דוגמאות להגבלות על ארגונים

אתם יכולים להשתמש בהגבלות על ארגונים כדי לשלוט בתנועה היוצאת מהרשת, כך שמשתמשים ועומסי עבודה יוכלו לגשת רק לארגונים מורשים ב-Cloud de Confiance by S3NS . ההגבלות האלה עוזרות למנוע זליגת נתונים לסביבות חיצוניות לא מורשות. בדוגמאות הבאות מוסבר איך להגדיר את כותרת הבקשה של הגבלות על ארגון בתרחישים נפוצים, כמו ארגון אחד או כמה ארגונים, גישת קריאה ל-Cloud Storage ובקשות העלאה.

הגבלת הגישה לארגון שלכם בלבד

בדוגמה הזו, האדמין של Cloud de Confiance by S3NS והאדמין של שרת ה-proxy לתעבורת נתונים יוצאת של ארגון א' פועלים יחד כדי להגביל את העובדים כך שיוכלו לגשת רק למשאבים בארגוןCloud de Confiance by S3NS שלהם.

כדי להגביל את הגישה רק לארגון שלכם, מבצעים את הפעולות הבאות:

  1. כדי לקבל את Cloud de Confiance by S3NS מזהה הארגון של ארגון א' בתור אדמין ב- Cloud de Confiance by S3NS , משתמשים בפקודה gcloud organizations list:

        gcloud organizations list

    הפלט לדוגמה:

        DISPLAY_NAME: Organization A
    ID: 123456789
    DIRECTORY_CUSTOMER_ID: a1b2c3d4

  2. כמנהלי שרת ה-proxy להעברת נתונים יוצאת (egress), אחרי שקיבלתם את מזהה הארגון מהאדמין של Cloud de Confiance by S3NS, אתם צריכים ליצור את ייצוג ה-JSON של ערך הכותרת בפורמט הבא:

     {
 "resources": ["organizations/123456789"],
  "options": "strict"
 }

  3. כמנהלי שרת ה-proxy לתעבורת נתונים יוצאת, אתם צריכים לקודד את הערך של כותרת הבקשה לפי המפרט של RFC 4648 סעיף 5.

    לדוגמה, אם הייצוג בפורמט JSON של ערך הכותרת מאוחסן בקובץ authorized_orgs.json, כדי לקודד את הקובץ מריצים את הפקודה הבאה ב-basenc: 

     $ cat authorized_orgs.json | basenc --base64url -w0
 ewogInJlc291cmNlcyI6IFsib3JnYW5pemF0aW9ucy8xMjM0NTY3ODkiXSwKICJvcHRpb25zIjogInN0cmljdCIKfQo

  4. כאדמין של שרת ה-proxy להעברת נתונים, צריך להגדיר את שרת ה-proxy להעברת נתונים כך שכותרת הבקשה הבאה תתווסף לכל הבקשות שמגיעות מהמכשירים המנוהלים בארגון א':

     X-Goog-Allowed-Resources: ewogInJlc291cmNlcyI6IFsib3JnYW5pemF0aW9ucy8xMjM0NTY3ODkiXSwKICJvcHRpb25zIjogInN0cmljdCIKfQo

הגבלת הגישה לארגון ואישור בקשות קריאה למשאבים של Cloud Storage

בדוגמה הזו, ה Cloud de Confiance by S3NS אדמין של ארגון א' והאדמין של שרת ה-proxy לתעבורת נתונים יוצאת של ארגון א' פועלים יחד כדי להגביל את העובדים, כך שתהיה להם גישה רק למשאבים בארגון Cloud de Confiance by S3NS , מלבד בקשות קריאה למשאבים של Cloud Storage. אדמינים יכולים להשמיט בקשות קריאה למשאבים של Cloud Storage מאכיפת ההגבלות על הארגון, כדי לוודא שהעובדים שלהם יוכלו לגשת לאתרים חיצוניים שמשתמשים ב-Cloud Storage לאירוח תוכן סטטי. האדמין משתמש באפשרות cloudStorageReadAllowed כדי לאפשר בקשות קריאה למשאבים של Cloud Storage.

