Protéger Compute Engine à l'aide d'un périmètre VPC Service Controls

Créer un périmètre de service

Créez un périmètre de service qui protège l'API Compute Engine dans le projet My-Project-2 :

1. Dans la console Trusted Cloud , accédez à la page VPC Service Controls.

   Accéder à VPC Service Controls

   Assurez-vous d'être dans le champ d'application de l'organisation.

2. Cliquez sur Gérer les règles.

3. Créez une règle d'accès dont la portée est limitée au dossier Exercise.

4. Créez un périmètre en indiquant les informations suivantes :

   • Titre : MyFirstPerimeter

   • Type de périmètre : Standard

   • Mode d'application : Application forcée

   • Ressources à protéger : projet My-Project-2

   • Services restreints : API Compute Engine

Vérifier le périmètre

Dans cette section, vous pouvez envoyer des demandes d'accès aux ressources des projets pour confirmer si le périmètre protège les ressources souhaitées.

1. Accédez au projet My-Project-1 et vérifiez que vous pouvez accéder à Compute Engine en accédant à la page Instances de VM.

   Accéder à la page Instances de VM

   Vous devriez pouvoir y accéder, car My-Project-1 n'est pas protégé par le périmètre que vous avez créé précédemment.

2. Accédez au projet My-Project-2 et vérifiez que vous pouvez accéder à Compute Engine en accédant à la page Instances de VM.

   Vous devriez constater que VPC Service Controls refuse votre demande d'accès à Compute Engine, car le périmètre MyFirstPerimeter protège My-Project-2 et l'API Compute Engine.

Résoudre un problème de non-respect

Les journaux d'audit de VPC Service Controls incluent des détails sur les requêtes adressées à des ressources protégées et la raison pour laquelle VPC Service Controls a refusé la requête. Vous avez besoin de ces informations pour identifier et résoudre le problème de non-respect dans le projet My-Project-2.

Consulter les journaux d'audit

1. Recherchez l'ID unique du non-respect de VPC Service Controls dans les journaux d'audit du projet My-Project-2 :

   1. Dans la console Trusted Cloud , accédez à la page Explorateur de journaux.

      Accéder à l'explorateur de journaux

      Si vous utilisez la barre de recherche pour trouver cette page, sélectionnez le résultat dont le sous-titre est Logging.

   2. Sélectionnez le projet My-Project-2.

   3. Pour afficher tous les journaux d'audit, saisissez la requête suivante dans le champ de l'éditeur de requête :

      resource.type="audited_resource"
      protoPayload.metadata."@type"="type.googleapis.com/google.cloud.audit.VpcServiceControlAuditMetadata"
      

   4. Cliquez sur Exécuter la requête.

   Cette requête affiche tous les journaux d'audit VPC Service Controls. Pour trouver les détails de l'infraction concernant l'accès à l'API Compute Engine dans le projet My-Project-2, consultez le dernier journal des erreurs.

   Pour en savoir plus, consultez Afficher les journaux.

2. Dans le volet Résultats de la requête, cliquez sur VPC Service Controls à côté du refus que vous souhaitez résoudre, puis sur Dépanner le refus.

   La page de l'outil de dépannage de VPC Service Controls s'ouvre. Cette page indique la raison de la non-conformité et d'autres informations, par exemple si la non-conformité concerne l'entrée ou la sortie.

   Dans ce tutoriel, recherchez les informations suivantes :

   "principalEmail": "USER@DOMAIN"
   "callerIp": "PUBLIC_IP_ADDRESS"
   "serviceName": "compute.googleapis.com"
   "servicePerimeterName":
   "accessPolicies/POLICY_NUMBER/servicePerimeters/MyFirstPerimeter
   "ingressViolations": [
           {
   "targetResource": "projects/PROJECT_NUMBER",
   "servicePerimeter": "accessPolicies/POLICY_NUMBER/servicePerimeters/MyFirstPerimeter"
           }
         ],
   "violationReason": "NO_MATCHING_ACCESS_LEVEL",
   "resourceNames": "PROJECT_ID"
   

   Le motif de la violation est le suivant : "NO_MATCHING_ACCESS_LEVEL". Le non-respect de la règle "NO_MATCHING_ACCESS_LEVEL" se produit lorsque l'adresse IP, le type d'appareil ou l'identité de l'utilisateur ne correspondent à aucune règle d'entrée ni à aucun niveau d'accès associés au périmètre. Si l'adresse IP de l'appelant est manquante ou apparaît en tant qu'adresse IP interne dans le journal, cette violation peut être due à un service Trusted Cloud qui n'est pas compatible avec VPC Service Controls.

Pour corriger ce refus dans le projet My-Project-2, deux options s'offrent à vous :

• Créez un niveau d'accès qui autorise l'accès à l'adresse IP de votre système au projet situé dans le périmètre.

• Créez une règle d'entrée qui autorise l'accès à un client API depuis l'extérieur du périmètre aux ressources situées à l'intérieur du périmètre.

La section suivante explique comment résoudre ce refus en créant un niveau d'accès.

Créer un niveau d'accès

1. Dans la console Trusted Cloud , accédez à la page Access Context Manager au niveau du dossier Exercise.

   Accéder à Access Context Manager

2. Créez un niveau d'accès en fournissant les informations suivantes :

   • Pour Créer des conditions en, sélectionnez Mode de base.

   • Pour Lorsque la condition est remplie, renvoyer, sélectionnez Vrai.

   • Sélectionnez l'attribut Sous-réseaux d'IP, puis spécifiez l'adresse IP publique de votre système.

   • Sélectionnez l'attribut Zones géographiques, puis indiquez votre zone géographique.

   Ce niveau d'accès n'autorise l'accès que lorsque l'adresse IP et la zone géographique correspondent.

3. Accédez à la page VPC Service Controls au niveau de l'organisation.

   Accéder à VPC Service Controls

4. Sélectionnez la règle d'accès que vous avez créée précédemment dans ce tutoriel.

5. Ajoutez le niveau d'accès que vous avez créé au niveau du dossier Exercise au périmètre MyFirstPerimeter.

Tester l'accès

Après avoir ajouté le niveau d'accès, vérifiez que vous pouvez accéder à Compute Engine dans le projet My-Project-2 et créer une instance de VM.

1. Dans la console Trusted Cloud , accédez à la page Instances de VM.

   Accéder à la page Instances de VM

2. Créez une instance de VM.

Au bout d'une minute environ, Compute Engine crée une instance de VM. Cette action permet de vérifier que vous disposez d'un accès complet à Compute Engine protégé à l'intérieur du périmètre.