Gestire i perimetri di servizio

Questa pagina descrive come gestire i perimetri di servizio in Controlli di servizio VPC. Per informazioni dettagliate sulla creazione di nuovi perimetri di servizio, consulta Creare perimetri di servizio.

Questa pagina include le seguenti sezioni:

• Prima di iniziare

• Elenca e descrivi i perimetri di servizio

• Elenca perimetri di servizio (formattati)

• Aggiornare un perimetro di servizio

• Aggiunta di un livello di accesso a un perimetro esistente

• Eliminazione di un perimetro

• Limitare l'accesso ai servizi all'interno di un perimetro con i servizi accessibili da VPC

Prima di iniziare

• Leggi la Panoramica dei Controlli di servizio VPC.

• Leggi la sezione Configurazione del perimetro di servizio.

• Imposta il criterio di accesso predefinito per l'utilizzo dello strumento a riga di comando gcloud.

  -o-

  Ricevi il nome del criterio. Il nome del criterio è obbligatorio per i comandi che utilizzano lo strumento a riga di comando gcloud ed eseguono chiamate API. Se imposti un criterio di accesso predefinito, non devi specificarlo per lo strumento a riga di comando gcloud.

Elenca e descrivi i perimetri di servizio

Elenca tutti i perimetri di servizio di un'organizzazione:

Console

1. Nel menu di navigazione della console Google Cloud, fai clic su Sicurezza, quindi su Controlli di servizio VPC.

   Vai alla pagina Controlli di servizio VPC

2. Nella pagina Controlli di servizio VPC, nella tabella, fai clic sul nome del perimetro di servizio che vuoi visualizzare.

gcloud

Per elencare i perimetri di servizio della tua organizzazione, utilizza il comando list:

gcloud access-context-manager perimeters list

Dovresti vedere un elenco dei perimetri della tua organizzazione. Ad esempio:

NAME           TITLE                 ETAG
ProdPerimeter  Production Perimeter  abcdefg123456789

Per visualizzare i dettagli di un perimetro di servizio, utilizza il comando describe:

gcloud access-context-manager perimeters \
  describe PERIMETER_ID

Sostituisci quanto segue:

• PERIMETER_ID è l'ID del perimetro di servizio di cui vuoi ottenere i dettagli.

Dovresti vedere i dettagli del perimetro. Ad esempio:

etag: abcdefg123456789
name: accessPolicies/626111171578/servicePerimeters/ProdPerimeter
status:
  accessLevels:
  - accessPolicies/626111171578/accessLevels/corpAccess
  resources:
  - projects/111584792408
  restrictedServices:
  - bigquery.googleapis.com
  - storage.googleapis.com
title: Production Perimeter

Elenca perimetri di servizio (formattati)

Utilizzando lo strumento a riga di comando gcloud, puoi ottenere un elenco dei tuoi perimetri di servizio in formato YAML o JSON.

Per ottenere un elenco formattato dei perimetri, utilizza il comando list:

gcloud access-context-manager perimeters list \
  --format=FORMAT

Sostituisci quanto segue:

• FORMAT è uno dei seguenti valori:

  • list (formato YAML)

  • json (formato JSON)

Il seguente output è un esempio di elenco in formato YAML:

- etag: abcdefg123456789
  name: accessPolicies/165717541651/servicePerimeters/On_Prem
  status: {'resources': ['projects/167410821371'], 'restrictedServices': ['bigquery.googleapis.com', 'storage.googleapis.com']}
  title: On Prem
- etag: hijklmn987654321
  name: accessPolicies/165717541651/servicePerimeters/Private
  spec: {'resources': ['projects/136109111311'], 'restrictedServices': ['bigquery.googleapis.com', 'storage.googleapis.com', 'logging.googleapis.com']}
  status: {'resources': ['projects/136109111311', 'projects/401921913171'], 'restrictedServices': ['bigquery.googleapis.com']}
  title: Private
  useExplicitDryRunSpec: True
- etag: pqrstuv123456789
  name: accessPolicies/165717541651/servicePerimeters/OnpremBridge
  perimeterType: PERIMETER_TYPE_BRIDGE
  status: {'resources': ['projects/167410821371']}
  title: OnpremBridge