כדי להגביל את הגישה רק לארגון שלכם ולאפשר בקשות קריאה למשאבי Cloud Storage, מבצעים את הפעולות הבאות:

  1. כדי לקבל את Cloud de Confiance by S3NS מזהה הארגון של ארגון א' בתור אדמין ב- Cloud de Confiance by S3NS , משתמשים בפקודה gcloud organizations list:

        gcloud organizations list

    הפלט לדוגמה:

        DISPLAY_NAME: Organization A
    ID: 123456789
    DIRECTORY_CUSTOMER_ID: a1b2c3d4

  2. כמנהלי שרת ה-proxy להעברת נתונים יוצאת (egress), אחרי שקיבלתם את מזהה הארגון מהאדמין של Cloud de Confiance by S3NS, אתם צריכים ליצור את ייצוג ה-JSON של ערך הכותרת בפורמט הבא:

     {
 "resources": ["organizations/123456789"],
  "options": "cloudStorageReadAllowed"
 }

  3. כמנהלי שרת ה-proxy לתעבורת נתונים יוצאת, אתם צריכים לקודד את הערך של כותרת הבקשה לפי המפרט של RFC 4648 סעיף 5.

    לדוגמה, אם הייצוג בפורמט JSON של ערך הכותרת מאוחסן בקובץ authorized_orgs.json, כדי לקודד את הקובץ מריצים את הפקודה הבאה ב-basenc:

     $ cat authorized_orgs.json | basenc --base64url -w0
ewogICJyZXNvdXJjZXMiOiBbIm9yZ2FuaXphdGlvbnMvMTIzNDU2Nzg5Il0sCiAgIm9wdGlvbnMiOiAiY2xvdWRTdG9yYWdlUmVhZEFsbG93ZCIKfQo=l

  4. כאדמין של שרת ה-proxy להעברת נתונים, צריך להגדיר את שרת ה-proxy להעברת נתונים כך שכותרת הבקשה הבאה תתווסף לכל הבקשות שמגיעות מהמכשירים המנוהלים בארגון א':

     X-Goog-Allowed-Resources: ewogICJyZXNvdXJjZXMiOiBbIm9yZ2FuaXphdGlvbnMvMTIzNDU2Nzg5Il0sCiAgIm9wdGlvbnMiOiAiY2xvdWRTdG9yYWdlUmVhZEFsbG93ZCIKfQo=l

    עכשיו לעובדים של ארגון א' יש גישה לארגון שלהם Cloud de Confiance by S3NS וגישת קריאה למשאבים של Cloud Storage.

מתן גישה לעובדים לארגון של ספק Cloud de Confiance by S3NS

בדוגמה הזו, האדמין של Cloud de Confiance by S3NS והאדמין של שרת ה-proxy לתעבורת נתונים יוצאת של ארגון ב' פועלים יחד כדי לאפשר לעובדים לגשת לארגון של ספק Cloud de Confiance by S3NS בנוסף לארגון Cloud de Confiance by S3NS הקיים שלהם.

כדי להגביל את הגישה של העובדים רק לארגון שלכם ולארגון של הספק, צריך לבצע את הפעולות הבאות:

  1. כאדמינים ב- Cloud de Confiance by S3NS , אתם צריכים לפנות לספק כדי לקבל את מזהה הארגון של הספק ב- Cloud de Confiance by S3NS.

  2. כאדמינים של שרת proxy לתעבורת נתונים יוצאת, כדי לכלול את מזהה הארגון של הספק בנוסף למזהה הארגון הקיים, אתם צריכים לעדכן את ייצוג ה-JSON של ערך הכותרת. אחרי שמקבלים את מזהה הארגון של הספק מהאדמין ב- Cloud de Confiance by S3NS, מעדכנים את ערך הכותרת בפורמט הבא:

     {
 "resources": ["organizations/1234", "organizations/3456"],
  "options": "strict"
 }

  3. כמנהלי שרת ה-proxy לתעבורת נתונים יוצאת, אתם צריכים לקודד את הערך של כותרת הבקשה לפי המפרט של RFC 4648 סעיף 5.

