‫Google משתמשת בטכנולוגיית AI כדי לתרגם תוכן לשפה המועדפת עליך. בתרגומים כאלו עשויות להיות שגיאות.

ניהול האבטחה של צרכני Private Service Connect

בדף הזה מוסבר איך צרכני שירות יכולים להגדיר אבטחה לארגונים ולרשתות VPC של צרכנים שמשתמשים ב-Private Service Connect.

מדיניות ארגונית מאפשרת לאדמינים לשלוט באופן נרחב ברשתות VPC או בארגונים שהפרויקטים שלהם יכולים להתחבר אליהם באמצעות נקודות קצה ובק-אנדים של Private Service Connect. כללי חומת אש של VPC וכללי מדיניות של חומת אש מאפשרים לאדמינים של רשתות לשלוט בגישה ברמת הרשת למשאבי Private Service Connect. כללי מדיניות הארגון וכללים לחומת אש הם משלימים ואפשר להשתמש בהם ביחד.

תפקידים

כדי לקבל את ההרשאות שדרושות לניהול מדיניות הארגון, צריך לבקש מהאדמין להקצות לכם את תפקיד ה-IAM‏ Organization policy administrator (אדמין של מדיניות הארגון) ‏(roles/orgpolicy.policyAdmin) בארגון. כדי לקרוא הסבר על מתן תפקידים, ראו איך מנהלים את הגישה ברמת הפרויקט, התיקייה והארגון.

יכול להיות שאפשר לקבל את ההרשאות הנדרשות גם באמצעות תפקידים בהתאמה אישית או תפקידים מוגדרים מראש.

כדי לקבל את ההרשאות שנדרשות ליצירת כללי חומת אש, צריך לבקש מהאדמין להקצות לכם ב-IAM את התפקיד אדמין רשת של Compute (roles/compute.networkAdmin) ברשת ה-VPC. כדי לקרוא הסבר על מתן תפקידים, ראו איך מנהלים את הגישה ברמת הפרויקט, התיקייה והארגון.

יכול להיות שאפשר לקבל את ההרשאות הנדרשות גם באמצעות תפקידים בהתאמה אישית או תפקידים מוגדרים מראש.

כללי מדיניות של ארגונים צרכניים

אתם יכולים להשתמש במדיניות הארגון עם אילוצי רשימה כדי לשלוט בפריסה של נקודות קצה או של שרתים עורפיים של Private Service Connect. אם נקודת קצה או קצה עורפי נחסמים על ידי מדיניות של ארגון לצרכנים, יצירת המשאב נכשלת.

מידע נוסף זמין במאמר בנושא מדיניות ארגונית בצד הצרכן.

חסימת נקודות קצה ושרתי קצה עורפיים (backend) מהתחברות לקבצים מצורפים לא מורשים לשירות

מקורות מידע: נקודות קצה ועורפי קצה

gcloud

יוצרים קובץ זמני בשם /tmp/policy.yaml כדי לאחסן את המדיניות החדשה. מוסיפים את התוכן הבא לקובץ:
```
name: organizations/CONSUMER_ORG/policies/compute.restrictPrivateServiceConnectProducer
spec:
  rules:
    - values:
        allowedValues:
        - under:organizations/PRODUCER_ORG_NUMBER
        - under:organizations/433637338589
```
מחליפים את מה שכתוב בשדות הבאים:
- ‫CONSUMER_ORG: מזהה משאב הארגון של הארגון שרוצים לשלוט בחיבורים של נקודת הקצה והקצה העורפי.
- ‫PRODUCER_ORG_NUMBER: מזהה משאב הארגון (מספרי) של ארגון היצרן שרוצים לאפשר לנקודות קצה ולשרתי קצה עורפיים להתחבר אליו.
כדי לחסום נקודות קצה ועורפי קצה (backend) מחיבור ל-Service Attachments שנמצאים בבעלות Google, צריך להסיר את הפריט הבא מהקטע allowedValues: - under:organizations/433637338589.

כדי לציין ארגונים נוספים שיכולים להתחבר ל-Service Attachments בפרויקט, צריך לכלול רשומות נוספות בקטע allowedValues.

בנוסף לארגונים, אפשר לציין תיקיות ופרויקטים מורשים בטופס הבא:
- under:folders/FOLDER_ID
  
  הערך של FOLDER_ID חייב להיות מזהה מספרי.
- under:projects/PROJECT_ID
  
  הערך PROJECT_ID צריך להיות מזהה המחרוזת.
לדוגמה, אפשר להשתמש בפקודה הבאה כדי ליצור מדיניות ארגונית שחוסמת נקודות קצה ושרתי קצה עורפיים ב-Consumer-org-1 להתחבר לצירופי שירות, אלא אם צירופי השירות משויכים לערך מותר או לצאצא של ערך מותר. הערכים המותרים הם הארגון Producer-org-1, הפרויקט Producer-project-1 והתיקייה Producer-folder-1.
```
name: organizations/Consumer-org-1/policies/compute.restrictPrivateServiceConnectProducer
spec:
    rules:
      - values:
          allowedValues:
          - under:organizations/Producer-org-1
          - under:projects/Producer-project-1
          - under:folders/Producer-folder-1
```

