वीपीसी सेवा नियंत्रण से सुरक्षा बढ़ाएं

Google Cloud Search, आपके डेटा की सुरक्षा को बेहतर बनाने के लिए, VPC सेवा कंट्रोल के साथ काम करता है. VPC सर्विस कंट्रोल की मदद से, Google Cloud Platform के संसाधनों के लिए सर्विस पेरीमीटर सेट किया जा सकता है. इससे डेटा को सीमित किया जा सकता है और डेटा बाहर निकाले जाने के जोखिमों को कम किया जा सकता है.

ध्यान दें: Cloud Search, प्रतिबंधित वीआईपी के साथ काम करता है. इससे, इंटरनेट से डेटा और संसाधनों को ऐक्सेस नहीं किया जा सकता. इसके लिए, एक निजी नेटवर्क रूट उपलब्ध कराया जाता है. पाबंदी वाले वीआईपी खाते को सेट अप करने के बारे में जानकारी पाने के लिए, Google के एपीआई और सेवाओं के लिए निजी कनेक्टिविटी सेट अप करना लेख पढ़ें.

ज़रूरी शर्तें

शुरू करने से पहले, gcloud कमांड-लाइन इंटरफ़ेस इंस्टॉल करें.

VPC सर्विस कंट्रोल चालू करें

VPC सर्विस कंट्रोल चालू करने के लिए:

1. आपको जिस Google Cloud Platform प्रोजेक्ट का इस्तेमाल करना है उसके प्रोजेक्ट आईडी और प्रोजेक्ट नंबर पाएं. प्रोजेक्ट आईडी और नंबर पाने के लिए, प्रोजेक्ट की पहचान करना देखें.

2. अपने Google Cloud Platform संगठन के लिए ऐक्सेस की नीति बनाने के लिए, gcloud का इस्तेमाल करें:

   1. अपना संगठन आईडी पाएं.
   2. ऐक्सेस की नीति बनाएं.
   3. ऐक्सेस नीति का नाम पाना.
   ध्यान दें: संगठनों के पास ऐक्सेस की सिर्फ़ एक नीति हो सकती है. अगर अपने संगठन के लिए, ऐक्सेस से जुड़ी दूसरी नीति बनाने की कोशिश की जाती है, तो गड़बड़ी का मैसेज मिलता है.

3. यहां दिया गया gcloud कमांड चलाकर, सीमित सेवा के तौर पर Cloud Search के साथ सर्विस पेरीमीटर बनाएं:

   gcloud access-context-manager perimeters create NAME \
       --title=TITLE \
       --resources=PROJECTS \
       --restricted-services=RESTRICTED-SERVICES \
       --policy=POLICY_NAME
   

   कहां:

   • NAME, पेरिमीटर का नाम है.
   • TITLE परिधि का ऐसा शीर्षक है जिसे कोई भी व्यक्ति आसानी से पढ़ सकता है.
   • PROJECTS, एक या एक से ज़्यादा प्रोजेक्ट नंबर की सूची होती है. इसे कॉमा से अलग किया जाता है. हर प्रोजेक्ट नंबर के पहले projects/ स्ट्रिंग होती है. पहले चरण में मिले प्रोजेक्ट नंबर इस्तेमाल करें. उदाहरण के लिए, अगर आपके पास दो प्रोजेक्ट, प्रोजेक्ट 12345 और 67890 हैं, तो आपकी सेटिंग --resource=projects/12345, project/67890 होगी. यह फ़्लैग सिर्फ़ प्रोजेक्ट नंबर के साथ काम करता है. यह नाम या आईडी के साथ काम नहीं करता.
   • RESTRICTED-SERVICES, एक या इससे ज़्यादा सेवाओं की कॉमा-सेपरेटेड लिस्ट है. cloudsearch.googleapis.com का इस्तेमाल करें.
   • POLICY_NAME, आपके संगठन की ऐक्सेस नीति का अंकों वाला नाम है. यह नीति, दूसरे चरण के सी चरण में मिली थी.

   सेवा पैरामीटर बनाने के तरीके के बारे में ज़्यादा जानने के लिए, सेवा पैरामीटर बनाना लेख पढ़ें.

