Mit Sammlungen den Überblick behalten
Sie können Inhalte basierend auf Ihren Einstellungen speichern und kategorisieren.
Google Cloud Search unterstützt VPC Service Controls, um die Sicherheit Ihrer Daten zu erhöhen. Mit VPC Service Controls können Sie einen Dienstperimeter für Google Cloud-Ressourcen definieren, um Daten einzuschränken und das Risiko einer Daten-Exfiltration zu minimieren.
Rufen Sie die Projekt-IDs und Projektnummern für das Google Cloud-Projekt ab, das Sie verwenden möchten. Informationen zum Abrufen der Projekt-IDs und -Nummern finden Sie unter Projekte identifizieren.
So erstellen Sie mit gcloud eine Zugriffsrichtlinie für Ihre Google Cloud-Organisation:
TITLE ist der für Menschen lesbare Titel des Perimeters.
PROJECTS ist eine durch Kommas getrennte Liste mit einer oder mehreren Projektnummern, denen jeweils der String projects/ vorangestellt ist. Verwenden Sie die in Schritt 1 ermittelten Projektnummern. Wenn Sie beispielsweise zwei Projekte haben, Projekt 12345 und 67890, lautet Ihre Einstellung --resource=projects/12345, project/67890 .Dieses Flag unterstützt nur Projektnummern, keine Namen oder IDs.
RESTRICTED-SERVICES ist eine durch Kommas getrennte Liste mit einem oder mehreren Diensten.
Verwenden Sie cloudsearch.googleapis.com.
POLICY_NAME ist der numerische Name der Zugriffsrichtlinie Ihrer Organisation, die Sie in Schritt 2c erhalten haben.
Weitere Informationen zum Erstellen eines Dienstperimeters finden Sie unter Dienstperimeter erstellen.
Optional: Wenn Sie IP- oder regionsbasierte Einschränkungen anwenden möchten, erstellen Sie Zugriffsebenen und fügen Sie sie dem in Schritt 3 erstellten Dienstperimeter hinzu:
Informationen zum Erstellen einer Zugriffsebene finden Sie unter Einfache Zugriffsebene erstellen.
Ein Beispiel dafür, wie Sie eine Bedingung für eine Zugriffsebene erstellen, die den Zugriff nur aus einem bestimmten Bereich von IP-Adressen zulässt (z. B. innerhalb eines Unternehmensnetzwerks), finden Sie unter Zugriff auf ein Unternehmensnetzwerk beschränken.
Nachdem Sie eine Zugriffsebene erstellt haben, fügen Sie sie dem Dienstperimeter hinzu.
Eine Anleitung zum Hinzufügen einer Zugriffsebene zu einem Dienstperimeter finden Sie unter Zugriffsebene zu einem vorhandenen Perimeter hinzufügen.
Es kann bis zu 30 Minuten dauern, bis diese Änderung übernommen wird und wirksam wird.
Verwenden Sie die Cloud Search Customer Service REST API, um die Kundeneinstellungen mit Ihrem VPC Service Controls-Perimeter-geschützten Projekt zu aktualisieren:
Rufen Sie ein OAuth 2.0-Zugriffstoken vom Google Authorization Server ab.
Informationen zum Abrufen des Tokens finden Sie in Schritt 2 unter Mit OAuth 2.0 auf Google APIs zugreifen.
Verwenden Sie beim Abrufen des Zugriffstokens einen der folgenden OAuth-Bereiche:
https://www.googleapis.com/auth/cloud_search.settings.indexing,
https://www.googleapis.com/auth/cloud_search.settings oder https://www.googleapis.com/auth/cloud_search.
Führen Sie den folgenden curl-Befehl aus, um das Projekt in den VPC Service Controls-Einstellungen unter „Kundeneinstellungen“ in Google Cloud Search festzulegen:
YOUR_ACCESS_TOKEN ist das in Schritt 5a abgerufene OAuth 2.0-Zugriffstoken.
PROJECT_ID ist die in Schritt 1 ermittelte Projekt-ID.
Wenn der Vorgang erfolgreich war, erhalten Sie eine 200 OK-Antwort mit den aktualisierten Kundeneinstellungen.
Nachdem die oben genannten Schritte erfolgreich abgeschlossen wurden, werden die in den Dienstperimetern definierten VPC Service Controls-Einschränkungen auf alle Google Cloud Search-APIs, Suchvorgänge unter cloudsearch.google.com sowie auf das Aufrufen und Ändern von Konfigurationen oder Berichten über die Admin-Konsole angewendet. Weitere Anfragen an die Google Cloud Search API, die nicht den Zugriffsebenen entsprechen, führen zu einem PERMISSION_DENIED “Request is prohibited by organization’s policy”-Fehler.