מחילים את המדיניות.

gcloud org-policies set-policy /tmp/policy.yaml

צפייה במדיניות שבתוקף.

gcloud org-policies describe compute.restrictPrivateServiceConnectProducer \
    --effective \
    --organization=CONSUMER_ORG

חסימה של צרכנים מפריסת נקודות קצה לפי סוג החיבור

משאבים: נקודות קצה

gcloud

יוצרים קובץ זמני בשם /tmp/policy.yaml כדי לאחסן את המדיניות החדשה.
- כדי לחסום משתמשים בארגון לצרכנים ליצור נקודות קצה שמתחברות ל-Google APIs, מוסיפים את התוכן הבא לקובץ:
```
name: organizations/CONSUMER_ORG/policies/compute.disablePrivateServiceConnectCreationForConsumers
spec:
  rules:
    - values:
        allowedValues:
        - SERVICE_PRODUCERS
```
- כדי לחסום משתמשים בארגון לצרכנים ליצור נקודות קצה שמתחברות לשירותים שפורסמו, מוסיפים את התוכן הבא לקובץ:
```
name: organizations/CONSUMER_ORG/policies/compute.disablePrivateServiceConnectCreationForConsumers
spec:
  rules:
    - values:
        allowedValues:
        - GOOGLE_APIS
```
מחליפים את CONSUMER_ORG בשם של הארגון הצרכני שרוצים לשלוט בפריסת נקודות הקצה שלו.

מחילים את המדיניות.

gcloud org-policies set-policy /tmp/policy.yaml

צפייה במדיניות שבתוקף.

gcloud org-policies describe compute.restrictPrivateServiceConnectProducer \
    --effective \
    --organization=CONSUMER_ORG

כללי חומת אש

משאבים: כולם

אתם יכולים להשתמש בכללי חומת אש של VPC או במדיניות חומת אש כדי לשלוט בגישה למשאבים של Private Service Connect. כללי חומת אש ליציאה יכולים לחסום או לאפשר גישה ממכונות וירטואליות לכתובת ה-IP או לתת-הרשת של נקודות קצה ושרתים עורפיים (backend), ובחזרה.

לדוגמה, באיור 1 מוצגת הגדרה שבה כללי חומת אש שולטים בגישה לרשת המשנה שאליה מחוברת נקודת הקצה של Private Service Connect.

כללים לחומת אש שולטים בתנועה אל רשת המשנה של נקודת הקצה. תנועה מ-`vm-1` יכולה להגיע לרשת המשנה של נקודת הקצה, בעוד שתנועה מ-`vm-2` נחסמת (לחצו להגדלה).

כלל חומת האש הבא דוחה את כל תעבורת הנתונים היוצאת (egress) לרשת המשנה של נקודת הקצה:

gcloud compute firewall-rules create deny-all \
    --network=vpc-1 \
    --direction=egress \
    --action=deny \
    --destination-ranges=10.33.0.0/24
    --priority=1000

כלל חומת האש הבא עם עדיפות גבוהה יותר מאפשר תעבורת נתונים יוצאת (egress) לרשת המשנה של נקודת הקצה למכונות וירטואליות עם תג הרשת allow-psc:
```
gcloud compute firewall-rules create allow-psc \
    --network=vpc-1 \
    --direction=egress \
    --action=allow \
    --target-tags=allow-psc \
    --destination-ranges=10.33.0.0/24
    --priority=100
```

שימוש בכללי חומת אש כדי להגביל את הגישה לנקודות קצה או לשרתי קצה עורפיים

כדי להגביל את הגישה ממכונות וירטואליות לרשת המשנה של נקודת קצה או של שרת קצה עורפי, צריך לבצע את הפעולות הבאות.

יוצרים כלל חומת אש שדוחה תעבורת נתונים יוצאת (egress) לנקודת הקצה או לרשת המשנה של ה-backend.
```
gcloud compute firewall-rules create deny-all \
    --network=NETWORK \
    --direction=egress \
    --action=deny \
    --destination-ranges=ENDPOINT_SUBNET_RANGE \
    --priority=1000
```
מחליפים את מה שכתוב בשדות הבאים:
- ‫NETWORK: השם של הרשת של נקודת הקצה או של ה-backend.
- ‫ENDPOINT_SUBNET_RANGE: טווח ה-CIDR של כתובות ה-IP של נקודת הקצה או של רשת המשנה של ה-backend שרוצים לשלוט בגישה אליהם.

יוצרים כלל חומת אש שני שמאפשר תעבורת נתונים יוצאת ממכונות וירטואליות עם תגים לנקודת הקצה או לתת-הרשת של השרת העורפי.

gcloud compute firewall-rules create allow-psc \
    --network=NETWORK \
    --direction=egress \
    --action=allow \
    --target-tags=allow-psc \
    --destination-ranges=ENDPOINT_SUBNET_RANGE \
    --priority=100