使用服務範圍保護 NetApp Volumes

本頁面說明如何使用 VPC Service Controls，透過服務範圍保護 Google Cloud NetApp Volumes 磁碟區。

VPC Service Controls 可建立服務範圍，防止未經授權存取資料，藉此提升 Google Cloud 服務的安全性。這個 perimeter 可防範外部或內部實體意外或蓄意竊取資料的行為。如要授予存取權，您必須將實體新增至範圍。如要進一步瞭解 VPC Service Controls，請參閱「VPC Service Controls 總覽」。

VPC Service Controls 可保護 NetApp Volumes API 的存取權，該 API 用於管理 NetApp Volumes 資源。您無法透過這個 API 存取書籍內容。

系統會使用 NFS、SMB 或 iSCSI 通訊協定，授予磁碟區內容的資料存取權。透過這些通訊協定專屬的磁碟區和檔案存取權控管機制，保護資料存取安全，不受 VPC Service Controls 影響。如要連線至磁碟區，NFS、SMB 或 iSCSI 用戶端必須連線至與磁碟區相同的網路。詳情請參閱下列章節：

使用 VPC Service Controls 保護磁碟區

  1. 建立服務範圍。

  2. 將 NetApp Volumes API 新增至服務範圍。 如要瞭解如何將服務新增至 service perimeter，請參閱「更新 service perimeter」。

VPC Service Controls 限制

NetApp Volumes 的部分功能需要存取您周邊的 Google 資源。啟用 VPC Service Controls 時，下列功能已知會導致問題。

  • 客戶自行管理的加密金鑰 (CMEK)：NetApp Volumes 必須有權存取您為 CMEK 指定的 KMS 金鑰。詳情請參閱「驗證金鑰存取權」。

  • 跨專案的磁碟區複製 (已列入允許清單的正式發行 (GA) 功能)：對於 Flex Unified、Standard、Premium 和 Extreme 服務層級，不同範圍內的專案間複製作業需要兩個專案中的 VPC Service Controls 輸出和輸入規則，才能允許 NetApp API 流程。詳情請參閱磁碟區複製注意事項。

如要進一步瞭解 VPC Service Controls 支援的產品與服務，請參閱「支援的產品和限制」。

跨專案磁碟區複製的 VPC Service Controls 規則

如要啟用跨專案磁碟區複製功能，您必須為來源和目的地專案的 VPC Service Controls 範圍新增輸出和輸入規則。

輸出規則

在跨專案磁碟區複製作業的來源和目的地專案中，新增下列輸出規則。

套用規則前，請務必將 SOURCE_PROJECT 和 DESTINATION_PROJECT 替換為專案 ID。在 identities 欄位中，新增管理複製作業的 NetApp Volumes 管理員 Google ID。

   {
       "egressFrom": {
           "identities": [
               "your_google_id@your_domain.com"
           ],
           "sources": [
               {
                   "resource": "projects/SOURCE_PROJECT"
               },
               {
                   "resource": "projects/DESTINATION_PROJECT"
               }
           ]
       },
       "egressTo": {
           "operations": [
               {
                   "methodSelectors": [
                       {
                           "method": "*"
                       }
                   ],
                   "serviceName": "netapp.googleapis.com"
               }
           ],
           "resources": [
               "projects/SOURCE_PROJECT",
               "projects/DESTINATION_PROJECT"
           ]
       },
       "title": "NetApp Volumes cross-project volume replication"
   }

輸入規則

在跨專案磁碟區複製作業的來源和目的地專案中，新增下列連入規則。

套用規則前，請務必將 SOURCE_PROJECT 和 DESTINATION_PROJECT 替換為專案 ID。在 identities 欄位中，新增管理複製作業的 NetApp Volumes 管理員 Google ID。

   {
       "ingressFrom": {
           "identities": [
               "your_google_id@your_domain.com"
           ],
           "sources": [
               {
                   "resource": "projects/SOURCE_PROJECT"
               },
               {
                   "resource": "projects/DESTINATION_PROJECT"
               }
           ]
       },
       "ingressTo": {
           "operations": [
               {
                   "methodSelectors": [
                       {
                           "method": "*"
                       }
                   ],
                   "serviceName": "netapp.googleapis.com"
               }
           ],
           "resources": [
               "projects/SOURCE_PROJECT",
               "projects/DESTINATION_PROJECT"
           ]
       },
       "title": "NetApp Volumes cross-project volume replication"
   }

後續步驟

設定 Google Cloud NetApp Volumes 的存取權。