Il seguente output è un elenco di esempio in formato JSON:

[
  {
    "etag": "abcdefg123456789",
    "name": "accessPolicies/165717541651/servicePerimeters/On_Prem",
    "status": {
      "resources": [
        "projects/167410821371"
      ],
      "restrictedServices": [
        "bigquery.googleapis.com",
        "storage.googleapis.com"
      ]
    },
    "title": "On Prem"
  },
  {
    "etag": "hijklmn987654321",
    "name": "accessPolicies/165717541651/servicePerimeters/Private",
    "spec": {
      "resources": [
        "projects/136109111311"
      ],
      "restrictedServices": [
        "bigquery.googleapis.com",
        "storage.googleapis.com",
        "logging.googleapis.com"
      ]
    },
    "status": {
      "resources": [
        "projects/136109111311",
        "projects/401921913171"
      ],
      "restrictedServices": [
        "bigquery.googleapis.com"
      ]
    },
    "title": "Private",
    "useExplicitDryRunSpec": true
  },
  {
    "etag": "pqrstuv123456789",
    "name": "accessPolicies/165717541651/servicePerimeters/OnpremBridge",
    "perimeterType": "PERIMETER_TYPE_BRIDGE",
    "status": {
      "resources": [
        "projects/167410821371"
      ]
    },
    "title": "OnpremBridge"
  }
]

Aggiornare un perimetro di servizio

Questa sezione descrive come aggiornare i singoli perimetri di servizio. Per aggiornare tutti i perimetri di servizio della tua organizzazione in un'unica operazione, consulta Eseguire modifiche collettive ai perimetri di servizio.

Per aggiornare un perimetro di servizio, puoi eseguire le seguenti attività:

• Aggiungi nuovi progetti Google Cloud o rimuovi progetti da un perimetro di servizio.
• Modificare l'elenco dei servizi Google Cloud soggetti a limitazioni. Puoi anche modificare il titolo e la descrizione di un perimetro di servizio.
• Attiva, aggiungi, rimuovi o disattiva i servizi accessibili da VPC.
• Aggiorna i criteri per il traffico in entrata e in uscita.

Dopo aver aggiornato un perimetro di servizio, potrebbero essere necessari fino a 30 minuti prima che le modifiche vengano propagate e applicate. Durante questo periodo, il perimetro potrebbe bloccare le richieste con il seguente messaggio di errore: Error 403: Request is prohibited by organization's policy.

Console

1. Nel menu di navigazione della console Google Cloud, fai clic su Sicurezza, quindi su Controlli di servizio VPC.

   Vai alla pagina Controlli di servizio VPC

2. Nella pagina Controlli di servizio VPC, fai clic sul nome del perimetro di servizio da modificare nella tabella.

3. Nella pagina Modifica perimetro di servizio VPC, aggiorna il perimetro di servizio.

4. Fai clic su Salva.

gcloud

Per aggiungere nuove risorse a un perimetro, utilizza il comando update e specifica le risorse da aggiungere:

gcloud access-context-manager perimeters update PERIMETER_ID \
  --add-resources=RESOURCES

Sostituisci quanto segue:

• PERIMETER_ID è l'ID del perimetro di servizio di cui vuoi ottenere i dettagli.

• RESOURCES è un elenco separato da virgole di uno o più numeri di progetto o nomi di reti VPC. Ad esempio: projects/12345 o //compute.googleapis.com/projects/my-project/global/networks/vpc1. Sono consentiti solo progetti e reti VPC. Formato del progetto: projects/project_number. Formato VPC: //compute.googleapis.com/projects/project-id/global/networks/network_name.

