تحسين الأمان باستخدام عناصر التحكُّم في خدمة VPC

يتوافق Google Cloud Search مع عناصر التحكّم في خدمة VPC لتعزيز أمان بياناتك. تتيح لك عناصر التحكّم في سحابة VPC تحديد محيط خدمة حول موارد Google Cloud Platform لتقييد البيانات والمساعدة في الحدّ من مخاطر استخراج البيانات.

ملاحظة: تتوافق خدمة Cloud Search مع عناوين IP المخصّصة للعملاء المحدّدين، والتي توفّر مسارًا لشبكة خاصة بهدف منع الوصول إلى البيانات والموارد من الإنترنت. للحصول على معلومات عن إعداد ميزة "المستخدم المميّز المحظور"، يُرجى الرجوع إلى مقالة إعداد اتصال خاص بواجهات برمجة تطبيقات Google وخدماتها.

المتطلبات الأساسية

قبل البدء، ثبِّت واجهة سطر أوامر gcloud.

تفعيل عناصر التحكّم في خدمة VPC

لتفعيل عناصر التحكّم في خدمة VPC، اتّبِع الخطوات التالية:

1. احصل على معرّفات المشاريع وأرقامها لمشروع Google Cloud Platform الذي تريد استخدامه. للحصول على أرقام وأرقام تعريف المشاريع، يُرجى الرجوع إلى تحديد المشاريع.

2. استخدِم gcloud لإنشاء سياسة وصول لمؤسستك على Google Cloud Platform:

   1. احصل على رقم تعريف مؤسستك.
   2. أنشئ سياسة وصول.
   3. احصل على اسم سياسة الوصول.
   ملاحظة: يمكن للمؤسسات أن تتّبع سياسة وصول واحدة فقط. إذا حاولت إنشاء سياسة وصول ثانية لمؤسستك، سيظهر خطأ.

3. أنشئ محيط خدمة باستخدام Cloud Search كخدمة مفروض عليها قيود من خلال تنفيذ الأمر gcloud التالي:

   gcloud access-context-manager perimeters create NAME \
       --title=TITLE \
       --resources=PROJECTS \
       --restricted-services=RESTRICTED-SERVICES \
       --policy=POLICY_NAME
   

   المكان:

   • NAME هو اسم المحيط.
   • TITLE هو عنوان المحيط السهل القراءة.
   • PROJECTS هي قائمة مفصولة بفواصل تتضمّن رقم مشروع واحدًا أو أكثر، ويسبق كل رقم السلسلة projects/. استخدِم أرقام المشاريع التي تم الحصول عليها في الخطوة 1. على سبيل المثال، إذا كان لديك مشروعان، المشروع 12345 و67890، سيكون الإعداد هو --resource=projects/12345, project/67890 .لا تتيح هذه العلامة سوى استخدام أرقام المشاريع، ولا تتيح استخدام الأسماء أو أرقام التعريف.
   • RESTRICTED-SERVICES هي قائمة مفصولة بفواصل لخدمة واحدة أو أكثر. استخدِم cloudsearch.googleapis.com.
   • POLICY_NAME هو الاسم الرقمي لسياسة الوصول في مؤسستك الذي تم الحصول عليه في الخطوة 2(ج).

   لمزيد من المعلومات حول كيفية إنشاء حدود خدمة، يُرجى الرجوع إلى مقالة إنشاء حدود خدمة.

4. (اختياري) إذا كنت تريد تطبيق قيود مستندة إلى عنوان IP أو المنطقة، أنشئ مستويات وصول وأضفها إلى نطاق الخدمة الذي تم إنشاؤه في الخطوة 3:

   1. لإنشاء مستوى وصول، يُرجى الرجوع إلى مقالة إنشاء مستوى وصول أساسي. للحصول على مثال على كيفية إنشاء شرط مستوى وصول لا يسمح إلا بالوصول من نطاق معيّن من عناوين IP، مثل العناوين ضمن شبكة شركة، يُرجى الاطّلاع على مقالة حصر الوصول إلى شبكة شركة.
   2. بعد إنشاء مستوى وصول، أضِفه إلى حدود الخدمة. للحصول على تعليمات حول إضافة مستوى وصول إلى حدود الخدمة، يُرجى الاطّلاع على مقالة إضافة مستوى وصول إلى حدود خدمة حالية. قد يستغرق تنفيذ هذا التغيير ما يصل إلى 30 دقيقة.

5. استخدِم واجهة برمجة التطبيقات REST API لخدمة العملاء في Cloud Search لتعديل إعدادات العميل باستخدام مشروعك المحمي بمحيط عناصر التحكّم في خدمة سحابة VPC:

ملاحظة: بما أنّه لا يتم تخزين موارد Cloud Search في أحد مشاريع Google Cloud Platform، يجب تعديل إعدادات عملاء Cloud Search باستخدام المشروع المحمي بعناصر التحكّم في خدمة VPC. يعمل مشروع عناصر التحكّم في خدمة سحابة VPC كأحد حاويات المشاريع الافتراضية لجميع موارد Cloud Search. بدون إنشاء هذا الربط، لن تعمل عناصر التحكّم في خدمة سحابة VPC مع Cloud Search API.

1. الحصول على رمز مميّز للوصول إلى OAuth 2.0 من "خادم مصادقة Google" للحصول على معلومات عن الحصول على الرمز المميّز، يُرجى الرجوع إلى الخطوة 2 من مقالة استخدام بروتوكول OAuth 2.0 للوصول إلى Google APIs. عند الحصول على رمز الوصول، استخدِم أحد نطاقات OAuth التالية: https://www.googleapis.com/auth/cloud_search.settings.indexing أو https://www.googleapis.com/auth/cloud_search.settings أو https://www.googleapis.com/auth/cloud_search

2. نفِّذ الأمر curl التالي لضبط المشروع في إعدادات VPC Service Controls ضمن إعدادات "إعدادات العميل" في Google Cloud Search:

   curl --request PATCH \
     'https://cloudsearch.googleapis.com/v1/settings/customer' \
     --header 'Authorization: Bearer [YOUR_ACCESS_TOKEN]' \
     --header 'Accept: application/json' \
     --header 'Content-Type: application/json' \
     --data '{ "vpc_settings": { "project": "projects/PROJECT_ID" } }' \
     --compressed
   

   المكان:

• YOUR_ACCESS_TOKEN هو رمز الدخول عبر OAuth 2.0 الذي تم الحصول عليه في الخطوة 5(أ).

• PROJECT_ID هو رقم تعريف المشروع الذي تم الحصول عليه في الخطوة 1.

  إذا كانت الاستجابة ناجحة، من المفترض أن يصلك ردّ 200 OK مصحوبًا بإعدادات العميل المعدَّلة.

بعد إكمال الخطوات أعلاه بنجاح، يتم تطبيق قيود عناصر التحكّم في خدمة "سحابة VPC"، كما هو محدّد في نطاق الخدمة، على جميع واجهات برمجة التطبيقات في "بحث Google Cloud"، والعمليات البحثية في cloudsearch.google.com، وعرض الإعدادات أو التقارير وتعديلها باستخدام "وحدة تحكّم المشرف". تتلقّى الطلبات الإضافية التي يتم إرسالها إلى واجهة برمجة التطبيقات Google Cloud Search API والتي لا تلتزم بمستويات الوصول خطأ PERMISSION_DENIED “Request is prohibited by organization’s policy”.