Google Cloud Search は、VPC Service Controls をサポートして、データのセキュリティを強化します。VPC Service Controls を使用すると、Google Cloud Platform リソースの周囲にサービス境界を定義して、データを制約し、データ漏洩のリスクを軽減できます。
前提条件
始める前に、gcloud コマンドライン インターフェースをインストールします。
VPC Service Controls を有効にする
VPC Service Controls を有効にするには:
使用する Google Cloud Platform プロジェクトのプロジェクト ID とプロジェクト番号を取得します。プロジェクト ID と番号を確認するには、プロジェクトの識別をご覧ください。
gcloud を使用して、Google Cloud Platform 組織のアクセス ポリシーを作成します。
次の gcloud コマンドを実行して、Cloud Search を制限付きサービスとしてサービス境界を作成します。
gcloud access-context-manager perimeters create NAME \ --title=TITLE \ --resources=PROJECTS \ --restricted-services=RESTRICTED-SERVICES \ --policy=POLICY_NAMEここで
NAMEは、境界の名前です。TITLEは、人間が読める境界のタイトルです。PROJECTSは、1 つ以上のプロジェクト番号のカンマ区切りリストです。各プロジェクト番号の前に文字列projects/が付いています。ステップ 1 で取得したプロジェクト番号を使用します。たとえば、プロジェクト12345と67890の 2 つのプロジェクトがある場合、設定は--resource=projects/12345, project/67890になります。このフラグはプロジェクト番号のみをサポートし、名前や ID はサポートしていません。RESTRICTED-SERVICESは、1 つ以上のサービスを含むカンマ区切りのリストです。cloudsearch.googleapis.comを使用します。POLICY_NAMEは、手順 2c で取得した組織のアクセス ポリシーの数値名です。
サービス境界の作成方法の詳細については、サービス境界の作成をご覧ください。
（省略可）IP ベースまたはリージョンベースの制限を適用する場合は、アクセスレベルを作成し、手順 3 で作成したサービス境界に追加します。
- アクセスレベルを作成するには、基本的なアクセスレベルの作成をご覧ください。企業ネットワーク内のアドレスなど、特定の範囲の IP アドレスからのアクセスのみを許可するアクセスレベル条件を作成する方法については、企業ネットワーク上でのアクセスを制限するをご覧ください。
- アクセスレベルを作成したら、サービス境界に追加します。サービス境界にアクセスレベルを追加する手順については、既存の境界にアクセスレベルを追加するをご覧ください。この変更が反映されて有効になるまでに 30 分ほどかかる場合があります。
Cloud Search カスタマー サービス REST API を使用して、VPC Service Controls の境界で保護されたプロジェクトで顧客設定を更新します。
Google 承認サーバーから OAuth 2.0 アクセス トークンを取得します。トークンの取得については、OAuth 2.0 を使用した Google API へのアクセスのステップ 2 をご覧ください。アクセス トークンを取得する際は、
https://www.googleapis.com/auth/cloud_search.settings.indexing、https://www.googleapis.com/auth/cloud_search.settings、https://www.googleapis.com/auth/cloud_searchのいずれかの OAuth スコープを使用します。次の curl コマンドを実行して、Google Cloud Search の [カスタマー設定] の VPC Service Controls 設定でプロジェクトを設定します。
curl --request PATCH \ 'https://cloudsearch.googleapis.com/v1/settings/customer' \ --header 'Authorization: Bearer [YOUR_ACCESS_TOKEN]' \ --header 'Accept: application/json' \ --header 'Content-Type: application/json' \ --data '{ "vpc_settings": { "project": "projects/PROJECT_ID" } }' \ --compressedここで
YOUR_ACCESS_TOKENは、手順 5a で取得した OAuth 2.0 アクセス トークンです。PROJECT_IDは、ステップ 1 で取得したプロジェクト ID です。成功すると、更新されたお客様の設定とともに
200 OKレスポンスが返されます。
上記の手順が正常に完了すると、サービス境界で定義されている VPC Service Controls の制限が、すべての Google Cloud Search API、cloudsearch.google.com での検索、管理コンソールを使用した構成やレポートの表示と変更に適用されます。アクセスレベルに準拠していない Google Cloud Search API へのリクエストは、PERMISSION_DENIED “Request is prohibited by organization’s policy” エラーを返します。