Per aggiornare l'elenco dei servizi con limitazioni, utilizza il comando update e specifica i servizi da aggiungere come elenco delimitato da virgole:

gcloud access-context-manager perimeters update PERIMETER_ID \
  --add-restricted-services=SERVICES

Sostituisci quanto segue:

• PERIMETER_ID è l'ID del perimetro di servizio di cui vuoi ottenere i dettagli.

• SERVICES è un elenco delimitato da virgole di uno o più servizi. Ad esempio: storage.googleapis.com o storage.googleapis.com,bigquery.googleapis.com.

Aggiungere un livello di accesso a un perimetro esistente

Dopo aver creato un livello di accesso, puoi applicarlo a un perimetro di servizio per controllarne l'accesso.

Dopo aver aggiornato un perimetro di servizio, potrebbero essere necessari fino a 30 minuti affinché le modifiche vengano propagate e applicate. Durante questo periodo, il perimetro potrebbe bloccare le richieste con il seguente messaggio di errore: Error 403: Request is prohibited by organization's policy.

Console

1. Nel menu di navigazione della console Google Cloud, fai clic su Sicurezza, quindi su Controlli di servizio VPC.

   Vai alla pagina Controlli di servizio VPC

2. Nella pagina Controlli di servizio VPC, fai clic sul nome del perimetro di servizio che vuoi modificare nella tabella.

3. Nella pagina Modifica perimetro di servizio VPC, fai clic sulla casella Scegli livello di accesso.

4. Seleziona le caselle di controllo corrispondenti ai livelli di accesso che vuoi applicare al perimetro di servizio.

5. Fai clic su Salva.

gcloud

Per aggiungere un livello di accesso a un perimetro di servizio esistente, utilizza il comando update:

gcloud access-context-manager perimeters update PERIMETER_ID \
  --add-access-levels=LEVEL_NAME

Sostituisci quanto segue:

• PERIMETER_ID è l'ID del perimetro di servizio.

• LEVEL_NAME è il nome del livello di accesso da aggiungere al perimetro.

Per ulteriori informazioni sull'utilizzo dei livelli di accesso con un perimetro, consulta Consentire l'accesso alle risorse protette dall'esterno di un perimetro.

Eliminare un perimetro di servizio

Quando elimini un perimetro di servizio, i controlli di sicurezza associati al perimetro non vengono più applicati ai progetti Google Cloud associati. Non ci sono altri impatti sui progetti Google Cloud o sulle risorse associate dei membri.

Console

1. Nel menu di navigazione della console Google Cloud, fai clic su Sicurezza, quindi su Controlli di servizio VPC.

   Vai alla pagina Controlli di servizio VPC

2. Nella pagina Controlli di servizio VPC, fai clic su nella riga della tabella corrispondente al perimetro che vuoi eliminare.

gcloud

Per eliminare un perimetro di servizio, utilizza il comando delete:

gcloud access-context-manager perimeters delete PERIMETER_ID

Sostituisci quanto segue:

• PERIMETER_ID è l'ID del perimetro di servizio.

Limitare l'accesso ai servizi all'interno di un perimetro con i servizi accessibili da VPC

Questa sezione descrive come attivare, aggiungere, rimuovere e disattivare i servizi accessibili da VPC.

Puoi utilizzare la funzionalità dei servizi accessibili dal VPC per limitare l'insieme di servizi accessibili dagli endpoint di rete all'interno del perimetro di servizio. Puoi aggiungere servizi accessibili tramite VPC ai perimetri di servizio, ma non ai ponti di perimetro.

Per scoprire di più sulla funzionalità dei servizi accessibili da VPC, consulta Servizi accessibili da VPC.

Abilita i servizi accessibili da VPC

Per attivare i servizi accessibili da VPC per il perimetro di servizio, utilizza il comando update:

gcloud access-context-manager perimeters update PERIMETER_ID \
  --enable-vpc-accessible-services \
  --add-vpc-allowed-services=SERVICES

Sostituisci quanto segue:

• PERIMETER_ID è l'ID del perimetro di servizio.

