Dienstperimeter verwalten

Auf dieser Seite wird beschrieben, wie Sie Dienstperimeter in VPC Service Controls verwalten können. Weitere Informationen zum Erstellen neuer Dienstperimeter finden Sie unter Dienstperimeter erstellen.

Diese Seite enthält die folgenden Abschnitte:

Hinweis

Dienstperimeter auflisten und beschreiben

Listen Sie alle Dienstperimeter einer Organisation auf:

Console

  1. Klicken Sie im Navigationsmenü der Google Cloud Console auf Sicherheit und dann auf VPC Service Controls.

    Zur Seite „VPC Service Controls”

  2. Klicken Sie in der Tabelle auf der Seite VPC Service Controls auf den Namen des Dienstperimeters, den Sie ansehen möchten.

gcloud

Zum Auflisten der Dienstperimeter Ihrer Organisation verwenden Sie den Befehl list:

gcloud access-context-manager perimeters list

Sie sollten eine Liste der Perimeter Ihrer Organisation sehen. Beispiel:

NAME           TITLE                 ETAG
ProdPerimeter  Production Perimeter  abcdefg123456789

Wenn Sie Details zu einem Dienstperimeter aufrufen möchten, können Sie den Befehl describe verwenden:

gcloud access-context-manager perimeters \
  describe PERIMETER_ID

Dabei gilt:

  • PERIMETER_ID ist die ID des Dienstperimeters, zu dem Sie Details abrufen möchten.

Sie sollten die Details zum Perimeter sehen. Beispiel:

etag: abcdefg123456789
name: accessPolicies/626111171578/servicePerimeters/ProdPerimeter
status:
  accessLevels:
  - accessPolicies/626111171578/accessLevels/corpAccess
  resources:
  - projects/111584792408
  restrictedServices:
  - bigquery.googleapis.com
  - storage.googleapis.com
title: Production Perimeter

Dienstperimeter auflisten (formatiert)

Mit dem gcloud-Befehlszeilentool können Sie eine Liste Ihrer Dienstperimeter im YAML- oder JSON-Format abrufen.

Mit dem Befehl list können Sie eine formatierte Liste von Perimetern abrufen:

gcloud access-context-manager perimeters list \
  --format=FORMAT

Ersetzen Sie Folgendes:

  • FORMAT ist einer der folgenden Werte:

    • list (YAML-Format)

    • json (JSON-Format)

Die folgende Ausgabe ist eine Beispielliste im YAML-Format:

- etag: abcdefg123456789
  name: accessPolicies/165717541651/servicePerimeters/On_Prem
  status: {'resources': ['projects/167410821371'], 'restrictedServices': ['bigquery.googleapis.com', 'storage.googleapis.com']}
  title: On Prem
- etag: hijklmn987654321
  name: accessPolicies/165717541651/servicePerimeters/Private
  spec: {'resources': ['projects/136109111311'], 'restrictedServices': ['bigquery.googleapis.com', 'storage.googleapis.com', 'logging.googleapis.com']}
  status: {'resources': ['projects/136109111311', 'projects/401921913171'], 'restrictedServices': ['bigquery.googleapis.com']}
  title: Private
  useExplicitDryRunSpec: True
- etag: pqrstuv123456789
  name: accessPolicies/165717541651/servicePerimeters/OnpremBridge
  perimeterType: PERIMETER_TYPE_BRIDGE
  status: {'resources': ['projects/167410821371']}
  title: OnpremBridge

Die folgende Ausgabe ist eine Beispielliste im JSON-Format:

[
  {
    "etag": "abcdefg123456789",
    "name": "accessPolicies/165717541651/servicePerimeters/On_Prem",
    "status": {
      "resources": [
        "projects/167410821371"
      ],
      "restrictedServices": [
        "bigquery.googleapis.com",
        "storage.googleapis.com"
      ]
    },
    "title": "On Prem"
  },
  {
    "etag": "hijklmn987654321",
    "name": "accessPolicies/165717541651/servicePerimeters/Private",
    "spec": {
      "resources": [
        "projects/136109111311"
      ],
      "restrictedServices": [
        "bigquery.googleapis.com",
        "storage.googleapis.com",
        "logging.googleapis.com"
      ]
    },
    "status": {
      "resources": [
        "projects/136109111311",
        "projects/401921913171"
      ],
      "restrictedServices": [
        "bigquery.googleapis.com"
      ]
    },
    "title": "Private",
    "useExplicitDryRunSpec": true
  },
  {
    "etag": "pqrstuv123456789",
    "name": "accessPolicies/165717541651/servicePerimeters/OnpremBridge",
    "perimeterType": "PERIMETER_TYPE_BRIDGE",
    "status": {
      "resources": [
        "projects/167410821371"
      ]
    },
    "title": "OnpremBridge"
  }
]

Dienstperimeter aktualisieren

In diesem Abschnitt wird beschrieben, wie Sie einzelne Dienstperimeter aktualisieren können. Informationen zum Aktualisieren aller Dienstperimeter einer Organisation in einem Vorgang finden Sie unter Bulk-Änderungen an Dienstperimetern vornehmen.

Mit den folgenden Aufgaben können Sie einen Dienstperimeter aktualisieren:

Nach dem Aktualisieren eines Dienstperimeters kann es bis zu 30 Minuten dauern, bis die Änderungen übernommen und wirksam werden. Während dieser Zeit kann der Perimeter Anfragen mit der folgenden Fehlermeldung blockieren: Error 403: Request is prohibited by organization's policy.

Console

  1. Klicken Sie im Navigationsmenü der Google Cloud Console auf Sicherheit und dann auf VPC Service Controls.

    Zur Seite „VPC Service Controls”

  2. Klicken Sie in der Tabelle auf der Seite VPC Service Controls auf den Namen des Dienstperimeters, den Sie ändern möchten.

  3. Die Seite VPC-Dienstperimeter bearbeiten wird geöffnet und Sie können den Dienstperimeter aktualisieren.

  4. Klicken Sie auf Speichern.

gcloud

Verwenden Sie den Befehl update und geben Sie die hinzuzufügenden Ressourcen an, um einem Perimeter neue Ressourcen hinzuzufügen:

gcloud access-context-manager perimeters update PERIMETER_ID \
  --add-resources=RESOURCES

Ersetzen Sie Folgendes:

  • PERIMETER_ID ist die ID des Dienstperimeters, zu dem Sie Details abrufen möchten.

  • RESOURCES ist eine durch Kommas getrennte Liste mit einer oder mehreren Projektnummern oder VPC-Netzwerknamen. Beispiel: projects/12345 oder //compute.googleapis.com/projects/my-project/global/networks/vpc1. Nur Projekte und VPC-Netzwerke sind zulässig. Projektformat: projects/project_number. VPC-Format: //compute.googleapis.com/projects/project-id/global/networks/network_name.

Verwenden Sie zum Aktualisieren der Liste der eingeschränkten Dienste den Befehl update und geben Sie die hinzuzufügenden Dienste als durch Kommas getrennte Liste an:

gcloud access-context-manager perimeters update PERIMETER_ID \
  --add-restricted-services=SERVICES

Dabei gilt:

  • PERIMETER_ID ist die ID des Dienstperimeters, zu dem Sie Details abrufen möchten.

  • SERVICES ist eine durch Kommas getrennte Liste mit einem oder mehreren Diensten. Beispiel: storage.googleapis.com oder storage.googleapis.com,bigquery.googleapis.com.

Zugriffsebene zu einem vorhandenen Perimeter hinzufügen

Nachdem Sie eine Zugriffsebene erstellt haben, können Sie sie auf einen Dienstperimeter anwenden, um den Zugriff zu steuern.

Nach dem Aktualisieren eines Dienstperimeters kann es bis zu 30 Minuten dauern, bis die Änderungen übernommen und wirksam werden. Während dieser Zeit kann der Perimeter Anfragen mit der folgenden Fehlermeldung blockieren: Error 403: Request is prohibited by organization's policy.

