वीपीसी सेवा नियंत्रण से सुरक्षा बढ़ाएं

Google Cloud Search, आपके डेटा की सुरक्षा को बेहतर बनाने के लिए, VPC सेवा कंट्रोल के साथ काम करता है. VPC सर्विस कंट्रोल की मदद से, Google Cloud Platform के संसाधनों के लिए सेवा पेरीमीटर तय किया जा सकता है. इससे डेटा को सीमित किया जा सकता है और डेटा बाहर निकाले जाने के जोखिम को कम करने में मदद मिलती है.

ध्यान दें: Cloud Search, प्रतिबंधित वीआईपी के साथ काम करता है. इससे, इंटरनेट से डेटा और संसाधनों को ऐक्सेस नहीं किया जा सकता. इसके लिए, एक निजी नेटवर्क रूट उपलब्ध कराया जाता है. पाबंदी वाले वीआईपी खाते को सेट अप करने के बारे में जानने के लिए, Google के एपीआई और सेवाओं के लिए निजी कनेक्टिविटी सेट अप करना लेख पढ़ें.

ज़रूरी शर्तें

शुरू करने से पहले, gcloud कमांड-लाइन इंटरफ़ेस इंस्टॉल करें.

VPC सर्विस कंट्रोल चालू करना

VPC सर्विस कंट्रोल चालू करने के लिए:

1. उस Google Cloud Platform प्रोजेक्ट के प्रोजेक्ट आईडी और प्रोजेक्ट नंबर पाएं जिसका इस्तेमाल करना है. प्रोजेक्ट आईडी और नंबर पाने के लिए, प्रोजेक्ट की पहचान करना लेख पढ़ें.

2. अपने Google Cloud Platform संगठन के लिए ऐक्सेस की नीति बनाने के लिए, gcloud का इस्तेमाल करें:

   1. अपना संगठन आईडी पाएं.
   2. ऐक्सेस से जुड़ी नीति बनाएं.
   3. ऐक्सेस से जुड़ी नीति का नाम पाना.
   ध्यान दें: संगठनों के लिए, ऐक्सेस से जुड़ी सिर्फ़ एक नीति हो सकती है. अगर अपने संगठन के लिए, ऐक्सेस से जुड़ी दूसरी नीति बनाने की कोशिश की जाती है, तो गड़बड़ी का मैसेज दिखता है.

3. Cloud Search को प्रतिबंधित सेवा के तौर पर इस्तेमाल करके, सेवा का परिधि बनाएं. इसके लिए, gcloud का यह कमांड चलाएं:

   gcloud access-context-manager perimeters create NAME \
       --title=TITLE \
       --resources=PROJECTS \
       --restricted-services=RESTRICTED-SERVICES \
       --policy=POLICY_NAME
   

   कहां:

   • NAME, पेरिमीटर का नाम है.
   • TITLE, परिधि का ऐसा टाइटल है जिसे कोई भी व्यक्ति आसानी से पढ़ सकता है.
   • PROJECTS, एक या एक से ज़्यादा प्रोजेक्ट नंबर की कॉमा से अलग की गई सूची होती है. हर प्रोजेक्ट नंबर के पहले projects/ स्ट्रिंग होती है. पहले चरण में मिले प्रोजेक्ट नंबर इस्तेमाल करें. उदाहरण के लिए, अगर आपके पास दो प्रोजेक्ट, प्रोजेक्ट 12345 और 67890 हैं, तो आपकी सेटिंग --resource=projects/12345, project/67890 होगी. यह फ़्लैग सिर्फ़ प्रोजेक्ट नंबर के साथ काम करता है. यह नाम या आईडी के साथ काम नहीं करता.
   • RESTRICTED-SERVICES, एक या उससे ज़्यादा सेवाओं की कॉमा से अलग की गई सूची है. cloudsearch.googleapis.com का इस्तेमाल करें.
   • POLICY_NAME, आपके संगठन की ऐक्सेस नीति का अंकों वाला नाम है. यह नीति, दूसरे चरण के सी चरण में मिली थी.

   सेवा पैरामीटर बनाने के तरीके के बारे में ज़्यादा जानने के लिए, सेवा पैरामीटर बनाना लेख पढ़ें.