• SERVICES è un elenco separato da virgole di uno o più servizi a cui vuoi consentire l'accesso alle reti all'interno del tuo perimetro. L'accesso a qualsiasi servizio non incluso in questo elenco è bloccato.

  Per includere rapidamente i servizi protetti dal perimetro, aggiungiRESTRICTED-SERVICES all'elenco per SERVICES. Puoi includere altri servizi oltre a RESTRICTED-SERVICES.

Ad esempio, per assicurarti che le reti VPC nel tuo perimetro abbiano accesso solo ai servizi di logging e Cloud Storage, utilizza il seguente comando:

gcloud access-context-manager perimeters update example_perimeter \
  --enable-vpc-accessible-services \
  --add-vpc-allowed-services=RESTRICTED-SERVICES,logging.googleapis.com,storage.googleapis.com \
  --policy=11271009391

Aggiungi un servizio ai servizi accessibili da VPC

Per aggiungere altri servizi ai servizi accessibili da VPC per il tuo perimetro, utilizza il comando update:

gcloud access-context-manager perimeters update PERIMETER_ID \
  --add-vpc-allowed-services=SERVICES

Sostituisci quanto segue:

• PERIMETER_ID è l'ID del perimetro di servizio.

• SERVICES è un elenco separato da virgole di uno o più servizi a cui vuoi consentire l'accesso alle reti all'interno del tuo perimetro.

  Per includere rapidamente i servizi protetti dal perimetro, aggiungiRESTRICTED-SERVICES all'elenco per SERVICES. Puoi includere servizi separati oltre a RESTRICTED-SERVICES.

Ad esempio, se attivi i servizi accessibili da VPC e richiedi che le reti VPC nel tuo perimetro abbiano accesso al servizio Pub/Sub, utilizza il seguente comando:

gcloud access-context-manager perimeters update example_perimeter \
  --add-vpc-allowed-services=RESTRICTED-SERVICES,pubsub.googleapis.com \
  --policy=11271009391

Rimuovere un servizio dai servizi accessibili da VPC

Per rimuovere i servizi dai servizi accessibili da VPC per il perimetro di servizio, utilizza il comando update:

gcloud access-context-manager perimeters update PERIMETER_ID \
  --remove-vpc-allowed-services=SERVICES

Sostituisci quanto segue:

• PERIMETER_ID è l'ID del perimetro di servizio.

• SERVICES è un elenco separato da virgole di uno o più servizi che vuoi rimuovere dall'elenco dei servizi a cui le reti all'interno del tuo perimetro di servizio possono accedere.

Ad esempio, se attivi i servizi accessibili tramite VPC e non vuoi più che le reti VPC nel tuo perimetro abbiano accesso al servizio Cloud Storage, utilizza il seguente comando:

gcloud access-context-manager perimeters update example_perimeter \
  --remove-vpc-allowed-services=storage.googleapis.com \
  --policy=11271009391

Disattivare i servizi accessibili da VPC

Per disattivare le limitazioni dei servizi VPC per il perimetro di servizio, utilizza il comando update:

gcloud access-context-manager perimeters update PERIMETER_ID \
  --no-enable-vpc-accessible-services \
  --clear-vpc-allowed-services

Sostituisci quanto segue:

• PERIMETER_ID è l'ID del perimetro di servizio.

Ad esempio, per disattivare le limitazioni dei servizi VPC per example_perimeter, utilizza il seguente comando:

gcloud access-context-manager perimeters update example_perimeter \
  --no-enable-vpc-accessible-services \
  --clear-vpc-allowed-services \
  --policy=11271009391

Servizi accessibili da VPC e API Access Context Manager

Puoi anche utilizzare l'API Access Context Manager per gestire i servizi accessibili tramite VPC. Quando crei o modifichi un perimetro di servizio, utilizza l'oggetto ServicePerimeterConfig nel corpo della risposta per configurare i servizi accessibili al VPC.