Console

  1. Klicken Sie im Navigationsmenü der Google Cloud Console auf Sicherheit und dann auf VPC Service Controls.

    Zur Seite „VPC Service Controls”

  2. Klicken Sie in der Tabelle auf der Seite VPC Service Controls auf den Namen des Dienstperimeters, den Sie ändern möchten.

  3. Die Seite VPC-Dienstperimeter bearbeiten wird geöffnet. Klicken Sie auf das Kästchen Zugriffsebene auswählen.

  4. Klicken Sie auf die Kästchen für die Zugriffsebenen, die Sie auf den Dienstperimeter anwenden möchten.

  5. Klicken Sie auf Speichern.

gcloud

Verwenden Sie den Befehl update, um einem vorhandenen Dienstperimeter eine Zugriffsebene hinzuzufügen:

gcloud access-context-manager perimeters update PERIMETER_ID \
  --add-access-levels=LEVEL_NAME

Dabei gilt:

  • PERIMETER_ID ist die ID des Dienstperimeters.

  • LEVEL_NAME ist der Name der Zugriffsebene, die Sie dem Dienstperimeter hinzufügen möchten.

Weitere Informationen zur Verwendung von Zugriffsebenen mit einem Perimeter finden Sie unter Zugriff auf geschützte Ressourcen von außerhalb eines Perimeters zulassen.

Dienstperimeter löschen

Wenn Sie einen Dienstperimeter löschen, gelten die mit dem Perimeter verknüpften Sicherheitsfunktionen nicht mehr für die zugehörigen Google Cloud-Projekte. Für die betroffenen Google Cloud-Projekte oder die zugehörigen Ressourcen entstehen keine anderen Auswirkungen.

Console

  1. Klicken Sie im Navigationsmenü der Google Cloud Console auf Sicherheit und dann auf VPC Service Controls.

    Zur Seite „VPC Service Controls”

  2. Klicken Sie auf der Seite VPC Service Controls in der Tabellenzeile für den Perimeter, den Sie löschen möchten, auf .

gcloud

Verwenden Sie den Befehl delete, um einen Dienstperimeter zu löschen:

gcloud access-context-manager perimeters delete PERIMETER_ID

Dabei gilt:

  • PERIMETER_ID ist die ID des Dienstperimeters.

Zugriff auf Dienste in einem Perimeter mit über VPC zugänglichen Diensten beschränken

In diesem Abschnitt wird beschrieben, wie Sie über VPC zugängliche Dienste aktivieren, hinzufügen, entfernen und deaktivieren können.

Mit dem Feature für über VPC zugängliche Dienste können Sie das Set von Diensten einschränken, auf die von Netzwerkendpunkten innerhalb Ihres Dienstperimeters zugegriffen werden kann. Über VPC zugängliche Dienste lassen sich zu Dienstperimetern hinzufügen, aber nicht zu Perimeter-Bridges.

Weitere Informationen zur Funktion „Über VPC zugängliche Dienste” finden Sie unter Über VPC zugängliche Dienste.

Über VPC zugängliche Dienste aktivieren

Verwenden Sie den Befehl update, um über VPC zugängliche Dienste für Ihren Dienstperimeter zu aktivieren:

gcloud access-context-manager perimeters update PERIMETER_ID \
  --enable-vpc-accessible-services \
  --add-vpc-allowed-services=SERVICES

Ersetzen Sie Folgendes:

  • PERIMETER_ID ist die ID des Dienstperimeters.

  • SERVICES ist eine durch Kommas getrennte Liste mit einem oder mehreren Diensten, für die Sie den Zugriff durch Netzwerke innerhalb des Perimeters zulassen möchten. Der Zugriff auf alle Dienste, die nicht in dieser Liste enthalten sind, wird verhindert.

    Wenn Sie die durch den Perimeter geschützten Dienste auf schnelle Weise einfügen möchten, fügen Sie RESTRICTED-SERVICES zur Liste für SERVICES hinzu. Sie können neben RESTRICTED-SERVICES auch andere Dienste hinzufügen.