4. (ज़रूरी नहीं) अगर आपको आईपी या इलाके के हिसाब से पाबंदियां लागू करनी हैं, तो ऐक्सेस लेवल बनाएं और उन्हें तीसरे चरण में तय की गई सेवा के दायरे में जोड़ें:

   1. ऐक्सेस लेवल बनाने के लिए, बुनियादी ऐक्सेस लेवल बनाना लेख पढ़ें. ऐक्सेस लेवल की ऐसी शर्त बनाने का उदाहरण, जो सिर्फ़ किसी खास रेंज के आईपी पतों से ऐक्सेस करने की अनुमति देती है. जैसे, किसी कॉर्पोरेट नेटवर्क में मौजूद आईपी पते. इसके लिए, कॉर्पोरेट नेटवर्क पर ऐक्सेस को सीमित करना लेख पढ़ें.
   2. ऐक्सेस लेवल बनाने के बाद, उसे सेवा के दायरे में जोड़ें. सर्विस पेरीमीटर में ऐक्सेस लेवल जोड़ने के बारे में निर्देश पाने के लिए, किसी मौजूदा पेरीमीटर में ऐक्सेस लेवल जोड़ना लेख पढ़ें. इस बदलाव को लागू होने में 30 मिनट लग सकते हैं.

5. VPC सर्विस कंट्रोल के पेरीमीटर से सुरक्षित प्रोजेक्ट की मदद से, ग्राहक की सेटिंग अपडेट करने के लिए, Cloud Search की ग्राहक सेवा के REST API का इस्तेमाल करें:

ध्यान दें: Cloud Search के संसाधन, Google Cloud Platform प्रोजेक्ट में सेव नहीं होते हैं. इसलिए, आपको पेरीमीटर से सुरक्षित प्रोजेक्ट की मदद से, Cloud Search की ग्राहक सेटिंग अपडेट करनी होंगी. VPC सर्विस कंट्रोल प्रोजेक्ट, आपके सभी Cloud Search संसाधनों के लिए वर्चुअल प्रोजेक्ट कंटेनर के तौर पर काम करता है. यह मैपिंग बनाए बिना, VPC सर्विस कंट्रोल, Cloud Search API के लिए काम नहीं करेंगे.

1. Google Authorization Server से OAuth 2.0 ऐक्सेस टोकन पाएं. टोकन पाने के बारे में जानकारी पाने के लिए, Google API को ऐक्सेस करने के लिए OAuth 2.0 का इस्तेमाल करना लेख का दूसरा चरण देखें. ऐक्सेस टोकन पाने के लिए, इनमें से किसी एक OAuth स्कोप का इस्तेमाल करें: https://www.googleapis.com/auth/cloud_search.settings.indexing, https://www.googleapis.com/auth/cloud_search.settings या https://www.googleapis.com/auth/cloud_search

2. Google Cloud Search में ग्राहक सेटिंग में जाकर, VPC सर्विस कंट्रोल की सेटिंग में प्रोजेक्ट सेट करने के लिए, यहां दिया गया curl कमांड चलाएं:

   curl --request PATCH \
     'https://cloudsearch.googleapis.com/v1/settings/customer' \
     --header 'Authorization: Bearer [YOUR_ACCESS_TOKEN]' \
     --header 'Accept: application/json' \
     --header 'Content-Type: application/json' \
     --data '{ "vpc_settings": { "project": "projects/PROJECT_ID" } }' \
     --compressed
   

   कहां:

• YOUR_ACCESS_TOKEN, OAuth 2.0 ऐक्सेस टोकन है. आपको यह टोकन, चरण 5a में मिला है.

• PROJECT_ID, पहले चरण में मिला प्रोजेक्ट आईडी है.

  अगर अनुरोध पूरा हो जाता है, तो आपको 200 OK रिस्पॉन्स के साथ ग्राहक की अपडेट की गई सेटिंग मिलनी चाहिए.

ऊपर दिए गए चरणों को पूरा करने के बाद, सेवा के पेरिमीटर में बताई गई वीपीसी सर्विस कंट्रोल की पाबंदियां, Google Cloud Search के सभी एपीआई, cloudsearch.google.com पर की जाने वाली खोजों, और Admin console का इस्तेमाल करके कॉन्फ़िगरेशन या रिपोर्ट देखने और उनमें बदलाव करने पर लागू हो जाती हैं. Google Cloud Search API को भेजे जाने वाले ऐसे अन्य अनुरोधों को PERMISSION_DENIED “Request is prohibited by organization’s policy” गड़बड़ी मिलती है जो ऐक्सेस लेवल को फ़ॉलो नहीं करते.