Yetkili bir kullanıcı, yetkili olduğu veriyi kendi kişisel projesindeki bir kovaya kopyalayabilir. IAM bunu engellemez çünkü kullanıcı gerçekten yetkilidir. VPC Service Controls, verinin çıkabileceği sınırı çizer.
Çevre oluşturmadan önce: kuru mod
Çevreyi doğrudan uygulamak, bilmediğiniz entegrasyonları keser. Önce dry-run ile çalıştırın:
gcloud access-context-manager perimeters create uretim-cevre \
--title="Üretim veri çevresi" \
--resources=projects/123456789 \
--restricted-services=storage.googleapis.com,bigquery.googleapis.com \
--policy=987654321 \
--perimeter-type=regular \
--dry-runİhlalleri okuyun
Kuru modda gerçek engelleme olmaz, ama günlüğe kayıt düşer:
protoPayload.metadata.dryRun="true"
protoPayload.metadata.@type="type.googleapis.com/google.cloud.audit.VpcServiceControlAuditMetadata"Çıkan her kayıt, çevre açıldığında kırılacak bir erişimdir. Bu liste, erişim düzeyleri (access levels) ve giriş/çıkış kurallarıyla ele alacağınız iş listesidir.
Sık karşılaşılan üç kırılma
- CI/CD — dağıtım hattı çevre dışından çalışıyorsa giriş kuralı gerekir.
- BigQuery dış sorguları — başka projedeki veri kümesine erişim engellenir.
- Yönetim konsolu — kurumsal ağ dışından erişen yöneticiler için erişim düzeyi tanımlayın.
Yayına alma
gcloud access-context-manager perimeters update uretim-cevre \
--policy=987654321 --enforce-dry-run-configDoğrulama adımı
Çevre yayına alındıktan sonra iki test yapın: çevre içindeki bir makineden korumalı kovaya erişin — çalışmalı. Çevre dışındaki kişisel bir projeden aynı kovayı listeleyin — VPC Service Controls hatası dönmeli. İkinci test yapılmadan çevre çalışıyor sayılamaz; kuru modda kalmış bir çevre hiçbir şey korumaz.