הגדרה של מרכז הבקרה בנושא הפרות וצפייה בו

בדף הזה מוסבר איך להגדיר את לוח הבקרה של הפרות VPC Service Controls ואיך להשתמש בו כדי לראות את הפרטים על דחיות גישה לפי גבולות גזרה לשירות בארגון.

עלות

כשמשתמשים בלוח הבקרה של הפרות VPC Service Controls, צריך לקחת בחשבון את העלויות שנובעות מהשימוש ברכיבים הבאים של Cloud de Confianceשחלים עליהם חיובים:

• במהלך ההגדרה של מרכז הבקרה של ההפרות, אתם פורסים משאבים של Cloud Logging בארגון, ולכן אתם צוברים עלויות על השימוש במשאבים האלה.

• מכיוון שאתם משתמשים ביעד של נתב יומנים ברמת הארגון עבור לוח הבקרה של ההפרות, מערכת VPC Service Controls משכפלת את כל יומני הביקורת שלכם בקטגוריית היומנים שהוגדרה. השימוש בדלי יומנים כרוך בעלויות. כדי להעריך את העלות הפוטנציאלית של השימוש בדלי ליומנים, צריך להריץ שאילתה ולחשב את נפח יומני הביקורת. מידע נוסף על שליחת שאילתות לגבי היומנים הקיימים מופיע במאמר הצגת יומנים.

למידע על התמחור של Cloud Logging ו-Cloud Monitoring, ראו תמחור של Google Cloud Observability.

לפני שמתחילים

1. In the Cloud de Confiance console, on the project selector page, select or create a Cloud de Confiance project.

   Roles required to select or create a project

   • Select a project: Selecting a project doesn't require a specific IAM role—you can select any project that you've been granted a role on.
   • Create a project: To create a project, you need the Project Creator role (roles/resourcemanager.projectCreator), which contains the resourcemanager.projects.create permission. Learn how to grant roles.

   Go to project selector

2. Verify that billing is enabled for your Cloud de Confiance project.

3. Enable the Service Usage API, if it is not already enabled.

   Roles required to enable APIs

   To enable APIs, you need the serviceusage.services.enable permission. If you created the project, then you likely already have this permission through the Owner role (roles/owner). Otherwise, you can get this permission through the Service Usage Admin role (roles/serviceusage.serviceUsageAdmin). Learn how to grant roles.

   Enable the API

התפקידים הנדרשים

• כדי לקבל את ההרשאות שדרושות להגדרת לוח הבקרה של ההפרות, צריך לבקש מהאדמין להקצות לכם את תפקידי ה-IAM הבאים:

  • אדמין של Logging (roles/logging.admin) בארגון
  • אדמין של Logging (roles/logging.admin) בפרויקט שבו מגדירים את מאגר היומנים

  להסבר על מתן תפקידים, ראו איך מנהלים את הגישה ברמת הפרויקט, התיקייה והארגון.

  התפקידים המוגדרים מראש האלה מכילים את ההרשאות שנדרשות להגדרת לוח הבקרה של ההפרות. כדי לראות בדיוק אילו הרשאות נדרשות, אפשר להרחיב את הקטע ההרשאות הנדרשות:

  ההרשאות הנדרשות

  כדי להגדיר את לוח הבקרה של ההפרות, נדרשות ההרשאות הבאות:

  • כדי להציג רשימה של מאגרי היומנים מהפרויקט שנבחר: logging.buckets.list
  • כדי ליצור מאגר חדש ליומנים: logging.buckets.create
  • כדי להפעיל את Observability Analytics בדלי היומנים שנבחר: logging.buckets.update
  • כדי ליצור יעד חדש של Log Router: logging.sinks.create

  יכול להיות שתקבלו את ההרשאות האלה באמצעות תפקידים בהתאמה אישית או תפקידים מוגדרים מראש אחרים.