Wenn Sie beispielsweise dafür sorgen möchten, dass die VPC-Netzwerke in Ihrem Perimeter nur auf die Logging- und Cloud Storage-Dienste zugreifen können, verwenden Sie den folgenden Befehl:

gcloud access-context-manager perimeters update example_perimeter \
  --enable-vpc-accessible-services \
  --add-vpc-allowed-services=RESTRICTED-SERVICES,logging.googleapis.com,storage.googleapis.com \
  --policy=11271009391

Dienst zu den Diensten hinzufügen, die über VPC zugänglich sind

Verwenden Sie den Befehl update, um den über VPC zugänglichen Diensten für Ihren Perimeter zusätzliche Dienste hinzuzufügen:

gcloud access-context-manager perimeters update PERIMETER_ID \
  --add-vpc-allowed-services=SERVICES

Ersetzen Sie Folgendes:

  • PERIMETER_ID ist die ID des Dienstperimeters.

  • SERVICES ist eine durch Kommas getrennte Liste mit einem oder mehreren Diensten, für die Sie den Zugriff durch Netzwerke innerhalb des Perimeters zulassen möchten.

    Wenn Sie die durch den Perimeter geschützten Dienste auf schnelle Weise einfügen möchten, fügen Sie RESTRICTED-SERVICES zur Liste für SERVICES hinzu. Sie können neben RESTRICTED-SERVICES auch separate Dienste hinzufügen.

Wenn Sie beispielsweise über VPC zugängliche Dienste aktivieren und dabei festlegen möchten, dass die VPC-Netzwerke in Ihrem Perimeter Zugriff auf den Pub/Sub-Dienst haben, verwenden Sie den folgenden Befehl:

gcloud access-context-manager perimeters update example_perimeter \
  --add-vpc-allowed-services=RESTRICTED-SERVICES,pubsub.googleapis.com \
  --policy=11271009391

Dienst aus den über VPC zugänglichen Diensten entfernen

Verwenden Sie den Befehl update, um Dienste aus den über VPC zugänglichen Diensten für Ihren Dienstperimeter zu entfernen:

gcloud access-context-manager perimeters update PERIMETER_ID \
  --remove-vpc-allowed-services=SERVICES

Ersetzen Sie Folgendes:

  • PERIMETER_ID ist die ID des Dienstperimeters.

  • SERVICES ist eine durch Kommas getrennte Liste mit einem oder mehreren Diensten, die Sie aus der Liste der Dienste entfernen möchten, auf die Netzwerke innerhalb Ihres Dienstperimeters zugreifen dürfen.

Wenn Sie beispielsweise über VPC zugängliche Dienste aktivieren möchten und die VPC-Netzwerke in Ihrem Perimeter nicht mehr auf den Cloud Storage-Dienst zugreifen sollen, verwenden Sie den folgenden Befehl:

gcloud access-context-manager perimeters update example_perimeter \
  --remove-vpc-allowed-services=storage.googleapis.com \
  --policy=11271009391

Über VPC zugängliche Dienste deaktivieren

Verwenden Sie den Befehl update, um VPC-Dienstbeschränkungen für Ihren Dienstperimeter zu deaktivieren:

gcloud access-context-manager perimeters update PERIMETER_ID \
  --no-enable-vpc-accessible-services \
  --clear-vpc-allowed-services

Ersetzen Sie Folgendes:

  • PERIMETER_ID ist die ID des Dienstperimeters.

Beispielsweise können Sie mit dem folgenden Befehl VPC-Dienstbeschränkungen für example_perimeter deaktivieren:

gcloud access-context-manager perimeters update example_perimeter \
  --no-enable-vpc-accessible-services \
  --clear-vpc-allowed-services \
  --policy=11271009391

Über VPC und die Access Context Manager API zugängliche Dienste

Sie können über VPC zugängliche Dienste auch mit der Access Context Manager API verwalten. Wenn Sie einen Dienstperimeter erstellen oder ändern, verwenden Sie das ServicePerimeterConfig-Objekt im Antworttext, um die über VPC zugänglichen Dienste zu konfigurieren.