VPC Service Controls und private Cluster konfigurieren

Auf dieser Seite wird beschrieben, wie VPC Service Controls und private Cluster funktionieren und wie sie in Cloud Workstations eingerichtet werden.

VPC Service Controls

VPC Service Controls bietet zusätzliche Sicherheit für Ihre Workstations das Risiko der Daten-Exfiltration zu verringern. Mit VPC Service Controls können Sie Projekten zu Dienstperimetern, die dazu beitragen können, Ressourcen und Dienste vor Anfragen, die außerhalb des Perimeters erfolgen.

Das sind die Anforderungen für die Verwendung von Cloud Workstations in einem VPC-Dienstperimeter:

• Zum Schutz von Cloud Workstations müssen Sie die Compute Engine API in Ihrem Dienstperimeter, wenn Sie die Cloud Workstations API

• Stellen Sie sicher, dass die Google Cloud Storage API, die Google Container Registry API, und die Artifact Registry API In Ihrem Dienst zugängliche VPC des Perimeters. Dies ist erforderlich, um Images auf Ihre Workstation zu übertragen. Es wird außerdem empfohlen, dass die Cloud Logging API und die Cloud Error Reporting API in Ihrem Dienstperimeter über VPC zugänglich sind. Dies ist jedoch nicht erforderlich, um Cloud Workstations zu verwenden.

• Der Workstation-Cluster muss privat sein. Durch das Konfigurieren eines privaten Clusters werden Verbindungen zu Ihren Workstations verhindert von außerhalb des VPC-Dienstperimeters. Der Cloud Workstations-Dienst verhindert das Erstellen öffentlicher Cluster in einem VPC Service Controls-Perimeter.
• Deaktivieren Sie öffentliche IP-Adressen auf Ihrer Workstation Konfiguration. Andernfalls werden in Ihrem Projekt VMs mit öffentlichen IP-Adressen erstellt. Wir empfehlen dringend, die Organisationsrichtlinien-Einschränkung constraints/compute.vmExternalIpAccess zu verwenden, um öffentliche IP-Adressen für alle VMs in Ihrem VPC-Dienstperimeter zu deaktivieren. Weitere Informationen finden Sie unter Externe IP-Adressen auf bestimmte VMs beschränken.

Hinweis: Die Zugriffssteuerung hängt nur davon ab, ob das private Netzwerk, gehört zum Sicherheitsperimeter. Die Zugriffssteuerung basierend auf dem Gerät, der externen IP-Adresse oder dem Standort wird nicht unterstützt.

Weitere Informationen zu Dienstperimetern finden Sie unter Informationen zu Dienstperimetern und deren Konfiguration.

Architektur

Wenn Sie einen Workstationcluster als privat konfigurieren, hat die Steuerungsebene des Workstationclusters nur eine interne IP-Adresse. Das bedeutet, dass Clients aus dem öffentlichen Internet keine Verbindung zu den Workstations des Workstation-Clusters herstellen können. Zur Verwendung eines privaten Clusters müssen Sie die Verbindung privaten Cluster in Ihr VPC-Netzwerk (Virtual Private Cloud) über eine Private Service Connect Endpunkt.

Für Konfigurationen mit privaten Clustern sind zwei PSC-Endpunkte erforderlich:

• Standardmäßig erstellt Cloud Workstations einen separaten PSC-Endpunkt, um die Steuerungsebene mit den Workstation-VMs zu verbinden.

• Du musst zusätzlichen PSC-Endpunkt für private Cluster erstellen. So stellen Sie eine Verbindung von Ihrem lokalen Computer zu einer Workstation in einem privaten Cluster geschützt sind, muss der lokale Computer mit dem VPC-Netzwerk. Verwenden Sie Cloud VPN oder Cloud Interconnect, um das externe Netzwerk, in dem Sie Ihren Computer ausführen, mit dem VPC-Netzwerk zu verbinden. Dieser zusätzliche PSC-Endpunkt muss im selben Netzwerk erstellt werden mit dem Ihr externes Netzwerk eine Verbindung zu Cloud VPN herstellt oder Cloud Interconnect.

Das folgende Diagramm zeigt eine Beispielarchitektur eines privaten Clusters:

Abbildung 1. Private Cluster

Hinweis

Bevor Sie beginnen, müssen Sie die folgenden Einrichtungsschritte ausführen:

1. Sign in to your Google Cloud account. If you're new to Google Cloud, create an account to evaluate how our products perform in real-world scenarios. New customers also get $300 in free credits to run, test, and deploy workloads.

2. In the Google Cloud console, on the project selector page, select or create a Google Cloud project.

   Note: If you don't plan to keep the resources that you create in this procedure, create a project instead of selecting an existing project. After you finish these steps, you can delete the project, removing all resources associated with the project.

   Go to project selector

3. Make sure that billing is enabled for your Google Cloud project.

4. In the Google Cloud console, on the project selector page, select or create a Google Cloud project.

   Note: If you don't plan to keep the resources that you create in this procedure, create a project instead of selecting an existing project. After you finish these steps, you can delete the project, removing all resources associated with the project.