• כדי לקבל את ההרשאות שדרושות בשביל להציג את לוח הבקרה של ההפרות, אתם צריכים לבקש מהאדמין לתת לכם את התפקידים הבאים ב-IAM:

  • ‫Logs View Accessor (roles/logging.viewAccessor) בפרויקט שבו מגדירים את מאגר היומנים
  • כדי לפתור בעיות של דחיות גישה: VPC Service Controls Troubleshooter Viewer (roles/accesscontextmanager.vpcScTroubleshooterViewer) בארגון

  להסבר על מתן תפקידים, ראו איך מנהלים את הגישה ברמת הפרויקט, התיקייה והארגון.

  התפקידים המוגדרים מראש האלה כוללים את ההרשאות שנדרשות לצפייה בלוח הבקרה של ההפרות. כדי לראות בדיוק אילו הרשאות נדרשות, אפשר להרחיב את הקטע ההרשאות הנדרשות:

  ההרשאות הנדרשות

  כדי לראות את לוח הבקרה של ההפרות, נדרשות ההרשאות הבאות:

  • כדי להציג את השמות של מדיניות הגישה: accesscontextmanager.policies.list
  • כדי להציג את שמות הפרויקטים: resourcemanager.projects.get

  יכול להיות שתקבלו את ההרשאות האלה באמצעות תפקידים בהתאמה אישית או תפקידים מוגדרים מראש אחרים.

הגדרת לוח הבקרה

כדי להגדיר את לוח הבקרה של ההפרות, צריך להגדיר מאגר יומנים כדי לצבור את יומני הביקורת של VPC Service Controls וליצור יעד של Log Router ברמת הארגון שינתב את כל יומני הביקורת של VPC Service Controls למאגר היומנים.

כדי להגדיר את מרכז הבקרה של ההפרות בארגון, מבצעים את הפעולות הבאות פעם אחת:

1. נכנסים לדף VPC Service Controls במסוף Cloud de Confiance .

   מעבר אל VPC Service Controls

   אם מתבקשים, בוחרים את הארגון. אפשר לגשת לדף VPC Service Controls רק ברמת הארגון.

2. בדף VPC Service Controls, לוחצים על Violation dashboard (מרכז בקרה להפרות).

3. בדף Violation dashboard setup, בשדה Project, בוחרים את הפרויקט שמכיל את מאגר היומנים שבו רוצים לצבור את יומני הביקורת.

4. בקטע יעד של מאגר יומנים, בוחרים באפשרות מאגר יומנים קיים או באפשרות יצירת מאגר יומנים חדש.

   • אם רוצים להשתמש בקטגוריית יומנים קיימת, בוחרים את קטגוריית היומנים הרצויה מתוך הרשימה Log bucket (קטגוריית יומנים).

   • אם יוצרים מאגר חדש ליומנים, מזינים את המידע הנדרש בשדות הבאים:

     1. שם: שם לקטגוריית היומנים.

     2. תיאור: תיאור של מאגר היומנים.

     3. אזור: האזור שבו רוצים לאחסן את היומנים.

     4. תקופת שמירה: משך זמן מותאם אישית שבו Cloud Logging צריך לשמור את היומנים.

     מידע נוסף על השדות האלה זמין במאמר יצירת קטגוריה.

5. לוחצים על Create log router sink (יצירת יעד של נתבי יומנים). התכונה VPC Service Controls יוצרת יעד חדש של Log Router בשם reserved_vpc_sc_dashboard_log_router בפרויקט שנבחר.

הפעולה הזו נמשכת כדקה.

צפייה בדחיות גישה במרכז הבקרה

אחרי שמגדירים את מרכז הבקרה של ההפרות, אפשר להשתמש בו כדי לראות את הפרטים על דחיות גישה לפי גבולות גזרה לשירות בארגון.

1. נכנסים לדף VPC Service Controls במסוף Cloud de Confiance .

   מעבר אל VPC Service Controls

   אם מתבקשים, בוחרים את הארגון. אפשר לגשת לדף VPC Service Controls רק ברמת הארגון.

