ניהול הגדרות של הרצת בדיקה

המסוף

1. בתפריט הניווט של מסוף Cloud de Confiance , לוחצים על Security (אבטחה) ואז על VPC Service Controls.

   מעבר לדף VPC Service Controls

2. בדף VPC Service Controls, לוחצים על Dry run mode (מצב הרצה יבשה).

3. ברשימת גבולות השירות, לוחצים על השם של גבול השירות שרוצים לאכוף.

4. בדף פרטים של גבולות גזרה לשירות, לוחצים על החלת ההגדרה.

5. כשמתבקשים לאשר שרוצים להחליף את ההגדרה הקיימת, לוחצים על אישור.

gcloud

אפשר להשתמש בכלי gcloud של שורת הפקודה כדי לאכוף את ההגדרה של בדיקה יבשה להיקף אבטחה ספציפי, וגם לכל היקפי האבטחה בו-זמנית.

החלת הגדרה אחת של הרצה יבשה

כדי לאכוף את הגדרת הרצת הבדיקה עבור גבולות גזרה אחדים, משתמשים בפקודה dry-run enforce:

gcloud access-context-manager perimeters dry-run enforce PERIMETER_NAME \
  [--policy=POLICY_NAME]

כאשר:

• ‫PERIMETER_NAME הוא השם של גבולות גזרה לשירות שרוצים לקבל פרטים לגביו.

• ‫POLICY_NAME הוא השם של מדיניות הגישה של הארגון. הערך הזה נדרש רק אם לא הגדרתם מדיניות גישה שמוגדרת כברירת מחדל.

החלת כל ההגדרות של הרצה יבשה

כדי לאכוף את הגדרת ההרצה היבשה על כל ההיקפים, משתמשים בפקודה dry-run enforce-all:

gcloud access-context-manager perimeters dry-run enforce-all \
  [--etag=ETAG]
  [--policy=POLICY_NAME]

כאשר:

• ‫PERIMETER_NAME הוא השם של גבולות גזרה לשירות שרוצים לקבל פרטים לגביו.

• ‫ETAG הוא מחרוזת שמייצגת את גרסת היעד של מדיניות הגישה של הארגון. אם לא כוללים etag, פעולת enforce-all מכוונת לגרסה האחרונה של מדיניות הגישה של הארגון.

  כדי לקבל את ה-etag העדכני ביותר של מדיניות הגישה, צריך list את מדיניות הגישה.

• ‫POLICY_NAME הוא השם של מדיניות הגישה של הארגון. הערך הזה נדרש רק אם לא הגדרתם מדיניות גישה שמוגדרת כברירת מחדל.

API

כדי לאכוף את הגדרת ההרצה היבשה על כל ההיקפים, קוראים לפונקציה accessPolicies.servicePerimeters.commit.

המסוף

1. בתפריט הניווט של מסוף Cloud de Confiance , לוחצים על Security (אבטחה) ואז על VPC Service Controls.

   מעבר לדף VPC Service Controls

2. בדף VPC Service Controls, לוחצים על Dry run mode (מצב הרצה יבשה).

3. ברשימת הגדרות ההיקף של השירות, לוחצים על השם של הגדרת ההיקף של השירות שרוצים לערוך.

4. בדף פרטים של גבולות גזרה לשירות, לוחצים על עריכה.

5. בדף Edit service perimeter (עריכת גבולות גזרה לשירות), מבצעים שינויים בהגדרות של הרצת סימולציה של גבולות הגזרה לשירות.

6. לוחצים על Save.

gcloud

כדי להוסיף פרויקטים חדשים להיקף, משתמשים בפקודה dry-run update ומציינים את המשאבים שרוצים להוסיף:

gcloud access-context-manager perimeters dry-run update PERIMETER_NAME \
  --add-resources=RESOURCES \
  [--policy=POLICY_NAME]

כאשר:

• ‫PERIMETER_NAME הוא השם של גבולות גזרה לשירות שרוצים לקבל פרטים לגביו.

• ‫RESOURCES היא רשימה של מספר פרויקט אחד או יותר או שמות של רשתות VPC, שמופרדים באמצעות פסיקים. לדוגמה: projects/12345 או //compute.googleapis.com/projects/my-project/global/networks/vpc1. מותר להשתמש רק בפרויקטים וברשתות VPC. פורמט הפרויקט: projects/<project_number>. פורמט VPC: //compute.googleapis.com/projects/<project-id>/global/networks/<network_name>.

• ‫POLICY_NAME הוא השם של מדיניות הגישה של הארגון. הערך הזה נדרש רק אם לא הגדרתם מדיניות גישה שמוגדרת כברירת מחדל.

כדי לעדכן את רשימת השירותים המוגבלים, משתמשים בפקודה dry-run update ומציינים את השירותים שרוצים להוסיף כרשימה מופרדת בפסיקים:

gcloud access-context-manager perimeters dry-run update PERIMETER_ID \
  --add-restricted-services=SERVICES \
  [--policy=POLICY_NAME]

כאשר:

• ‫PERIMETER_NAME הוא השם של גבולות גזרה לשירות שרוצים לקבל פרטים לגביו.

• ‫SERVICES היא רשימה מופרדת בפסיקים של שירות אחד או יותר. לדוגמה: storage.googleapis.com או storage.googleapis.com,bigquery.googleapis.com.

• ‫POLICY_NAME הוא השם של מדיניות הגישה של הארגון. הערך הזה נדרש רק אם לא הגדרתם מדיניות גישה שמוגדרת כברירת מחדל.

המסוף

1. בתפריט הניווט של Cloud de Confiance המסוף, לוחצים על Logging ואז על Logs Explorer.

   כניסה לדף Logs Explorer

2. בשדה Query, מזינים מסנן שאילתות כמו המסנן הבא ולוחצים על Run query.

   log_id("cloudaudit.googleapis.com/policy") AND severity="error" AND protoPayload.metadata.dryRun="true"
   

3. היומנים מוצגים בקטע Query results.

gcloud

כדי להציג את היומנים באמצעות CLI של gcloud, מריצים פקודה כמו הפקודה הבאה:

gcloud logging read 'log_id("cloudaudit.googleapis.com/policy") AND severity="error" AND protoPayload.metadata.dryRun="true"'