[null,null,["Zuletzt aktualisiert: 2025-08-29 (UTC)."],[],[],null,["# Enhance security with VPC Service Controls\n\nGoogle Cloud Search supports VPC Service Controls\nto enhance the security of your data. VPC Service Controls allows you to define\na service perimeter around Google Cloud Platform resources to constrain data\nand help mitigate data exfiltration risks.\n| **Note:** Cloud Search supports restricted VIP which provides a private network route to make data and resources inaccessible from the internet. For information on setting up restricted VIP, refer to [Setting up private connectivity to Google APIs and services](https://cloud.google.com/vpc-service-controls/docs/set-up-private-connectivity).\n\nPrerequisites\n-------------\n\nBefore you begin,\n[install the gcloud command-line interface](https://cloud.google.com/sdk/gcloud).\n\nEnable VPC Service Controls\n---------------------------\n\nTo enable VPC Service Controls:\n\n1. Obtain the project IDs and project numbers for the Google Cloud Platform\n project you want to use. To obtain the project IDs and numbers, refer to\n [Identifying projects](https://cloud.google.com/resource-manager/docs/creating-managing-projects#identifying_projects).\n\n2. Use gcloud to create an access policy for your Google Cloud Platform\n organization:\n\n 1. [Get your organization ID](https://cloud.google.com/resource-manager/docs/creating-managing-organization#retrieving_your_organization_id).\n 2. [Create an access policy](https://cloud.google.com/access-context-manager/docs/create-access-policy).\n 3. [Get the name of your access policy](https://cloud.google.com/access-context-manager/docs/manage-access-policy#gcloud).\n\n | **Note:** Organizations can only have one access policy. If you attempt to create a second access policy for for your organization, an error occurs.\n3. Create a service perimeter with Cloud Search as a restricted service by\n running the following gcloud command:\n\n gcloud access-context-manager perimeters create NAME \\\n --title=TITLE \\\n --resources=PROJECTS \\\n --restricted-services=RESTRICTED-SERVICES \\\n --policy=POLICY_NAME\n\n Where:\n - `NAME` is the name of the perimeter.\n - `TITLE` is the human-readable title of the perimeter.\n - `PROJECTS` is a comma-separated list of one or more project numbers, each preceded by the string `projects/`. Use the project numbers obtained in step 1. For example, if you had two projects, project `12345` and `67890`, your setting would be `--resource=projects/12345, project/67890` .This flag only supports project numbers; it doesn't support names or IDs.\n - `RESTRICTED-SERVICES` is a comma-separated list of one or more services. Use `cloudsearch.googleapis.com`.\n - `POLICY_NAME` is the numeric name of your organization's access policy obtained in step 2c.\n\n For further information on how to create a service perimeter, refer to\n [Creating a service perimeter](https://cloud.google.com/vpc-service-controls/docs/create-service-perimeters).\n4. (optional) If you want to apply IP or region-based restrictions, create\n access levels and add them to the service perimeter created in step 3:\n\n 1. To create an access level, refer to [Creating an basic access level](https://cloud.google.com/access-context-manager/docs/create-basic-access-level). For an example on how to create an access level condition that only allows access from a specific range of IP addresses, such as those within a corporate network, refer to [Limit access on a corporate network](https://cloud.google.com/access-context-manager/docs/create-basic-access-level#corporate-network-example).\n 2. After you have created an access level, add it to the service perimeter. For instructions on adding an access level to a service perimeter, refer to [Adding an access level to an existing perimeter](https://cloud.google.com/vpc-service-controls/docs/manage-service-perimeters#add-access-level). This change can take up to 30 minutes for this change to propagate and take effect.\n5. Use the Cloud Search Customer Service REST API to update the customer\n settings with your VPC Service Controls perimeter-protected project:\n\n| **Note:** Because Cloud Search resources are not stored in a Google Cloud Platform project, you must update the Cloud Search customer settings with the VPC Service Controls perimeter-protected project. The VPC Service Controls project acts as a virtual project container for all your Cloud Search resources. Without building this mapping, VPC Service Controls won't work for the Cloud Search API.\n\n1. Obtain an OAuth 2.0 access token from the Google Authorization Server.\n For information on obtaining the token, refer to step 2 of\n [Using OAuth 2.0 to Access Google APIs](https://developers.google.com/identity/protocols/oauth2).\n When obtaining the access token, use one of the following OAuth scopes:\n `https://www.googleapis.com/auth/cloud_search.settings.indexing`,\n `https://www.googleapis.com/auth/cloud_search.settings`,\n or `https://www.googleapis.com/auth/cloud_search`\n\n2. Run the following curl command to set the project in VPC Service Controls\n settings under Customer settings in Google Cloud Search:\n\n curl --request PATCH \\\n 'https://cloudsearch.googleapis.com/v1/settings/customer' \\\n --header 'Authorization: Bearer [YOUR_ACCESS_TOKEN]' \\\n --header 'Accept: application/json' \\\n --header 'Content-Type: application/json' \\\n --data '{ \"vpc_settings\": { \"project\": \"projects/PROJECT_ID\" } }' \\\n --compressed\n\n Where:\n\n- `YOUR_ACCESS_TOKEN` is OAuth 2.0 access token obtained in step 5a.\n- `PROJECT_ID` is the project ID obtained in step 1.\n\n If successful, you should receive a `200 OK` response accompanied by the\n updated customer settings.\n\nAfter the above steps are completed successfully, the VPC Service Controls\nrestrictions, as defined in the service perimeter, are applied to all Google\nCloud Search APIs, searches at `cloudsearch.google.com`, and viewing and\nchanging configuration or reports using the Admin console. Further requests\nto the Google Cloud Search API that don't follow access levels receive a\n`PERMISSION_DENIED \"Request is prohibited by organization's policy\"` error."]]
