Auf dieser Seite wird beschrieben, wie Sie Dienstperimeter in VPC Service Controls verwalten können. Weitere Informationen zum Erstellen neuer Dienstperimeter finden Sie unter Dienstperimeter erstellen.
Diese Seite enthält die folgenden Abschnitte:
Hinweise
Lesen Sie die Übersicht zu VPC Service Controls.
Lesen Sie Dienstperimeter konfigurieren.
Legen Sie Ihre Standardzugriffsrichtlinie fest, um das
gcloud-Befehlszeilentool zu verwenden.– oder –
Rufen Sie den Namen Ihrer Richtlinie ab. Der Richtlinienname ist für Befehle erforderlich, die das
gcloud-Befehlszeilentool verwenden und API-Aufrufe ausführen. Wenn Sie eine Standardzugriffsrichtlinie festlegen, müssen Sie die Richtlinie nicht für dasgcloud-Befehlszeilentool angeben.
Dienstperimeter auflisten und beschreiben
Listen Sie alle Dienstperimeter einer Organisation auf:
Console
Klicken Sie im Navigationsmenü der Google Cloud Console auf Sicherheit und dann auf VPC Service Controls.
Klicken Sie in der Tabelle auf der Seite VPC Service Controls auf den Namen des Dienstperimeters, den Sie ansehen möchten.
gcloud
Zum Auflisten der Dienstperimeter Ihrer Organisation verwenden Sie den Befehl list:
gcloud access-context-manager perimeters list \
[--policy=POLICY_ID]
Ersetzen Sie Folgendes:
- POLICY_ID ist die ID der Zugriffsrichtlinie Ihrer Organisation. Dieser Wert ist nur erforderlich, wenn Sie keine Standardzugriffsrichtlinie festgelegt haben.
Sie sollten eine Liste der Perimeter Ihrer Organisation sehen. Beispiel:
NAME TITLE ProdPerimeter Production Perimeter
Wenn Sie Details zu einem Dienstperimeter aufrufen möchten, können Sie den Befehl describe verwenden:
gcloud access-context-manager perimeters \
describe PERIMETER_ID \
[--policy=POLICY_ID]
Ersetzen Sie Folgendes:
PERIMETER_ID ist die ID des Dienstperimeters, zu dem Sie Details abrufen möchten.
POLICY_ID ist die ID der Zugriffsrichtlinie Ihrer Organisation. Dieser Wert ist nur erforderlich, wenn Sie keine Standardzugriffsrichtlinie festgelegt haben.
Sie sollten die Details zum Perimeter sehen. Beispiel:
accessLevels: - accessPolicies/626111171578/accessLevels/corpAccess resources: - projects/111584792408 restrictedServices: - bigquery.googleapis.com - storage.googleapis.com title: Production Perimeter
Dienstperimeter auflisten (formatiert)
Mit dem gcloud-Befehlszeilentool können Sie eine Liste Ihrer Dienstperimeter im YAML- oder JSON-Format abrufen.
Mit dem Befehl list können Sie eine formatierte Liste von Perimetern abrufen.
gcloud access-context-manager perimeters list \ --format=FORMAT \ [--policy=POLICY_ID]
Ersetzen Sie Folgendes:
FORMAT ist einer der folgenden Werte:
list(YAML-Format)json(JSON-Format)
POLICY_ID ist die ID der Zugriffsrichtlinie Ihrer Organisation. Dieser Wert ist nur erforderlich, wenn Sie keine Standardzugriffsrichtlinie festgelegt haben.
Die folgende Ausgabe ist eine Beispielliste im YAML-Format:
- name: accessPolicies/165717541651/servicePerimeters/On_Prem
status: {'resources': ['projects/167410821371'], 'restrictedServices': ['bigquery.googleapis.com', 'storage.googleapis.com']}
title: On Prem
- name: accessPolicies/165717541651/servicePerimeters/Private
spec: {'resources': ['projects/136109111311'], 'restrictedServices': ['bigquery.googleapis.com', 'storage.googleapis.com', 'logging.googleapis.com']}
status: {'resources': ['projects/136109111311', 'projects/401921913171'], 'restrictedServices': ['bigquery.googleapis.com']}
title: Private
useExplicitDryRunSpec: True
- name: accessPolicies/165717541651/servicePerimeters/OnpremBridge
perimeterType: PERIMETER_TYPE_BRIDGE
status: {'resources': ['projects/167410821371']}
title: OnpremBridge
Die folgende Ausgabe ist eine Beispielliste im JSON-Format:
[
{
"name": "accessPolicies/165717541651/servicePerimeters/On_Prem",
"status": {
"resources": [
"projects/167410821371"
],
"restrictedServices": [
"bigquery.googleapis.com",
"storage.googleapis.com"
]
},
"title": "On Prem"
},
{
"name": "accessPolicies/165717541651/servicePerimeters/Private",
"spec": {
"resources": [
"projects/136109111311"
],
"restrictedServices": [
"bigquery.googleapis.com",
"storage.googleapis.com",
"logging.googleapis.com"
]
},
"status": {
"resources": [
"projects/136109111311",
"projects/401921913171"
],
"restrictedServices": [
"bigquery.googleapis.com"
]
},
"title": "Private",
"useExplicitDryRunSpec": true
},
{
"name": "accessPolicies/165717541651/servicePerimeters/OnpremBridge",
"perimeterType": "PERIMETER_TYPE_BRIDGE",
"status": {
"resources": [
"projects/167410821371"
]
},
"title": "OnpremBridge"
}
]
Dienstperimeter aktualisieren
In diesem Abschnitt wird beschrieben, wie Sie einzelne Dienstperimeter aktualisieren können. Informationen zum Aktualisieren aller Dienstperimeter einer Organisation in einem Vorgang finden Sie unter Bulk-Änderungen an Dienstperimetern vornehmen.
