditolak oleh konfigurasi yang diterapkan, tetapi akan diizinkan oleh konfigurasi uji coba, tidak akan dicatat ke dalam log.

Tingkat akses tidak memiliki mode uji coba yang setara

Meskipun Anda dapat membuat konfigurasi uji coba untuk perimeter, tingkat akses tidak memiliki konfigurasi uji coba. Dalam praktiknya, ini berarti jika Anda ingin menguji pengaruh perubahan pada tingkat akses terhadap konfigurasi uji coba, Anda harus:

  1. Buat tingkat akses yang mencerminkan perubahan yang ingin Anda buat pada tingkat akses yang ada.

  2. Terapkan tingkat akses baru ke konfigurasi uji coba untuk perimeter.

Mode uji coba tidak memiliki dampak negatif terhadap keamanan

Perubahan pada konfigurasi uji coba untuk perimeter, seperti menambahkan project baru atau level akses ke perimeter, atau mengubah layanan yang dilindungi atau dapat diakses oleh jaringan di dalam perimeter, tidak akan memengaruhi penerapan perimeter yang sebenarnya.

Misalnya, Anda memiliki project yang termasuk dalam perimeter layanan PA. Jika project ditambahkan ke konfigurasi uji coba perimeter lain, keamanan yang sebenarnya diterapkan ke project tidak akan berubah. Project ini terus dilindungi oleh konfigurasi PA perimeter yang diterapkan, seperti yang diharapkan.

Status konfigurasi dan tindakan uji coba

Dengan menggunakan fitur uji coba, Anda dapat:

  • Membuat perimeter hanya dengan konfigurasi uji coba

  • Memperbarui konfigurasi uji coba perimeter yang ada

  • Memindahkan project baru ke perimeter yang ada

  • Memindahkan project dari satu perimeter ke perimeter lain

  • Menghapus konfigurasi uji coba perimeter

Berdasarkan tindakan yang dilakukan dalam mode uji coba, perimeter dapat berada dalam salah satu status konfigurasi berikut:

Diwariskan dari diterapkan: Status default untuk perimeter yang diterapkan. Dalam status ini, setiap perubahan pada konfigurasi yang diterapkan perimeter juga diterapkan ke konfigurasi uji coba.

Diubah: Konfigurasi uji coba untuk perimeter telah dilihat atau diubah, lalu disimpan. Dalam status ini, perubahan pada konfigurasi perimeter yang diterapkan tidak diterapkan ke konfigurasi uji coba.

Baru: Perimeter hanya memiliki konfigurasi uji coba. Meskipun perubahan dilakukan pada konfigurasi uji coba, hingga perimeter ini memiliki konfigurasi yang diterapkan, statusnya tetap Baru.

Dihapus: Konfigurasi uji coba untuk perimeter telah dihapus. Status ini akan tetap ada hingga Anda membuat konfigurasi uji coba baru untuk perimeter atau mengurungkan tindakan. Dalam status ini, perubahan pada konfigurasi perimeter yang diterapkan tidak diterapkan ke konfigurasi uji coba.

Batasan mode uji coba

Mode uji coba hanya berlaku untuk perimeter. Hal ini tidak membantu memahami dampak pembatasan akses Google Cloud API ke VIP terbatas atau pribadi. Sebaiknya pastikan bahwa semua layanan yang ingin Anda gunakan tersedia di VIP yang dibatasi sebelum Anda mengonfigurasi domain restricted.googleapis.com.

Jika Anda tidak yakin apakah API yang Anda gunakan di lingkungan yang ada didukung oleh VIP yang dibatasi, sebaiknya gunakan VIP pribadi. Anda masih dapat menerapkan keamanan perimeter untuk layanan yang didukung. Namun, jika Anda menggunakan VIP pribadi, entitas dalam jaringan Anda akan memiliki akses ke layanan yang tidak aman (layanan yang tidak didukung oleh Kontrol Layanan VPC), seperti Gmail dan Drive versi konsumen. Karena VIP pribadi mengizinkan layanan yang tidak didukung oleh Kontrol Layanan VPC, kode yang disusupi, malware, atau pengguna berbahaya dalam jaringan Anda dapat mengeksfiltrasi data menggunakan layanan yang tidak aman tersebut.

Apa langkah selanjutnya?