    לדוגמה, אם הייצוג בפורמט JSON של ערך הכותרת מאוחסן בקובץ authorized_orgs.json, כדי לקודד את הקובץ מריצים את הפקודה הבאה ב-basenc:

     $ cat authorized_orgs.json | basenc --base64url -w0
 ewogInJlc291cmNlcyI6IFsib3JnYW5pemF0aW9ucy8xMjM0NTY3ODkiLCAib3JnYW5pemF0aW9ucy8xMDExMTIxMzE0Il0sCiAib3B0aW9ucyI6ICJzdHJpY3QiCn0K

  4. כאדמין של שרת ה-proxy להעברת נתונים, צריך להגדיר את שרת ה-proxy להעברת נתונים כך שכותרת הבקשה הבאה תתווסף לכל הבקשות שמגיעות מהמכשירים המנוהלים בארגון ב':

     X-Goog-Allowed-Resources: ewogInJlc291cmNlcyI6IFsib3JnYW5pemF0aW9ucy8xMjM0NTY3ODkiLCAib3JnYW5pemF0aW9ucy8xMDExMTIxMzE0Il0sCiAib3B0aW9ucyI6ICJzdHJpY3QiCn0K

    לעובדים של ארגון ב' יש עכשיו גישה גם לספק וגם לארגונים Cloud de Confiance by S3NS שלהם.

הגבלת הגישה רק להעלאות

בדוגמה הזו, האדמין של Cloud de Confiance by S3NS והאדמין של שרת ה-proxy לתעבורת נתונים יוצאת של Organization C פועלים יחד כדי להגביל את הגישה של העובדים להעלאת נתונים רק למשאבים בארגוןCloud de Confiance by S3NS .

כדי להגביל את הרשאת ההעלאה רק לארגון שלכם, בצעו את הפעולות הבאות:

  1. כדי לקבל את Cloud de Confiance by S3NS מזהה הארגון של ארגון C, האדמין של Cloud de Confiance by S3NS צריך להשתמש בפקודה gcloud organizations list:

        gcloud organizations list

    הפלט לדוגמה:

        DISPLAY_NAME: Organization C
    ID: 123456789
    DIRECTORY_CUSTOMER_ID: a1b2c3d4

  2. כמנהלי שרת ה-proxy להעברת נתונים יוצאת (egress), אחרי שקיבלתם את מזהה הארגון מהאדמין של Cloud de Confiance by S3NS, אתם צריכים ליצור את ייצוג ה-JSON של ערך הכותרת בפורמט הבא:

     {
 "resources": ["organizations/123456789"],
  "options": "strict"
 }

  3. כמנהלי שרת ה-proxy לתעבורת נתונים יוצאת, אתם צריכים לקודד את הערך של כותרת הבקשה לפי המפרט של RFC 4648 סעיף 5.

    לדוגמה, אם הייצוג בפורמט JSON של ערך הכותרת מאוחסן בקובץ authorized_orgs.json, כדי לקודד את הקובץ מריצים את הפקודה הבאה ב-basenc:

     $ cat authorized_orgs.json | basenc --base64url -w0
ewogInJlc291cmNlcyI6IFsib3JnYW5pemF0aW9ucy8xMjM0NTY3ODkiXSwKICJvcHRpb25zIjogInN0cmljdCIKfQo

  4. כאדמינים של שרת proxy לתעבורת נתונים יוצאת, אתם צריכים להגדיר את שרת ה-proxy כך שכותרת הבקשה הבאה תתווסף רק לבקשות בשיטות PUT,‏ POST ו-PATCH שמגיעות מהמכשירים המנוהלים בארגון ג':

     X-Goog-Allowed-Resources: ewogInJlc291cmNlcyI6IFsib3JnYW5pemF0aW9ucy8xMjM0NTY3ODkiXSwKICJvcHRpb25zIjogInN0cmljdCIKfQo

המאמרים הבאים