Gestisci la sicurezza per i producer di Private Service Connect
Questa pagina descrive in che modo i producer di servizi possono implementare la sicurezza per le organizzazioni e i progetti producer che utilizzano Private Service Connect.
Gli elenchi di accettazione dei consumer consentono ai proprietari dei servizi di specificare reti o progetti che possono connettersi a singoli collegamenti di servizi. Anche i criteri dell'organizzazione controllano l'accesso ai collegamenti ai servizi, ma consentono agli amministratori di rete di controllare ampiamente l'accesso a tutti i collegamenti ai servizi di un'organizzazione.
Gli elenchi di accettazione dei consumatori e i criteri dell'organizzazione sono complementari e possono essere utilizzati insieme. In questo caso, una connessione Private Service Connect viene creata solo se è autorizzata da entrambi questi meccanismi di sicurezza.
Ruoli
Per ottenere le autorizzazioni necessarie per gestire i criteri dell'organizzazione,
chiedi all'amministratore di concederti il ruolo IAM
Amministratore criteri dell'organizzazione (roles/orgpolicy.policyAdmin
) per l'organizzazione.
Per saperne di più sulla concessione dei ruoli, consulta Gestire l'accesso.
Potresti anche riuscire a ottenere le autorizzazioni richieste tramite i ruoli personalizzati o altri ruoli predefiniti.
Criteri dell'organizzazione del producer
Puoi utilizzare i criteri dell'organizzazione con il compute.restrictPrivateServiceConnectConsumer
vincolo dell'elenco per controllare quali endpoint e backend possono connettersi ai collegamenti del servizio Private Service Connect. Se un endpoint o un backend viene rifiutato da un criterio dell'organizzazione del producer, la creazione della risorsa va a buon fine, ma la connessione entra nello stato rifiutato.
Per maggiori informazioni, consulta i criteri dell'organizzazione lato producer.
Rifiuta le connessioni da endpoint e backend non autorizzati
Risorse: endpoint e backend
gcloud
Crea un file temporaneo denominato
/tmp/policy.yaml
per archiviare il nuovo criterio. Aggiungi i seguenti contenuti al file:name: organizations/PRODUCER_ORG/policies/compute.restrictPrivateServiceConnectConsumer spec: rules: - values: allowedValues: - under:organizations/CONSUMER_ORG_NUMBER
Sostituisci quanto segue:
PRODUCER_ORG
: l'ID organizzazione dell'organizzazione producer per la quale vuoi controllare l'accesso consumer a Private Service Connect.CONSUMER_ORG_NUMBER
: l'ID risorsa numerico dell'organizzazione consumer che vuoi consentire di connettersi agli allegati dei servizi nell'organizzazione producer.
Per specificare altre organizzazioni che possono connettersi ai collegamenti dei servizi nel tuo progetto, includi voci aggiuntive nella sezione
allowedValues
.Oltre alle organizzazioni, puoi specificare le cartelle e i progetti autorizzati nel seguente formato:
under:folders/FOLDER_ID
FOLDER_ID
deve essere l'ID numerico.under:projects/PROJECT_ID
PROJECT_ID
deve essere l'ID stringa.
Ad esempio, il file seguente mostra una configurazione dei criteri dell'organizzazione che rifiuta le connessioni da endpoint o backend ai collegamenti dei servizi in
Producer-org-1
, a meno che non siano associate a un valore consentito o a un discendente di un valore consentito. I valori consentiti sono l'organizzazioneConsumer-org-1
, il progettoConsumer-project-1
e la cartellaConsumer-folder-1
.name: organizations/Producer-org-1/policies/compute.restrictPrivateServiceConnectConsumer spec: rules: - values: allowedValues: - under:organizations/Consumer-org-1 - under:projects/Consumer-project-1 - under:folders/Consumer-folder-1
Applica il criterio.
gcloud org-policies set-policy /tmp/policy.yaml
Visualizza il criterio in vigore.
gcloud org-policies describe compute.restrictPrivateServiceConnectConsumer \ --effective \ --organization=PRODUCER_ORG
Elenchi di accettazione e rifiuto da parte del consumatore
Risorse: endpoint e backend
Gli elenchi di accettazione e rifiuto dei consumer sono associati ai collegamenti dei servizi. Questi elenchi consentono di accettare o negare esplicitamente le connessioni da reti o progetti consumer.
Per maggiori informazioni, vedi Liste di accettazione e rifiuto dei consumatori.
Interazione tra gli elenchi di accettazione e i criteri dell'organizzazione
Sia gli elenchi di accettazione dei consumer che i criteri dell'organizzazione controllano se è possibile stabilire una connessione tra due risorse Private Service Connect. Le connessioni vengono bloccate se una lista di accettazione o un criterio dell'organizzazione nega la connessione.
Ad esempio, un criterio con il vincolo restrictPrivateServiceConnectConsumer
può essere configurato per bloccare le connessioni dall'esterno dell'organizzazione del producer. Anche se un collegamento a un servizio è configurato per accettare automaticamente tutte le connessioni, il criterio dell'organizzazione blocca comunque le connessioni dall'esterno dell'organizzazione del producer. Ti consigliamo di utilizzare insieme sia gli elenchi di accettazione che i criteri dell'organizzazione per fornire una sicurezza multilivello.
Configura elenchi di accettazione e rifiuto
Per informazioni su come creare un collegamento a un nuovo servizio contenente elenchi di accettazione o rifiuto del consumer, consulta Pubblicare un servizio con approvazione esplicita del progetto.
Per informazioni su come aggiornare gli elenchi di accettazione o rifiuto del consumatore, vedi Gestire le richieste di accesso a un servizio pubblicato.