Mit den folgenden Aufgaben können Sie einen Dienstperimeter aktualisieren:
- Neue Google Cloud-Projekte hinzufügen oder Projekte aus einem Dienstperimeter entfernen
- Liste der eingeschränkten Google Cloud-Dienste ändern (auch der Titel und die Beschreibung für einen Dienstperimeter können geändert werden)
- Über VPC zugängliche Dienste aktivieren, hinzufügen, entfernen oder deaktivieren
- Richtlinien für eingehenden und ausgehenden Traffic aktualisieren
Nach dem Aktualisieren eines Dienstperimeters kann es bis zu 30 Minuten dauern, bis die Änderungen übernommen und wirksam werden. Während dieser Zeit kann der Perimeter Anfragen mit der folgenden Fehlermeldung blockieren: Error 403: Request is prohibited by organization's policy.
Console
Klicken Sie im Navigationsmenü der Google Cloud Console auf Sicherheit und dann auf VPC Service Controls.
Klicken Sie in der Tabelle auf der Seite VPC Service Controls auf den Namen des Dienstperimeters, den Sie ändern möchten.
Die Seite VPC-Dienstperimeter bearbeiten wird geöffnet und Sie können den Dienstperimeter aktualisieren.
Klicken Sie auf Speichern.
gcloud
Verwenden Sie den Befehl update und geben Sie die hinzuzufügenden Ressourcen an, um einem Perimeter neue Ressourcen hinzuzufügen:
gcloud access-context-manager perimeters update PERIMETER_ID \
--add-resources=RESOURCES \
[--policy=POLICY_ID]
Ersetzen Sie Folgendes:
PERIMETER_ID ist die ID des Dienstperimeters, zu dem Sie Details abrufen möchten.
RESOURCES ist eine durch Kommas getrennte Liste mit einer oder mehreren Projektnummern oder VPC-Netzwerknamen. Beispiel:
projects/12345oder//compute.googleapis.com/projects/my-project/global/networks/vpc1. Es sind nur Projekte und VPC-Netzwerke zulässig. Projektformat:projects/project_number. VPC-Format://compute.googleapis.com/projects/project-id/global/networks/network_namePOLICY_ID ist die ID der Zugriffsrichtlinie Ihrer Organisation. Dieser Wert ist nur erforderlich, wenn Sie keine Standardzugriffsrichtlinie festgelegt haben.
Verwenden Sie zum Aktualisieren der Liste der eingeschränkten Dienste den Befehl update und geben Sie die hinzuzufügenden Dienste als durch Kommas getrennte Liste an:
gcloud access-context-manager perimeters update PERIMETER_ID \
--add-restricted-services=SERVICES \
[--policy=POLICY_ID]
Ersetzen Sie Folgendes:
PERIMETER_ID ist die ID des Dienstperimeters, zu dem Sie Details abrufen möchten.
SERVICES ist eine durch Kommas getrennte Liste mit einem oder mehreren Diensten. Beispiel:
storage.googleapis.comoderstorage.googleapis.com,bigquery.googleapis.com.POLICY_ID ist die ID der Zugriffsrichtlinie Ihrer Organisation. Dieser Wert ist nur erforderlich, wenn Sie keine Standardzugriffsrichtlinie festgelegt haben.
Zugriffsebene zu einem vorhandenen Perimeter hinzufügen
Nachdem Sie eine Zugriffsebene erstellt haben, können Sie sie auf einen Dienstperimeter anwenden, um den Zugriff zu steuern.
