Para otorgar acceso controlado a recursos protegidos de Google Cloud en perímetros de servicio desde fuera de un perímetro, usa los niveles de acceso.
Un nivel de acceso define un conjunto de atributos que una solicitud debe cumplir para que la solicitud se respete. Los niveles de acceso pueden considerar varios criterios, como la dirección IP y la identidad del usuario.
Para obtener una descripción detallada de los niveles de acceso, consulta la descripción general de Access Context Manager.
Antes de usar los niveles de acceso en tu perímetro, ten en cuenta lo siguiente:
Los niveles de acceso y las reglas de entrada trabajan en conjunto para controlar el tráfico entrante a un perímetro. Los Controles del servicio de VPC permiten una solicitud si satisface las condiciones del nivel de acceso o la regla de entrada.
Si agregas varios niveles de acceso a un perímetro de servicio, los Controles del servicio de VPC permiten una solicitud si satisface las condiciones de cualquiera de los niveles de acceso.
Limitaciones del uso de niveles de acceso con los Controles del servicio de VPC
Cuando se usan niveles de acceso con los Controles del servicio de VPC, se aplican ciertas limitaciones:
Los niveles de acceso solo permiten solicitudes externas al perímetro para los recursos de un servicio protegido dentro de un perímetro.
No puedes usar los niveles de acceso para permitir solicitudes de un recurso protegido dentro de un perímetro a recursos fuera del perímetro. Por ejemplo, un cliente de Compute Engine dentro de un perímetro de servicio que llama a una operación
createde Compute Engine en la que el recurso de imagen está fuera del perímetro. Para permitir el acceso desde un recurso protegido dentro de un perímetro a recursos fuera del perímetro, usa una política de salida.Aunque los niveles de acceso se usan para permitir solicitudes desde fuera de un perímetro de servicio, no puedes usar los niveles de acceso para permitir solicitudes de otro perímetro a un recurso protegido en tu perímetro. Para permitir solicitudes de otro perímetro a recursos protegidos en tu perímetro, el otro perímetro debe usar una política de salida. Para obtener más información, lee sobre las solicitudes entre perímetros.
Para permitir el acceso perimetral desde recursos privados implementados en una organización o un proyecto diferentes, se requiere una puerta de enlace de Cloud NAT en el proyecto de origen. Cloud NAT tiene una integración con el Acceso privado a Google que habilita automáticamente el Acceso privado a Google en la subred del recurso y mantiene el tráfico a las APIs y los servicios de Google interno, en lugar de enrutarlo a Internet con la dirección IP externa de la puerta de enlace de Cloud NAT. A medida que el tráfico se enruta dentro de la red interna de Google, el campo
RequestMetadata.caller_ipdel objetoAuditLogse oculta engce-internal-ip. En lugar de usar la dirección IP externa de la puerta de enlace de Cloud NAT en el nivel de acceso para la lista de entidades permitidas basada en IP, configura una regla de entrada para permitir el acceso en función de otros atributos, como el proyecto o la cuenta de servicio.
Crea y administra niveles de acceso
Los niveles de acceso se crean y administran mediante Access Context Manager.
Crea un nivel de acceso
Para crear un nivel de acceso, consulta Crea un nivel de acceso en la documentación de Access Context Manager.
En los siguientes ejemplos, se explica cómo crear un nivel de acceso con diferentes condiciones:
Agrega niveles de acceso a perímetros de servicio
Puedes agregar niveles de acceso a un perímetro de servicio cuando creas el perímetro o agregarlos a un perímetro existente:
Administra niveles de acceso
Para obtener información sobre cómo enumerar, modificar y borrar niveles de acceso existentes, consulta Administra niveles de acceso.