Protege Compute Engine con un perímetro de Controles del servicio de VPC

Crea un perímetro de servicio

Crea un perímetro de servicio que proteja la API de Compute Engine en el proyecto My-Project-2:

1. En la consola de Cloud de Confiance , ve a la página Controles del servicio de VPC.

   Ir a los Controles del servicio de VPC

   Asegúrate de encontrarte en el permiso de la organización.

2. Haz clic en Administrar políticas.

3. Crea una política de acceso nueva cuyo permiso se limite a la carpeta Exercise.

4. Crea un perímetro nuevo con los siguientes detalles:

   • Título: MyFirstPerimeter

   • Tipo de perímetro: Normal

   • Modo de aplicación forzosa: Aplicado

   • Recursos que se deben proteger: proyecto My-Project-2

   • Servicios restringidos: API de Compute Engine

Verifica el perímetro

En esta sección, puedes realizar solicitudes de acceso a los recursos de los proyectos para confirmar si el perímetro protege los recursos previstos.

1. Accede al proyecto My-Project-1 y verifica que puedes acceder a Compute Engine. Para ello, visita la página Instancias de VM.

   Ir a Instancias de VM

   Deberías poder acceder porque My-Project-1 no está protegido por el perímetro que creaste antes.

2. Accede al proyecto My-Project-2 y verifica que puedes acceder a Compute Engine. Para ello, visita la página Instancias de VM.

   Deberías ver que los Controles del servicio de VPC rechazan tu solicitud de acceso a Compute Engine porque el perímetro MyFirstPerimeter protege a My-Project-2 y a la API de Compute Engine.

Soluciona problemas de incumplimientos

Los registros de los Controles del servicio de VPC incluyen detalles sobre las solicitudes a recursos protegidos y el motivo por el que los Controles del servicio de VPC rechazaron la solicitud. Necesitas esta información para identificar y solucionar problemas de incumplimiento en el proyecto My-Project-2.

Ver registros de auditoría

1. Busca el ID único del incumplimiento de los Controles del servicio de VPC en los registros de auditoría del proyecto My-Project-2:

   1. En la consola de Cloud de Confiance , accede a la página Explorador de registros:

      Acceder al Explorador de registros

      Si usas la barra de búsqueda para encontrar esta página, selecciona el resultado cuyo subtítulo es Logging.

   2. Selecciona el proyecto My-Project-2.

   3. Para mostrar todos los registros de auditoría, ingresa la siguiente consulta en el campo del editor de consultas:

      resource.type="audited_resource"
      protoPayload.metadata."@type"="type.googleapis.com/google.cloud.audit.VpcServiceControlAuditMetadata"
      

   4. Haz clic en Ejecutar consulta.

   Esta consulta muestra todos los registros de auditoría de los Controles del servicio de VPC. Para encontrar los detalles del incumplimiento por acceder a la API de Compute Engine en el proyecto My-Project-2, consulta el último registro de errores.

   Para obtener más información, consulta Visualiza registros.

2. En el panel Resultados de la consulta, haz clic en Controles del servicio de VPC junto con el rechazo que deseas solucionar y, luego, en Rechazo de la solución de problemas.

   Se abrirá la página del analizador de incumplimientos de los Controles del servicio de VPC. En esta página, se muestra el motivo del incumplimiento y otra información, como si se trata de un incumplimiento de ingreso o salida.

   En este instructivo, busca la siguiente información:

   "principalEmail": "USER@DOMAIN"
   "callerIp": "PUBLIC_IP_ADDRESS"
   "serviceName": "compute.googleapis.com"
   "servicePerimeterName":
   "accessPolicies/POLICY_NUMBER/servicePerimeters/MyFirstPerimeter
   "ingressViolations": [
           {
   "targetResource": "projects/PROJECT_NUMBER",
   "servicePerimeter": "accessPolicies/POLICY_NUMBER/servicePerimeters/MyFirstPerimeter"
           }
         ],
   "violationReason": "NO_MATCHING_ACCESS_LEVEL",
   "resourceNames": "PROJECT_ID"
   

   El motivo del incumplimiento es "NO_MATCHING_ACCESS_LEVEL". El incumplimiento de "NO_MATCHING_ACCESS_LEVEL" se produce cuando la dirección IP, el tipo de dispositivo o la identidad del usuario no coinciden con ninguna regla de entrada ni niveles de acceso asociados al perímetro. Si falta la dirección IP del emisor o aparece como una dirección IP interna en el registro, este incumplimiento puede deberse a un servicio de Cloud de Confiance que no es admitido por los Controles del servicio de VPC.

Para corregir este rechazo en el proyecto My-Project-2, tienes dos opciones:

• Crea un nivel de acceso que permita el acceso a la dirección IP de tu sistema al proyecto dentro del perímetro.

• Crea una regla de entrada que permita el acceso a un cliente de API ubicado fuera del perímetro a los recursos que se encuentran dentro de él.

En la siguiente sección, se muestra cómo solucionar problemas relacionados con este rechazo. Para ello, se crea un nivel de acceso.

Crea un nivel de acceso

1. En la consola de Cloud de Confiance , ve a la página Access Context Manager en el permiso de la carpeta Exercise.

   Ir a Access Context Manager

2. Crea un nivel de acceso con los siguientes detalles:

   • Para Crear condiciones en, elige Modo básico.

   • Para Cuando se cumpla la condición, devolver:, elige Verdadero.

   • Elige el atributo Subredes de IP y especifica la dirección IP pública de tu sistema.

   • Elige el atributo Ubicaciones geográficas y especifica tu ubicación geográfica.

   Este nivel de acceso solo permite el acceso cuando coinciden la dirección IP y la ubicación geográfica.

3. Ve a la página Controles del servicio de VPC en el permiso de la organización.

   Ir a los Controles del servicio de VPC

4. Elige la política de acceso que creaste antes en este instructivo.

5. Agrega el nivel de acceso que creaste en el permiso de la carpeta Exercise al perímetro MyFirstPerimeter.

Prueba el acceso

Después de agregar el nivel de acceso, verifica que puedas acceder a Compute Engine en el proyecto My-Project-2 y crear una instancia de VM.

1. En la consola de Cloud de Confiance , ve a la página Instancias de VM.

   Ir a Instancias de VM

2. Crea una instancia de VM.

Después de cerca de un minuto, Compute Engine crea una instancia de VM y esta acción verifica que tengas acceso completo a Compute Engine protegido dentro del perímetro.