Nach dem Aktualisieren eines Dienstperimeters kann es bis zu 30 Minuten dauern, bis die Änderungen übernommen und wirksam werden. Während dieser Zeit kann der Perimeter Anfragen mit der folgenden Fehlermeldung blockieren: Error 403: Request is prohibited by organization's policy.
Console
Klicken Sie im Navigationsmenü der Google Cloud Console auf Sicherheit und dann auf VPC Service Controls.
Klicken Sie in der Tabelle auf der Seite VPC Service Controls auf den Namen des Dienstperimeters, den Sie ändern möchten.
Die Seite VPC-Dienstperimeter bearbeiten wird geöffnet. Klicken Sie auf das Kästchen Zugriffsebene auswählen.
Klicken Sie auf die Kästchen für die Zugriffsebenen, die Sie auf den Dienstperimeter anwenden möchten.
Klicken Sie auf Speichern.
gcloud
Verwenden Sie den Befehl update, um einem vorhandenen Dienstperimeter eine Zugriffsebene hinzuzufügen:
gcloud access-context-manager perimeters update PERIMETER_ID \
--add-access-levels=LEVEL_NAME \
[--policy=POLICY_ID]
Ersetzen Sie Folgendes:
PERIMETER_ID ist die ID des Dienstperimeters.
LEVEL_NAME ist der Name der Zugriffsebene, die Sie dem Dienstperimeter hinzufügen möchten.
POLICY_ID ist die ID der Zugriffsrichtlinie Ihrer Organisation. Dieser Wert ist nur erforderlich, wenn Sie keine Standardzugriffsrichtlinie festgelegt haben.
Dienstperimeter löschen
Wenn Sie einen Dienstperimeter löschen, gelten die mit dem Perimeter verknüpften Sicherheitsfunktionen nicht mehr für die zugehörigen Google Cloud-Projekte. Für die betroffenen Google Cloud-Projekte oder die zugehörigen Ressourcen entstehen keine anderen Auswirkungen.
Console
Klicken Sie im Navigationsmenü der Google Cloud Console auf Sicherheit und dann auf VPC Service Controls.
Klicken Sie auf der Seite VPC Service Controls in der Tabellenzeile für den Perimeter, den Sie löschen möchten, auf .
gcloud
Verwenden Sie den Befehl delete, um einen Dienstperimeter zu löschen:
gcloud access-context-manager perimeters delete PERIMETER_ID \
[--policy=POLICY_ID]
Ersetzen Sie Folgendes:
PERIMETER_ID ist die ID des Dienstperimeters.
POLICY_ID ist die ID der Zugriffsrichtlinie Ihrer Organisation. Dieser Wert ist nur erforderlich, wenn Sie keine Standardzugriffsrichtlinie festgelegt haben.
Zugriff auf Dienste in einem Perimeter mit über VPC zugänglichen Diensten beschränken
In diesem Abschnitt wird beschrieben, wie Sie über VPC zugängliche Dienste aktivieren, hinzufügen, entfernen und deaktivieren können.
Mit dem Feature für über VPC zugängliche Dienste können Sie das Set von Diensten einschränken, auf die von Netzwerkendpunkten innerhalb Ihres Dienstperimeters zugegriffen werden kann. Über VPC zugängliche Dienste lassen sich zu Dienstperimetern hinzufügen, aber nicht zu Perimeter-Bridges.
Weitere Informationen zur Funktion „Über VPC zugängliche Dienste” finden Sie unter Über VPC zugängliche Dienste.
Über VPC zugängliche Dienste aktivieren
Verwenden Sie den folgenden Befehl, um über VPC zugängliche Dienste für Ihren Dienstperimeter zu aktivieren:
gcloud access-context-manager perimeters update PERIMETER_ID \
--enable-vpc-accessible-services \
--add-vpc-allowed-services=SERVICES \
[--policy=POLICY_ID]
Ersetzen Sie Folgendes:
PERIMETER_ID ist die ID des Dienstperimeters.
SERVICES ist eine durch Kommas getrennte Liste mit einem oder mehreren Diensten, für die Sie den Zugriff durch Netzwerke innerhalb des Perimeters zulassen möchten. Der Zugriff auf alle Dienste, die nicht in dieser Liste enthalten sind, wird verhindert.
Wenn Sie die durch den Perimeter geschützten Dienste auf schnelle Weise einfügen möchten, fügen Sie
RESTRICTED-SERVICESzur Liste für SERVICES hinzu. Sie können nebenRESTRICTED-SERVICESauch andere Dienste hinzufügen.POLICY_ID ist die ID der Zugriffsrichtlinie Ihrer Organisation. Dieser Wert ist nur erforderlich, wenn Sie keine Standardzugriffsrichtlinie festgelegt haben.
