Mejora la seguridad con los Controles del servicio de VPC

Google Cloud Search es compatible con los Controles del servicio de VPC para mejorar la seguridad de tus datos. Los Controles del servicio de VPC te permiten definir un perímetro de servicio alrededor de los recursos de Google Cloud Platform para limitar los datos y mitigar los riesgos de robo de datos.

Nota: Cloud Search admite VIP restringida, que proporciona una ruta de red privada para que los datos y los recursos sean inaccesibles desde Internet. Para obtener información sobre cómo configurar un VIP restringido, consulta Cómo configurar una conectividad privada a los servicios y las APIs de Google.

Requisitos previos

Antes de comenzar, instala la interfaz de línea de comandos de gcloud.

Habilita los Controles del servicio de VPC

Para habilitar los Controles del servicio de VPC, haz lo siguiente:

1. Obtén los IDs y números de proyecto del proyecto de Google Cloud Platform que deseas usar. Para obtener los ID y números de los proyectos, consulta Identifica proyectos.

2. Usa gcloud a fin de crear una política de acceso para tu organización en Google Cloud Platform:

   1. Obtén el ID de tu organización.
   2. Crea una política de acceso.
   3. Obtén el nombre de tu política de acceso.
   Nota: Las organizaciones solo pueden tener una política de acceso. Si intentas crear una segunda política de acceso para la organización, se producirá un error.

3. Ejecuta el siguiente comando gcloud para crear un perímetro de servicio con Cloud Search como servicio restringido:

   gcloud access-context-manager perimeters create NAME \
       --title=TITLE \
       --resources=PROJECTS \
       --restricted-services=RESTRICTED-SERVICES \
       --policy=POLICY_NAME
   

   Aquí:

   • NAME es el nombre del perímetro.
   • TITLE es el título legible del perímetro.
   • PROJECTS es una lista separada por comas de uno o más números de proyectos, cada uno de los cuales está precedido por la cadena projects/. Usa los números de proyecto que obtuviste en el paso 1. Por ejemplo, si tuvieras dos proyectos, 12345 y 67890, tu configuración sería --resource=projects/12345, project/67890 .Esta marca solo admite números de proyectos, no nombres ni IDs.
   • RESTRICTED-SERVICES es una lista separada por comas de uno o más servicios. Usa cloudsearch.googleapis.com.
   • POLICY_NAME es el nombre numérico de la política de acceso de tu organización que se obtuvo en el paso 2c.

   Si quieres obtener más información para crear un perímetro de servicio, consulta Crea un perímetro de servicio.

4. Si deseas aplicar restricciones basadas en IP o región, crea niveles de acceso y agrégalos al perímetro de servicio creado en el paso 3 (opcional):

   1. Para crear un nivel de acceso, consulta Cómo crear un nivel de acceso básico. Para ver un ejemplo sobre cómo crear una condición de nivel de acceso que solo permite el acceso desde un rango específico de direcciones IP, como las de una red corporativa, consulta Limita el acceso en una red corporativa.
   2. Después de crear un nivel de acceso, agrégalo al perímetro de servicio. Si deseas obtener instrucciones para agregar un nivel de acceso a un perímetro de servicio, consulta Agrega un nivel de acceso a un perímetro existente. Este cambio puede tardar hasta 30 minutos en propagarse y surtir efecto.

5. Usa la API de REST de Customer Service de Cloud Search para actualizar la configuración del cliente con tu proyecto protegido por el perímetro de los Controles del servicio de VPC:

Nota: Debido a que los recursos de Cloud Search no se almacenan en un proyecto de Google Cloud Platform, debes actualizar la configuración del cliente de Cloud Search con el proyecto protegido por perímetro de los Controles del servicio de VPC. El proyecto de Controles del servicio de VPC actúa como un contenedor de proyecto virtual para todos tus recursos de Cloud Search. Si no se compila este mapeo, los Controles del servicio de VPC no funcionarán para la API de Cloud Search.

1. Obtén un token de acceso de OAuth 2.0 del servidor de autorización de Google. Para obtener información sobre cómo obtener el token, consulta el paso 2 de Usa OAuth 2.0 para acceder a las APIs de Google. Cuando obtengas el token de acceso, usa uno de los siguientes permisos de OAuth: https://www.googleapis.com/auth/cloud_search.settings.indexing, https://www.googleapis.com/auth/cloud_search.settings o https://www.googleapis.com/auth/cloud_search.

2. Ejecuta el siguiente comando curl para configurar el proyecto en la configuración de los controles de servicio de VPC en la configuración del cliente de la Búsqueda de Google Cloud:

   curl --request PATCH \
     'https://cloudsearch.googleapis.com/v1/settings/customer' \
     --header 'Authorization: Bearer [YOUR_ACCESS_TOKEN]' \
     --header 'Accept: application/json' \
     --header 'Content-Type: application/json' \
     --data '{ "vpc_settings": { "project": "projects/PROJECT_ID" } }' \
     --compressed
   

   Aquí:

• YOUR_ACCESS_TOKEN es el token de acceso de OAuth 2.0 que se obtuvo en el paso 5a.

• PROJECT_ID es el ID del proyecto obtenido en el paso 1.

  Si se realiza correctamente, deberías recibir una respuesta 200 OK acompañada de la configuración del cliente actualizada.

Una vez que se completan los pasos anteriores de forma correcta, las restricciones de los Controles del servicio de VPC, como se definen en el perímetro de servicio, se aplican a todas las APIs de Google Cloud Search, las búsquedas en cloudsearch.google.com y la visualización y el cambio de configuración o informes mediante la Consola del administrador. Las solicitudes posteriores a la API de Google Cloud Search que no sigan los niveles de acceso reciben un error PERMISSION_DENIED “Request is prohibited by organization’s policy”.