Melindungi Compute Engine menggunakan perimeter Kontrol Layanan VPC

Membuat perimeter layanan

Buat perimeter layanan yang melindungi Compute Engine API di project My-Project-2:

1. Di konsol Trusted Cloud , buka halaman VPC Service Controls.

   Buka Kontrol Layanan VPC

   Pastikan Anda berada dalam cakupan organisasi.

2. Klik Kelola kebijakan.

3. Buat kebijakan akses baru yang dicakup ke folder Exercise.

4. Buat perimeter baru dengan detail berikut:

   • Judul: MyFirstPerimeter

   • Jenis perimeter: Reguler

   • Mode penerapan: Diterapkan

   • Resource yang akan dilindungi: project My-Project-2

   • Layanan terbatas: Compute Engine API

Memverifikasi perimeter

Di bagian ini, Anda dapat membuat permintaan akses ke resource dalam project untuk mengonfirmasi apakah perimeter melindungi resource yang dimaksud.

1. Akses project My-Project-1 dan pastikan Anda dapat mengakses Compute Engine dengan membuka halaman VM instances.

   Buka instance VM

   Anda akan dapat mengakses karena My-Project-1 tidak dilindungi oleh perimeter yang Anda buat sebelumnya.

2. Akses project My-Project-2 dan pastikan Anda dapat mengakses Compute Engine dengan membuka halaman VM instances.

   Anda akan melihat bahwa Kontrol Layanan VPC menolak permintaan Anda untuk mengakses Compute Engine karena perimeter MyFirstPerimeter melindungi My-Project-2 dan Compute Engine API.

Memecahkan masalah pelanggaran

Log audit Kontrol Layanan VPC mencakup detail tentang permintaan ke resource yang dilindungi dan alasan Kontrol Layanan VPC menolak permintaan tersebut. Anda memerlukan informasi ini untuk mengidentifikasi dan memecahkan masalah pelanggaran di project My-Project-2.

Lihat log audit

1. Temukan ID unik pelanggaran Kontrol Layanan VPC di My-Project-2 log audit project:

   1. Di konsol Trusted Cloud , buka halaman Logs Explorer:

      Buka Logs Explorer

      Jika Anda menggunakan kotak penelusuran untuk menemukan halaman ini, pilih hasil yang subjudulnya adalah Logging.

   2. Pilih project My-Project-2.

   3. Untuk menampilkan semua log audit, masukkan kueri berikut ke kolom editor kueri:

      resource.type="audited_resource"
      protoPayload.metadata."@type"="type.googleapis.com/google.cloud.audit.VpcServiceControlAuditMetadata"
      

   4. Klik Run query.

   Kueri ini menampilkan semua log audit Kontrol Layanan VPC. Untuk menemukan detail pelanggaran terkait akses ke Compute Engine API di project My-Project-2, periksa log error terakhir.

   Untuk mengetahui informasi selengkapnya, lihat Melihat log.

2. Di panel Hasil kueri, klik Kontrol Layanan VPC di samping penolakan yang ingin Anda pecahkan masalahnya, lalu klik Pecahkan masalah penolakan.

   Halaman Pemecah masalah Kontrol Layanan VPC akan terbuka. Halaman ini menampilkan alasan pelanggaran dan informasi lainnya seperti apakah pelanggaran tersebut merupakan pelanggaran masuk atau keluar.

   Dalam tutorial ini, cari informasi berikut:

   "principalEmail": "USER@DOMAIN"
   "callerIp": "PUBLIC_IP_ADDRESS"
   "serviceName": "compute.googleapis.com"
   "servicePerimeterName":
   "accessPolicies/POLICY_NUMBER/servicePerimeters/MyFirstPerimeter
   "ingressViolations": [
           {
   "targetResource": "projects/PROJECT_NUMBER",
   "servicePerimeter": "accessPolicies/POLICY_NUMBER/servicePerimeters/MyFirstPerimeter"
           }
         ],
   "violationReason": "NO_MATCHING_ACCESS_LEVEL",
   "resourceNames": "PROJECT_ID"
   

   Alasan pelanggaran adalah "NO_MATCHING_ACCESS_LEVEL". Pelanggaran "NO_MATCHING_ACCESS_LEVEL" terjadi saat alamat IP, jenis perangkat, atau identitas pengguna tidak cocok dengan aturan masuk atau tingkat akses yang terkait dengan perimeter. Jika alamat IP pemanggil tidak ada atau muncul sebagai alamat IP internal dalam log, maka pelanggaran ini dapat disebabkan oleh layanan Trusted Cloud yang tidak didukung oleh Kontrol Layanan VPC.

Untuk memperbaiki penolakan ini di project My-Project-2, Anda memiliki dua opsi:

• Buat tingkat akses yang mengizinkan akses ke alamat IP sistem Anda ke project di dalam perimeter.

• Buat aturan masuk yang mengizinkan akses ke klien API dari luar perimeter ke resource di dalam perimeter.

Bagian berikut menggambarkan cara memecahkan masalah penolakan ini dengan membuat tingkat akses.

Buat tingkat akses

1. Di konsol Trusted Cloud , buka halaman Access Context Manager di cakupan folder Exercise.

   Buka Access Context Manager

2. Buat tingkat akses dengan detail berikut:

   • Untuk Buat kondisi di, pilih Mode dasar.

   • Untuk Jika kondisi terpenuhi, tampilkan, pilih Benar.

   • Pilih atribut Subnet IP, tentukan alamat IP publik sistem Anda.

   • Pilih atribut Lokasi geografis, tentukan lokasi geografis Anda.

   Tingkat akses ini hanya mengizinkan akses jika alamat IP dan lokasi geografis cocok.

3. Buka halaman VPC Service Controls di cakupan organisasi.

   Buka Kontrol Layanan VPC

4. Pilih kebijakan akses yang Anda buat sebelumnya dalam tutorial ini.

5. Tambahkan tingkat akses yang Anda buat di cakupan folder Exercise ke perimeter MyFirstPerimeter.

Menguji akses

Setelah menambahkan tingkat akses, pastikan Anda dapat mengakses Compute Engine di project My-Project-2 dan membuat instance VM.

1. Di konsol Trusted Cloud , buka halaman VM instances.

   Buka instance VM

2. Buat instance VM.

Setelah sekitar satu menit, Compute Engine akan membuat instance VM dan tindakan ini memverifikasi bahwa Anda memiliki akses penuh ke Compute Engine yang dilindungi di dalam perimeter.