2. בדף VPC Service Controls, לוחצים על Violation dashboard (מרכז בקרה להפרות). יופיע הדף לוח הבקרה של ההפרות.

בדף לוח הבקרה של ההפרות, אפשר לבצע את הפעולות הבאות:

• סינון: ברשימה filter_list Filter, בוחרים את האפשרויות הרצויות כדי לסנן ולהציג נתונים ספציפיים – למשל, principal, מדיניות גישה, משאב. כדי להחיל ערך ספציפי מאחת הטבלאות כמסנן, לוחצים על filter_alt הוספת מסנן לפני הערך.

• מרווחי זמן: כדי לבחור את טווח התאריכים של הנתונים, לוחצים על אחד ממרווחי הזמן המוגדרים מראש. כדי להגדיר טווח תאריכים בהתאמה אישית, לוחצים על בהתאמה אישית.

• טבלאות ותרשימים: גוללים בדף מרכז השליטה בנושא הפרות כדי לראות את הנתונים שמסווגים בטבלאות ובתרשימים שונים. בלוח הבקרה של ההפרות מוצגים התרשימים והטבלאות הבאים:

  • הפרות

  • מספר ההפרות

  • ההפרות העיקריות לפי חשבון משתמש

  • ההפרות העיקריות לפי כתובת IP ראשית

  • ההפרות העיקריות לפי שירות

  • ההפרות העיקריות לפי שיטה

  • ההפרות העיקריות לפי משאב

  • ההפרות העיקריות לפי גבולות גזרה לשירות

  • ההפרות העיקריות לפי מדיניות הגישה

• ספירה: בטבלה הפרות מפורט מספר הפעמים שבהן נדחתה הגישה לכל משתמש בעמודה ספירה, ואילו בעמודה המופע האחרון מוצג חותם הזמן של הדחייה האחרונה. העמודות ספירה ייחודית בטבלאות אחרות בלוח הבקרה של ההפרות מציגות מקרים ייחודיים שמקובצים לפי מאפיינים כמו משתמש ראשי, כתובת IP של משתמש ראשי ושירות.

• פתרון בעיות שקשורות לסירוב גישה: לוחצים על הטוקן בעמודה פתרון בעיות שקשורות לטוקן בטבלה הפרות כדי לפתוח את כלי הניתוח של ההפרות ולראות את תוצאת פתרון הבעיות שקשורות לסירוב הגישה. בעמודה הזו מוצג רק האסימון האחרון לפתרון בעיות שקשור לסירוב הגישה. כדי לראות את כל המקרים של דחיית הגישה, לוחצים על unfold_more הרחבה. נפתחת החלונית Violation instances (מופעים של הפרות) ומופיעים בה כל האסימונים של הדחייה, יחד עם חותמות הזמן והמזהים הייחודיים שלהם. לחיצה על טוקן בחלונית הזו תפתח את תוצאת פתרון הבעיות של דחיית הגישה.

  מידע על השימוש בכלי לניתוח הפרות זמין במאמרים אבחון דחיית גישה בכלי לניתוח הפרות ופתרון של דחיות גישה באמצעות הצעות לתיקון.

• חלוקה לדפים: בלוח הבקרה בנושא הפרות, הנתונים שמוצגים בכל הטבלאות מחולקים לדפים. לוחצים על chevron_left הקודם ועל chevron_right הבא כדי לנווט ולראות את הנתונים שמוצגים בדפים.

• שינוי אובייקט מסוג sink בניתוב יומנים: כדי לשנות את אובייקט ה-sink שהוגדר בניתוב היומנים, לוחצים על עריכת אובייקט מסוג sink ביומן.

  מידע על שינוי של אובייקט מסוג sink בניתוב יומנים זמין במאמר ניהול אובייקטים מסוג sink.

פתרון בעיות

אם נתקלתם בבעיות בשימוש בלוח הבקרה בנושא הפרות, כדאי לנסות לפתור אותן לפי ההוראות שמפורטות בקטעים הבאים.