Wenn Sie beispielsweise dafür sorgen möchten, dass die VPC-Netzwerke in Ihrem Perimeter nur auf die Logging- und Cloud Storage-Dienste zugreifen können, verwenden Sie den folgenden Befehl:
gcloud access-context-manager perimeters update example_perimeter \
--enable-vpc-accessible-services \
--add-vpc-allowed-services=RESTRICTED-SERVICES,logging.googleapis.com,storage.googleapis.com \
--policy=11271009391
Dienst zu den Diensten hinzufügen, die über VPC zugänglich sind
Verwenden Sie den folgenden Befehl, um zusätzliche Dienste zu den über VPC zugänglichen Diensten für Ihren Perimeter hinzuzufügen:
gcloud access-context-manager perimeters update PERIMETER_ID \
--add-vpc-allowed-services=SERVICES \
[--policy=POLICY_ID]
Ersetzen Sie Folgendes:
PERIMETER_ID ist die ID des Dienstperimeters.
SERVICES ist eine durch Kommas getrennte Liste mit einem oder mehreren Diensten, für die Sie den Zugriff durch Netzwerke innerhalb des Perimeters zulassen möchten.
Wenn Sie die durch den Perimeter geschützten Dienste auf schnelle Weise einfügen möchten, fügen Sie
RESTRICTED-SERVICESzur Liste für SERVICES hinzu. Sie können nebenRESTRICTED-SERVICESauch separate Dienste hinzufügen.POLICY_ID ist die ID der Zugriffsrichtlinie Ihrer Organisation. Dieser Wert ist nur erforderlich, wenn Sie keine Standardzugriffsrichtlinie festgelegt haben.
Wenn Sie beispielsweise über VPC zugängliche Dienste aktivieren und dabei festlegen möchten, dass die VPC-Netzwerke in Ihrem Perimeter Zugriff auf den Pub/Sub-Dienst haben, verwenden Sie den folgenden Befehl:
gcloud access-context-manager perimeters update example_perimeter \
--add-vpc-allowed-services=RESTRICTED-SERVICES,pubsub.googleapis.com \
--policy=11271009391
Dienst aus den über VPC zugänglichen Diensten entfernen
Verwenden Sie den folgenden Befehl, um Dienste aus den über VPC zugänglichen Diensten für Ihren Dienstperimeter zu entfernen:
gcloud access-context-manager perimeters update PERIMETER_ID \
--remove-vpc-allowed-services=SERVICES \
[--policy=POLICY_ID]
Ersetzen Sie Folgendes:
PERIMETER_ID ist die ID des Dienstperimeters.
SERVICES ist eine durch Kommas getrennte Liste mit einem oder mehreren Diensten, die Sie aus der Liste der Dienste entfernen möchten, auf die Netzwerke innerhalb Ihres Dienstperimeters zugreifen dürfen.
POLICY_ID ist die ID der Zugriffsrichtlinie Ihrer Organisation. Dieser Wert ist nur erforderlich, wenn Sie keine Standardzugriffsrichtlinie festgelegt haben.
Wenn Sie beispielsweise über VPC zugängliche Dienste aktivieren möchten und die VPC-Netzwerke in Ihrem Perimeter nicht mehr auf den Cloud Storage-Dienst zugreifen sollen, verwenden Sie den folgenden Befehl:
gcloud access-context-manager perimeters update example_perimeter \
--remove-vpc-allowed-services=storage.googleapis.com \
--policy=11271009391
Über VPC zugängliche Dienste deaktivieren
Verwenden Sie den folgenden Befehl, um VPC-Dienstbeschränkungen für Ihren Dienstperimeter zu deaktivieren:
gcloud access-context-manager perimeters update PERIMETER_ID \
--no-enable-vpc-accessible-services \
--clear-vpc-allowed-services \
[--policy=POLICY_ID]
Ersetzen Sie Folgendes:
PERIMETER_ID ist die ID des Dienstperimeters.
POLICY_ID ist die ID der Zugriffsrichtlinie Ihrer Organisation. Dieser Wert ist nur erforderlich, wenn Sie keine Standardzugriffsrichtlinie festgelegt haben.
Beispielsweise können Sie mit dem folgenden Befehl VPC-Dienstbeschränkungen für example_perimeter deaktivieren:
gcloud access-context-manager perimeters update example_perimeter \
--no-enable-vpc-accessible-services \
--clear-vpc-allowed-services \
--policy=11271009391
Über VPC und die Access Context Manager API zugängliche Dienste
Sie können über VPC zugängliche Dienste auch mit der Access Context Manager API verwalten.
Wenn Sie einen Dienstperimeter erstellen oder ändern, verwenden Sie das ServicePerimeterConfig-Objekt im Antworttext, um die über VPC zugänglichen Dienste zu konfigurieren.