Gerenciar a segurança para consumidores do Private Service Connect

Nesta página, descrevemos como os consumidores de serviço podem configurar a segurança para organizações de consumidores e redes VPC que usam o Private Service Connect.

As políticas da organização permitem que os administradores controlem amplamente quais redes VPC ou organizações às quais os projetos podem se conectar usando endpoints e back-ends do Private Service Connect. As regras de firewall da VPC e as políticas de firewall permitem que os administradores de rede controlem o acesso no nível da rede aos recursos do Private Service Connect. As políticas da organização e as regras de firewall são complementares e podem ser usadas em conjunto.

Papéis

Para receber as permissões necessárias a fim de gerenciar as políticas da organização, peça ao administrador para conceder a você o papel do IAM de Administrador de políticas da organização (roles/orgpolicy.policyAdmin) na organização. Para mais informações sobre a concessão de papéis, consulte Gerenciar o acesso a projetos, pastas e organizações.

Também é possível conseguir as permissões necessárias por meio de papéis personalizados ou de outros papéis predefinidos.

Para receber as permissões necessárias a fim de criar regras de firewall, peça ao administrador para conceder a você o papel do IAM de Administrador da rede do Compute (roles/compute.networkAdmin) na rede VPC. Para mais informações sobre a concessão de papéis, consulte Gerenciar o acesso a projetos, pastas e organizações.

Também é possível conseguir as permissões necessárias por meio de papéis personalizados ou de outros papéis predefinidos.

Políticas da organização do consumidor

É possível usar políticas da organização com restrições de lista para controlar a implantação de endpoints ou back-ends do Private Service Connect. Se um endpoint ou back-end for bloqueado por uma política da organização do consumidor, a criação do recurso falhará.

Para mais informações, consulte Políticas da organização do consumidor.

Impedir que endpoints e back-ends se conectem a anexos de serviço não autorizados

Recursos: endpoints e back-ends

gcloud

Crie um arquivo temporário chamado /tmp/policy.yaml para armazenar a nova política. Adicione o seguinte conteúdo ao arquivo:
```
name: organizations/CONSUMER_ORG/policies/compute.restrictPrivateServiceConnectProducer
spec:
  rules:
    - values:
        allowedValues:
        - under:organizations/PRODUCER_ORG_NUMBER
        - under:organizations/433637338589
```
Substitua:
- CONSUMER_ORG: o ID de recurso da organização da organização em que você quer controlar as conexões de endpoint e back-end.
- PRODUCER_ORG_NUMBER: o código de recurso da organização numérica da organização do produtor a que você quer que os endpoints e os back-ends se conectem.
Para impedir que endpoints e back-ends se conectem a anexos de serviço de propriedade do Google, remova o seguinte item da seção allowedValues: - under:organizations/433637338589.

Para especificar outras organizações que podem se conectar a anexos de serviço no projeto, inclua mais entradas na seção allowedValues.

Além das organizações, é possível especificar pastas e projetos autorizados no seguinte formato:
- under:folders/FOLDER_ID
  
  O FOLDER_ID precisa ser o ID numérico.
- under:projects/PROJECT_ID
  
  O PROJECT_ID precisa ser o ID da string.
O exemplo a seguir pode ser usado para criar uma política da organização que impeça que endpoints e back-ends em Consumer-org-1 se conectem a anexos de serviços, a menos que os anexos de serviços estejam associados a um valor permitido ou descendentes de um. Os valores permitidos são a organização Producer-org-1, o projeto Producer-project-1 e a pasta Producer-folder-1.
```
name: organizations/Consumer-org-1/policies/compute.restrictPrivateServiceConnectProducer
spec:
    rules:
      - values:
          allowedValues:
          - under:organizations/Producer-org-1
          - under:projects/Producer-project-1
          - under:folders/Producer-folder-1
```

Aplique a política.

gcloud org-policies set-policy /tmp/policy.yaml

Consulte a política em vigor.