4. (ज़रूरी नहीं) अगर आपको आईपी या इलाके के हिसाब से पाबंदियां लगानी हैं, तो ऐक्सेस लेवल बनाएं और उन्हें तीसरे चरण में बनाए गए सेवा के पेरिमीटर में जोड़ें:

   1. ऐक्सेस लेवल बनाने के लिए, बेसिक ऐक्सेस लेवल बनाना लेख पढ़ें. ऐक्सेस लेवल की ऐसी शर्त बनाने का उदाहरण, जो सिर्फ़ किसी खास रेंज के आईपी पतों से ऐक्सेस करने की अनुमति देती है. जैसे, किसी कॉर्पोरेट नेटवर्क में मौजूद आईपी पते. इसके लिए, कॉर्पोरेट नेटवर्क पर ऐक्सेस को सीमित करना लेख पढ़ें.
   2. ऐक्सेस लेवल बनाने के बाद, उसे सेवा के दायरे में जोड़ें. सेवा के पेरिमीटर में ऐक्सेस लेवल जोड़ने के बारे में निर्देश पाने के लिए, मौजूदा पेरिमीटर में ऐक्सेस लेवल जोड़ना लेख पढ़ें. इस बदलाव को लागू होने में 30 मिनट लग सकते हैं.

5. VPC सर्विस कंट्रोल के पेरीमीटर से सुरक्षित प्रोजेक्ट की मदद से, ग्राहक की सेटिंग अपडेट करने के लिए, Cloud Search की ग्राहक सेवा के REST API का इस्तेमाल करें:

ध्यान दें: Cloud Search के संसाधन, Google Cloud Platform प्रोजेक्ट में सेव नहीं किए जाते. इसलिए, आपको Cloud Search के ग्राहक की सेटिंग को, VPC सेवा कंट्रोल के परिधि से सुरक्षित प्रोजेक्ट के साथ अपडेट करना होगा. VPC सर्विस कंट्रोल प्रोजेक्ट, आपके सभी Cloud Search संसाधनों के लिए वर्चुअल प्रोजेक्ट कंटेनर के तौर पर काम करता है. यह मैपिंग बनाए बिना, VPC सर्विस कंट्रोल, Cloud Search API के लिए काम नहीं करेगा.

1. Google के ऑथराइज़ेशन सर्वर से OAuth 2.0 का ऐक्सेस टोकन पाएं. टोकन पाने के बारे में जानकारी पाने के लिए, Google API को ऐक्सेस करने के लिए OAuth 2.0 का इस्तेमाल करना लेख का दूसरा चरण देखें. ऐक्सेस टोकन पाने के लिए, इनमें से किसी एक OAuth स्कोप का इस्तेमाल करें: https://www.googleapis.com/auth/cloud_search.settings.indexing, https://www.googleapis.com/auth/cloud_search.settings या https://www.googleapis.com/auth/cloud_search

2. Google Cloud Search में ग्राहक सेटिंग में जाकर, VPC सर्विस कंट्रोल की सेटिंग में प्रोजेक्ट सेट करने के लिए, यहां दिया गया curl कमांड चलाएं:

   curl --request PATCH \
     'https://cloudsearch.googleapis.com/v1/settings/customer' \
     --header 'Authorization: Bearer [YOUR_ACCESS_TOKEN]' \
     --header 'Accept: application/json' \
     --header 'Content-Type: application/json' \
     --data '{ "vpc_settings": { "project": "projects/PROJECT_ID" } }' \
     --compressed
   

   कहां:

• YOUR_ACCESS_TOKEN, पांचवें चरण के पहले सेक्शन में मिला OAuth 2.0 ऐक्सेस टोकन है.

• PROJECT_ID, पहले चरण में मिला प्रोजेक्ट आईडी है.

  अगर अनुरोध पूरा हो जाता है, तो आपको 200 OK रिस्पॉन्स के साथ ग्राहक की अपडेट की गई सेटिंग मिलनी चाहिए.

ऊपर दिए गए चरणों को पूरा करने के बाद, सेवा के पेरिमीटर में बताई गई वीपीसी सर्विस कंट्रोल की पाबंदियां, Google Cloud Search के सभी एपीआई, cloudsearch.google.com पर की जाने वाली खोजों, और Admin console का इस्तेमाल करके कॉन्फ़िगरेशन या रिपोर्ट देखने और उनमें बदलाव करने पर लागू हो जाती हैं. Google Cloud Search API के ऐसे अनुरोधों को PERMISSION_DENIED “Request is prohibited by organization’s policy” गड़बड़ी का मैसेज मिलता है जो ऐक्सेस लेवल का पालन नहीं करते.