Proteger o Compute Engine usando um perímetro do VPC Service Controls

Criar um perímetro de serviço

Crie um perímetro de serviço que proteja a API Compute Engine no projeto My-Project-2:

1. No console Trusted Cloud , acesse a página VPC Service Controls.

   Acessar o VPC Service Controls

   Verifique se você está no escopo da organização.

2. Clique em Gerenciar políticas.

3. Crie uma nova política de acesso com escopo para a pasta Exercise.

4. Crie um novo perímetro com os seguintes detalhes:

   • Título: MyFirstPerimeter

   • Tipo de perímetro: Regular

   • Modo de aplicação: Restrito

   • Recursos a serem protegidos: projeto My-Project-2

   • Serviços restritos: API Compute Engine

Verificar o perímetro

Nesta seção, você pode fazer solicitações de acesso aos recursos nos projetos para confirmar se o perímetro protege os recursos pretendidos.

1. Acesse o projeto My-Project-1 e verifique se você pode acessar o Compute Engine na página Instâncias de VM.

   Acessar instâncias de VM

   Você pode acessar porque My-Project-1 não está protegido pelo perímetro criado anteriormente.

2. Acesse o projeto My-Project-2 e verifique se você pode acessar o Compute Engine na página Instâncias de VM.

   O VPC Service Controls vai negar sua solicitação de acesso ao Compute Engine porque o perímetro MyFirstPerimeter protege My-Project-2 e a API Compute Engine.

Resolver um problema de violação

Os registros de auditoria do VPC Service Controls incluem detalhes sobre solicitações de recursos protegidos e o motivo pelo qual o VPC Service Controls negou a solicitação. Você precisa dessas informações para identificar e resolver o problema da violação no projeto My-Project-2.

Acessar registros de auditoria

1. Encontre o ID exclusivo da violação do VPC Service Controls nos registros de auditoria do projeto My-Project-2:

   1. No console Trusted Cloud , acesse a página Análise de registros.

      Acessar a Análise de registros

      Se você usar a barra de pesquisa para encontrar essa página, selecione o resultado com o subtítulo Logging.

   2. Selecione o projeto My-Project-2.

   3. Para mostrar todos os registros de auditoria, insira a seguinte consulta no campo do editor de consultas:

      resource.type="audited_resource"
      protoPayload.metadata."@type"="type.googleapis.com/google.cloud.audit.VpcServiceControlAuditMetadata"
      

   4. Clique em Executar consulta.

   Essa consulta mostra todos os registros de auditoria do VPC Service Controls. Para encontrar os detalhes da violação ao acessar a API Compute Engine no projeto My-Project-2, verifique o último registro de erros.

   Para mais informações, consulte Visualizar registros.

2. No painel Resultados da consulta, clique em VPC Service Controls ao lado da negação que você quer resolver e clique em Resolver problemas de negação.

   A página do solucionador de problemas do VPC Service Controls é aberta. Essa página mostra o motivo da violação e outras informações, como se ela é de entrada ou saída.

   Neste tutorial, procure as seguintes informações:

   "principalEmail": "USER@DOMAIN"
   "callerIp": "PUBLIC_IP_ADDRESS"
   "serviceName": "compute.googleapis.com"
   "servicePerimeterName":
   "accessPolicies/POLICY_NUMBER/servicePerimeters/MyFirstPerimeter
   "ingressViolations": [
           {
   "targetResource": "projects/PROJECT_NUMBER",
   "servicePerimeter": "accessPolicies/POLICY_NUMBER/servicePerimeters/MyFirstPerimeter"
           }
         ],
   "violationReason": "NO_MATCHING_ACCESS_LEVEL",
   "resourceNames": "PROJECT_ID"
   

   O motivo da violação é "NO_MATCHING_ACCESS_LEVEL". A violação de "NO_MATCHING_ACCESS_LEVEL" ocorre quando o endereço IP, o tipo de dispositivo ou a identidade do usuário não corresponde a nenhuma regra de entrada ou nível de acesso associado ao perímetro. Se o endereço IP do autor da chamada estiver ausente ou aparecer como um endereço IP interno no registro, essa violação pode ser causada por um serviço Trusted Cloud que não é compatível com o VPC Service Controls.

Para corrigir essa negação no projeto My-Project-2, você tem duas opções:

• Crie um nível de acesso que permita o acesso ao endereço IP do sistema para o projeto dentro do perímetro.

• Crie uma regra de entrada que permita o acesso a um cliente de API de fora do perímetro a recursos dentro dele.

A seção a seguir mostra como resolver essa negação criando um nível de acesso.

Criar um nível de acesso

1. No console Trusted Cloud , acesse a página Access Context Manager no escopo da pasta Exercise.

   Acessar o Access Context Manager

2. Crie um nível de acesso com os seguintes detalhes:

   • Em Criar condições em, selecione Modo básico.

   • Em Se a condição for atendida, retorne, selecione Verdadeiro.

   • Selecione o atributo Sub-redes de IP e especifique o endereço IP público do seu sistema.

   • Selecione o atributo Localizações geográficas e especifique sua localização geográfica.

   Esse nível de acesso só permite o acesso quando o endereço IP e a localização geográfica correspondem.

3. Acesse a página VPC Service Controls no escopo da organização.

   Acessar o VPC Service Controls

4. Selecione a política de acesso que você criou anteriormente neste tutorial.

5. Adicione o nível de acesso que você criou no escopo da pasta Exercise ao perímetro MyFirstPerimeter.

Testar o acesso

Depois de adicionar o nível de acesso, verifique se é possível acessar o Compute Engine no projeto My-Project-2 e criar uma instância de VM.

1. No Trusted Cloud console, acesse a página Instâncias de VM:

   Acessar instâncias de VM

2. Crie uma instância de VM.

Após cerca de um minuto, o Compute Engine cria uma instância de VM. Essa ação verifica se você tem acesso total ao Compute Engine protegido dentro do perímetro.