   Go to project selector

5. Make sure that billing is enabled for your Google Cloud project.

6. Enable the Cloud Workstations API.

   Enable the API

7. Achten Sie darauf, dass Sie die IAM-Rolle „Cloud Workstations Admin“ für das Projekt, damit Sie Workstationkonfigurationen erstellen können. Rufen Sie zum Prüfen Ihrer IAM-Rollen in der Google Cloud Console die IAM-Seite:

   IAM aufrufen

8. Cloud-Arbeitsstationen werden auf VMs gehostet, die von den vorkonfigurierten öffentlichen Container-Optimized OS (COS)-Images der Compute Engine gestartet werden. Wenn die Einschränkung der constraints/compute.trustedimageProjects-Richtlinie erzwungen wird, müssen Sie Einschränkungen für den Imagezugriff festlegen, damit Nutzer Bootlaufwerke aus projects/cos-cloud oder allen öffentlichen Images erstellen können.
9. Optional: Aktivieren Sie die Container File System API, um einen schnelleren Start der Workstation zu ermöglichen.

   Container File System API aktivieren

   Weitere Informationen finden Sie unter Reduzieren Sie die Startzeit der Workstations, Bildstreaming.

Privaten Cluster erstellen

So erstellen Sie einen privaten Cluster:

1. Rufen Sie in der Google Cloud Console die Seite Cloud Workstations auf.

   Zu Cloud Workstations

2. Rufen Sie die Seite Clusterverwaltung der Workstation auf.

3. Klicken Sie auf Erstellen.

4. Geben Sie den Namen ein und wählen Sie eine Region für den Workstation-Cluster aus.

5. Wählen Sie im Abschnitt „Netzwerk“ die Option Netzwerke in diesem Projekt aus.

6. Wählen Sie ein Netzwerk und ein Teilnetzwerk aus.

7. Wählen Sie für Gateway-Typ die Option Privates Gateway aus.

8. Optional: Geben Sie ein oder mehrere zusätzliche Projekte an, die den Private Service Connect-Endpunkt hosten, über den der HTTP-Zugriff auf Ihren privaten Cluster möglich ist. Standardmäßig kann dieser Endpunkt nur im Projekt des Workstationclusters und im Hostprojekt des VPC-Netzwerks (falls unterschiedlich) erstellt werden. Bei Bedarf können diese Projekte auch nach der Clustererstellung angegeben werden.

9. Klicken Sie auf Erstellen.

Private Clusterverbindung aktivieren

Clients können über das öffentliche Internet keine Verbindung zu Workstations in privaten Workstation-Clustern herstellen. Clients müssen sich in einem Netzwerk befinden, das mit dem Workstationcluster mit Private Service Connect (PSC). Folgen Sie der Anleitung in diesem Abschnitt, um eine Verbindung zu einer Workstation herzustellen:

1. Erstellen Sie einen PSC-Endpunkt, der auf den Dienstanhang Ihrer Workstation ausgerichtet ist.

2. Erstellen Sie eine private DNS-Zone.

3. Erstellen Sie mit Cloud DNS einen DNS-Eintrag, der den Hostnamen Ihres Clusters dem PSC-Endpunkt zuordnet.

Private Service Connect-Endpunkt erstellen

Hinweis: Standardmäßig können der PSC-Endpunkt und die DNS-Zone nur im Projekt des Workstation-Clusters und im Hostprojekt des VPC-Netzwerks (falls unterschiedlich) erstellt werden. Wenn Sie diese Ressourcen in einem anderen Projekt erstellen möchten, aktualisieren Sie das Feld privateClusterConfig.allowedProjects auf Ihrem Workstation-Cluster mit der Workstation API oder ‑Benutzeroberfläche, um das Projekt hinzuzufügen.

So erstellst du einen PSC-Endpunkt:

1. Rufen Sie in der Google Cloud Console „Private Service Connect“ auf.

   Private Service Connect aufrufen

2. Klicken Sie auf den Tab Verbundene Endpunkte und dann auf addEndpunkt verbinden.

3. Wählen Sie für Ziel die Option Veröffentlichter Dienst aus.

4. Geben Sie im Feld Zieldienst den URI des erstellten Dienstanhangs ein. für den Workstationcluster. Rufen Sie dazu in der Konsole Ihren Workstation-Cluster auf und suchen Sie unter Netzwerkeinstellungen nach dem Feld Service-Anhänge-URI.

5. Geben Sie im Feld Endpunkt einen Endpunktnamen ein.

6. Wählen Sie ein Netzwerk und dann ein Subnetzwerk für den Endpunkt aus. Dieses Netzwerk sollte das Netzwerk sein, mit dem Sie eine Verbindung zu Ihren Workstations herstellen möchten. Es muss mit dem Netzwerk übereinstimmen, mit dem Ihr externes Netzwerk über Cloud VPN oder Cloud Interconnect verbunden ist.