הגישה לחשבון המשתמש שלכם נחסמה על ידי גבולות גזרה לשירות

אם נתקלתם בשגיאה בגלל הרשאות לא מספיקות, בדקו אם יש גבולות גזרה לשירות בארגון שחוסמים את הגישה ל-Cloud Logging API. כדי לפתור את הבעיה, צריך ליצור כלל תעבורת נתונים נכנסת (ingress) שמאפשר גישה אל Cloud Logging API:

1. נכנסים לדף VPC Service Controls במסוף Cloud de Confiance .

   מעבר אל VPC Service Controls

   אם מתבקשים, בוחרים את הארגון.

2. בדף VPC Service Controls, לוחצים על גבולות גזרה לשירות שמגן על הפרויקט שמכיל את מאגר היומנים.

3. יוצרים כלל תעבורת נתונים נכנסת (ingress) שמאפשר גישה ל-Cloud Logging API בפרויקט.

הגישה לקטגוריית היומנים נדחתה על ידי גבולות גזרה לשירות

אם VPC Service Controls לא מעביר את יומני הביקורת שלכם לקטגוריה ביומן שהגדרתם, יכול להיות שתצטרכו ליצור כלל תעבורת נתונים נכנסת (ingress) שמאפשר לחשבון השירות של יעד Log Router לגשת ל-Cloud Logging API בגבולות גזרה לשירות:

1. נכנסים לדף Log Router במסוף Cloud de Confiance .

   מעבר אל Log Router

2. בדף Log Router, לוחצים על more_vert תפריט ליד יעד Log Router שהוגדר, ואז בוחרים באפשרות View sink details (הצגת פרטי היעד).

3. בתיבת הדו-שיח פרטי יעד, מעתיקים את חשבון השירות שמשמש את יעד נתבי היומן מהשדה זהות הכתיבה.

4. נכנסים לדף VPC Service Controls במסוף Cloud de Confiance .

   מעבר אל VPC Service Controls

   אם מתבקשים, בוחרים את הארגון.

5. בדף VPC Service Controls, לוחצים על גבולות הגזרה לשירות שמגינים על הפרויקט שמכיל את הקטגוריה של היומן.

6. יוצרים כלל תעבורה נכנסת שמאפשר לחשבון השירות של יעד נתוני היומן בנתב היומנים לגשת אל Cloud Logging API בפרויקט.

מגבלות

• ‫VPC Service Controls לא ממלא מחדש את יומני הביקורת מקטגוריות אחרות ברמת הפרויקט:

  • אם יוצרים קטגוריה חדשה של יומנים במהלך ההגדרה של מרכז הבקרה בנושא הפרות, שירות VPC Service Controls לא ימלא מחדש את היומנים הקיימים מפרויקטים אחרים בארגון בקטגוריה החדשה של היומנים. לוח הבקרה יופיע ריק עד ש-VPC Service Controls ירשום הפרות חדשות ביומנים וינתב את היומנים האלה לדלי היומנים החדש.

  • אם בוחרים מאגר קיים של יומנים במהלך ההגדרה של מרכז הבקרה של ההפרות, במרכז הבקרה מוצג מידע על כל היומנים הקיימים ממאגר היומנים שנבחר. בלוח הבקרה לא מוצגים יומנים מפרויקטים אחרים בארגון, כי VPC Service Controls לא ממלא את היומנים האלה באופן אוטומטי בדלי היומנים שנבחר.

המאמרים הבאים

• פתרון בעיות של דחיית גישה באמצעות הצעות לתיקון (תצוגה מקדימה)
• יומן ביקורת של VPC Service Controls
• איך מאבחנים דחיית גישה בכלי לניתוח הפרות ואיך צופים בדוח ההערכה המקיף.
• אבחון של דחיית גישה והצגת הדוח הקלאסי
• פתרון בעיות נפוצות ב-VPC Service Controls עם שירותי Cloud de Confiance by S3NS