設定 VPC Service Controls

為降低 AlloyDB for PostgreSQL 執行個體資料遭竊的風險，您可以使用 VPC Service Controls 設定 service perimeter 和存取層級，保護 AlloyDB 資源和資料。

如要概略瞭解 VPC Service Controls、其安全性優勢，以及在 Google Cloud 產品中的功能，請參閱「VPC Service Controls 總覽」。

事前準備

  1. 前往 Google Cloud 控制台的「Project Selector」(專案選取器) 頁面。

    前往專案選取器

  2. 選取或 建立 Google Cloud 專案。
  3. 請確認您已為 Google Cloud 專案啟用計費功能。瞭解如何 確認專案是否已啟用計費功能。
  4. 啟用 Compute Engine API。

    啟用 Compute Engine API

  5. 啟用 Service Networking API。

    啟用 Service Networking API

  6. 將 Identity and Access Management (IAM) 角色新增至您用來設定及管理 VPC Service Controls 的使用者或服務帳戶。詳情請參閱「 用於管理 VPC Service Controls 的 IAM 角色」。
  7. 查看搭配使用 VPC Service Controls 與 AlloyDB 的 限制。

使用 VPC Service Controls 保護 AlloyDB

開始之前，請先參閱「VPC Service Controls 總覽」和「使用 VPC Service Controls 時的 AlloyDB 限制」。

為 AlloyDB 專案設定 VPC Service Controls 的步驟如下：

  1. 建立及管理 service perimeter。

    首先，選取要由虛擬私有雲 service perimeter 保護的 AlloyDB 專案，然後建立及管理 service perimeter。

  2. 建立及管理存取層級。

    您也可以視需要使用存取層級，允許外部存取 perimeter 內受保護的資源。存取層級僅適用於來自 service perimeter 外部的受保護資源存取要求。您無法透過存取層級，允許受保護的資源或 VM 存取 perimeter 以外的資料和服務。

建立及管理 service perimeter

如要建立及管理 service perimeter，請完成下列步驟：

  1. 選取要由虛擬私有雲 service perimeter 保護的 AlloyDB 專案。

  2. 按照「建立 service perimeter」的操作說明，建立 service perimeter。

  3. 請在 service perimeter 中新增更多執行個體。如要將現有的 AlloyDB 執行個體新增至 perimeter，請按照「更新 service perimeter」中的操作說明進行。

  4. 將 API 新增至 service perimeter。為降低資料從 AlloyDB 遭竊的風險，您必須限制 AlloyDB API、Compute Engine API、Cloud Storage API、Artifact Registry API、憑證授權單位服務 API 和 Cloud Key Management Service API。如要進一步瞭解如何更新 service perimeter，請參閱 gcloud access-context-manager perimeters update 指令。

    如要將 API 新增為受限制的服務，請按照下列步驟操作：

    控制台

    1. 前往 Google Cloud 控制台的「VPC Service Controls」頁面。

      前往「VPC Service Controls」頁面

    2. 在「VPC Service Controls」頁面的表格中，按一下要修改的 service perimeter 名稱。
    3. 按一下 [編輯]。
    4. 在「Edit VPC Service Perimeter」(編輯虛擬私有雲服務範圍) 頁面中，按一下「Add Services」(新增服務)。
    5. 新增 AlloyDB API、Compute Engine API、Cloud Storage API、Artifact Registry API、憑證授權單位服務 API 和 Cloud KMS API。
    6. 按一下 [儲存]。

    gcloud

    gcloud access-context-manager perimeters update PERIMETER_ID \
--policy=POLICY_ID \
--add-restricted-services=alloydb.googleapis.com,compute.googleapis.com,storage.googleapis.com,artifactregistry.googleapis.com,privateca.googleapis.com,cloudkms.googleapis.com

    更改下列內容：

    • PERIMETER_ID：perimeter 的 ID 或完整 ID。
    • POLICY_ID：存取權政策的 ID。

  5. 如果您啟用了進階查詢洞察功能，請將 databaseinsights.googleapis.com API 新增至 service perimeter，做為受限制的服務：

    控制台

    1. 前往 Google Cloud 控制台的「VPC Service Controls」頁面。

      前往「VPC Service Controls」頁面

    2. 在「VPC Service Controls」頁面的表格中，按一下要修改的 service perimeter 名稱。
    3. 按一下 [編輯]。
    4. 在「Edit VPC Service Perimeter」(編輯虛擬私有雲服務範圍) 頁面中，按一下「Add Services」(新增服務)。
    5. 新增 databaseinsights.googleapis.com。
    6. 按一下 [儲存]。

    gcloud

    gcloud access-context-manager perimeters update PERIMETER_ID \
--policy=POLICY_ID \
--add-restricted-services=databaseinsights.googleapis.com

    更改下列內容：

    • PERIMETER_ID：perimeter 的 ID 或完整 ID。
    • POLICY_ID：存取權政策的 ID。

建立及管理存取層級

如要建立及管理存取層級，請按照「允許 perimeter 外部的受保護資源存取要求」中的說明操作。