サービス境界の構成

VPC Service Controls は、Google Cloud Console、gcloud コマンドライン ツールAccess Context Manager API を使用して構成されます。

始める前に

サービス境界の構成

VPC Service Controls を構成するには:

  1. gcloud コマンドライン ツールまたは Access Context Manager API でサービス境界の作成を行う場合は、アクセス ポリシーを作成します。

  2. サービス境界で GCP リソースを保護します。

  3. VPC ネットワークからのプライベート接続を設定します(省略可)。

  4. アクセスレベルを使用して、サービス境界の外部からのアクセスを許可します(省略可)。

アクセス ポリシーを作成する

アクセス ポリシーにより、組織に作成したサービス境界とアクセスレベルを収集します。1 つの組織に設定できるアクセス ポリシーは 1 つだけです。

Cloud Console の [VPC Service Controls] ページでサービス境界の作成と管理を行う場合は、アクセス ポリシーを作成する必要はありません。

ただし、gcloud コマンドライン ツールまたは Access Context Manager API でサービス境界の作成と構成を行う場合は、最初にアクセス ポリシーを作成する必要があります。

Access Context Manager とアクセス ポリシーの詳細については、Access Context Manager の概要をご覧ください。

サービス境界で GCP リソースを保護する

サービス境界は、組織内のプロジェクトで使用されるサービスを保護するために使用します。保護するプロジェクトとサービスを特定したら、1 つ以上のサービス境界を作成します

サービス境界の機能と、VPC Service Controls で保護できるサービスについては、VPC Service Controls の概要をご覧ください。

VPC Service Controls で保護する場合、一部のサービスには制限があります。サービス境界の設定後にプロジェクトで問題が発生した場合は、トラブルシューティングをご覧ください。

VPC ネットワークからのプライベート接続の設定

サービス境界によって保護されている VPC ネットワークにセキュリティ機能を追加する場合は、限定公開の Google アクセスの使用をおすすめします。これには、オンプレミス ネットワークからのプライベート接続が含まれます。

プライベート接続の構成については、Google API およびサービスへのプライベート接続を設定するをご覧ください。

Google Cloud リソースへのアクセスを VPC ネットワークからのプライベート アクセスのみに制限すると、Cloud Console や Cloud Monitoring コンソールなどのインターフェースを使用したアクセスが拒否されます。制限されたリソースを使用して、サービス境界または境界ブリッジを共有する VPC ネットワークから、gcloud コマンドライン ツールまたは API クライアントを引き続き使用できます。

アクセスレベルを使用してサービス境界の外部からのアクセスを許可する

アクセスレベルを使用すると、サービス境界で保護しているリソースへの外部からのリクエストを許可できます。

アクセスレベルを使用すると、VPC Service Controls で保護されているリソースへのアクセスを許可するパブリック IPv4 / IPv6 CIDR ブロック、個々のユーザー、サービス アカウントを指定できます。

VPC ネットワークからのプライベート接続を使用してリソースを制限しているときに、Cloud Console から保護されたサービスへのアクセスを許可するには、Cloud Console を使用するホストのパブリック IP アドレスを含む CIDR ブロックをアクセスレベルに追加します。IP アドレスに関係なく特定のユーザーに対して Cloud Console を再度有効にする場合は、そのユーザー アカウントをアクセスレベルにメンバーとして追加します。

アクセスレベルの使い方については、アクセスレベルの作成をご覧ください。

サービスの境界を越えてデータを共有する

1 つのプロジェクトに設定できるサービス境界は 1 つだけです。2 つの境界間の通信を許可する場合は、サービス境界ブリッジを作成します。

境界ブリッジを使用すると、異なるサービス境界のプロジェクト間で通信を行うことができます。1 つのプロジェクトに複数の境界ブリッジを設定できます。

境界ブリッジの詳細については、ブリッジで境界を共有するをご覧ください。