7. Wählen Sie eine IP-Adresse für den Endpunkt aus.

   Wenn Sie eine neue IP-Adresse benötigen, wählen Sie IP-Adresse erstellen aus:

   1. Geben Sie einen Namen und optional eine Beschreibung für die IP-Adresse ein.
   2. Wählen Sie für Statische IP-Adresse die Option Automatisch zuweisen aus. Wählen Sie für eine benutzerdefinierte IP-Adresse die Option Selbst auswählen aus. und geben Sie die gewünschte IP-Adresse ein.
   3. Wählen Sie unter Zweck die Option Nicht freigegeben aus.
   4. Klicken Sie auf Reservieren.

8. Wählen Sie einen Namespace aus der Drop-down-Liste aus oder erstellen Sie einen neuen Namespace. Die Region wird anhand des ausgewählten Subnetzwerks ausgefüllt.

9. Klicken Sie auf Endpunkt hinzufügen.

10. Kopieren Sie die IP-Adresse des Endpunkts, damit Sie sie im nächsten Abschnitt zu Erstellen Sie eine private DNS-Zone und einen DNS-Eintrag.

Private DNS-Zone erstellen

Führen Sie die folgenden Schritte aus, um eine private DNS-Zone für diesen Workstationcluster zu erstellen wobei der DNS-Name auf Ihren clusterHostname festgelegt ist, den Sie über in der Console zu Ihrem Workstationcluster navigieren.

1. Rufen Sie in der Google Cloud Console die Seite DNS-Zone erstellen auf.

   Zur Seite „DNS-Zone erstellen“

2. Wählen Sie als Zonentyp die Option Privat aus.

3. Geben Sie unter Zonenname einen Namen wie private-workstations-cluster-zone ein.

4. Geben Sie unter DNS-Name ein Suffix für die private Zone ein. Alle Einträge in der Zone dieses Suffix teilen. Legen Sie als Namen Ihren clusterHostname fest.

   Rufen Sie Cloud Workstations auf, um Ihre clusterHostname zu finden > die Seite Clusterverwaltung in der Google Cloud Console und Klicken Sie dann auf Ihren Workstationcluster, um den Hostnamen aufzurufen.

5. Optional: Fügen Sie eine Beschreibung hinzu.

6. Wählen Sie unter Optionen die Option Standard (privat) aus.

7. Wählen Sie das Netzwerk aus, in dem Sie den PSC-Endpunkt im vorherigen Abschnitt erstellt haben, da die IP-Adresse nur in diesem Netzwerk gültig ist.

8. Klicken Sie auf Erstellen.

Weitere Informationen zu privaten DNS-Zonen finden Sie in der Cloud DNS-Dokumentation unter Private Zone erstellen und Best Practices für private Cloud DNS-Zonen.

DNS-Eintrag erstellen

So fügen Sie einen Eintrag hinzu, der *.<clusterHostname> der IP zuordnet die beim Erstellen des Private Service Connect-Endpunkts reserviert wurde, führen Sie folgende Schritte aus:

1. Rufen Sie in der Google Cloud Console die Seite Cloud DNS-Zonen auf.

   Cloud DNS-Zonen aufrufen

2. Klicken Sie auf den Namen der verwalteten Zone, der Sie den Eintrag hinzufügen möchten.

3. Klicken Sie auf der Seite Zonendetails auf Standard hinzufügen.

4. Geben Sie auf der Seite Create record set (Eintragsgruppe erstellen) in das Feld DNS-Name Folgendes ein: *.<clusterHostname>

5. Geben Sie im Feld IP-Adresse die IP-Adresse ein, die Sie für Ihren Private Service Connect-Endpunkts.

6. Klicken Sie auf Erstellen.

7. Ihr VPC-Netzwerk sollte jetzt mit dem Workstation-Cluster verbunden sein und Sie können über dieses Netzwerk eine Verbindung zu Workstations herstellen.

Lokale DNS-Auflösung aktivieren

Um den standardmäßigen browserbasierten Editor auf Ihrer Workstation zu verwenden, verwenden Sie einen Browser aus einem Computer mit dem VPC-Netzwerk verbunden. Sie können Cloud VPN oder Cloud Interconnect verwenden, um eine Verbindung vom externen Netzwerk, in dem Sie Ihren Browser ausführen, zum VPC-Netzwerk herzustellen.

Wenn Sie eine Verbindung von einem externen Netzwerk aus herstellen möchten, müssen Sie das DNS im externen Netzwerk konfigurieren. Ähnlich wie in den vorherigen Schritten können Sie eine DNS-Zone für clusterHostname erstellen und einen Eintrag hinzufügen, der *.<clusterHostname> der IP-Adresse zuordnet Adresse, die beim Erstellen des Private Service Connect-Endpunkts reserviert wurde. Alternativ können Sie DNS-Weiterleitungszonen oder DNS-Serverrichtlinien , um DNS-Namen zwischen Ihrer lokalen Umgebung und Ihrer Google Cloud-Umgebung nachschlagen zu können.

Möglicherweise müssen Sie auch *cloudworkstations.dev zur lokalen Umgebung hinzufügen auf die Zulassungsliste der Infrastruktur setzen.

Nächste Schritte

• Zugriff auf freigegebene VPC einrichten
• Fehlerbehebung bei häufigen VPC-Problemen