gcloud org-policies describe compute.restrictPrivateServiceConnectProducer \
    --effective \
    --organization=CONSUMER_ORG

Impedir que os consumidores implantem endpoints por tipo de conexão

Recursos: endpoints

gcloud

Crie um arquivo temporário chamado /tmp/policy.yaml para armazenar a nova política.
- Para impedir que os usuários em uma organização de consumidores criem endpoints que se conectam às APIs Google, adicione o seguinte conteúdo ao arquivo:
```
name: organizations/CONSUMER_ORG/policies/compute.disablePrivateServiceConnectCreationForConsumers
spec:
  rules:
    - values:
        allowedValues:
        - SERVICE_PRODUCERS
```
- Para impedir que os usuários em uma organização de consumidores criem endpoints que se conectam a serviços publicados, adicione o seguinte conteúdo ao arquivo:
```
name: organizations/CONSUMER_ORG/policies/compute.disablePrivateServiceConnectCreationForConsumers
spec:
  rules:
    - values:
        allowedValues:
        - GOOGLE_APIS
```
Substitua CONSUMER_ORG pelo nome da organização de consumidores em que você quer controlar a implantação de endpoints.

Aplique a política.

gcloud org-policies set-policy /tmp/policy.yaml

Consulte a política em vigor.

gcloud org-policies describe compute.restrictPrivateServiceConnectProducer \
    --effective \
    --organization=CONSUMER_ORG

Regras de firewall

Recursos: todos

É possível usar regras de firewall da VPC ou políticas de firewall para controlar o acesso a recursos do Private Service Connect. As regras de firewall de saída podem bloquear ou permitir o acesso de instâncias de VM ao endereço IP ou à sub-rede de endpoints e back-ends.

Por exemplo, a Figura 1 descreve uma configuração em que as regras de firewall controlam o acesso à sub-rede a que o endpoint do Private Service Connect está conectado.

As regras de firewall controlam o tráfego "endpoint-subnet". O tráfego de `vm-1` pode alcançar a sub-rede do endpoint, enquanto o tráfego de `vm-2` estiver bloqueado (clique para ampliar).

A regra de firewall a seguir nega todo o tráfego de saída para a sub-rede do endpoint:

gcloud compute firewall-rules create deny-all \
    --network=vpc-1 \
    --direction=egress \
    --action=deny \
    --destination-ranges=10.33.0.0/24
    --priority=1000

A regra de firewall de maior prioridade a seguir permite o tráfego de saída para a sub-rede de endpoint de VMs com a tag de rede allow-psc:

gcloud compute firewall-rules create allow-psc \
    --network=vpc-1 \
    --direction=egress \
    --action=allow \
    --target-tags=allow-psc \
    --destination-ranges=10.33.0.0/24
    --priority=100

Usar regras de firewall para limitar o acesso a endpoints ou back-ends

Para limitar o acesso das VMs à sub-rede de um endpoint ou back-end, faça o seguinte.

Crie uma regra de firewall para negar o tráfego de saída para o endpoint ou a sub-rede de back-end.
```
gcloud compute firewall-rules create deny-all \
    --network=NETWORK \
    --direction=egress \
    --action=deny \
    --destination-ranges=ENDPOINT_SUBNET_RANGE \
    --priority=1000
```
Substitua:
- NETWORK: o nome da rede do endpoint ou do back-end.
- ENDPOINT_SUBNET_RANGE: o intervalo de CIDR de IP do endpoint ou da sub-rede de back-end que você quer controlar o acesso.

Crie uma segunda regra de firewall para permitir o tráfego de saída das VMs marcadas para o endpoint ou a sub-rede de back-end.

gcloud compute firewall-rules create allow-psc \
    --network=NETWORK \
    --direction=egress \
    --action=allow \
    --target-tags=allow-psc \
    --destination-ranges=ENDPOINT_SUBNET_RANGE \
    --priority=100