Migliorare la sicurezza con i Controlli di servizio VPC
Mantieni tutto organizzato con le raccolte
Salva e classifica i contenuti in base alle tue preferenze.
Google Cloud Search supporta i Controlli di servizio VPC
per migliorare la sicurezza dei tuoi dati. I Controlli di servizio VPC ti consentono di definire
un perimetro di servizio attorno alle risorse Google Cloud Platform per applicare vincoli ai dati
e contribuire a mitigare i rischi di esfiltrazione di dati.
Ottieni gli ID e i numeri di progetto per il progetto Google Cloud Platform
che vuoi utilizzare. Per ottenere gli ID e i numeri dei progetti, consulta
Identificazione dei progetti.
Utilizza gcloud per creare un criterio di accesso per la tua organizzazione Google Cloud Platform:
PROJECTS è un elenco separato da virgole di uno o più numeri di progetto, ciascuno
preceduto dalla stringa projects/. Utilizza i numeri di progetto ottenuti nel passaggio 1. Ad esempio, se avevi due progetti, 12345 e 67890, l'impostazione
sarebbe --resource=projects/12345, project/67890 .Questo flag supporta solo
i numeri di progetto, non i nomi o gli ID.
RESTRICTED-SERVICES è un elenco separato da virgole di uno o più servizi.
Utilizza cloudsearch.googleapis.com.
POLICY_NAME è il nome numerico della policy di accesso della tua organizzazione
ottenuto nel passaggio 2c.
(Facoltativo) Se vuoi applicare restrizioni basate su IP o regione, crea
livelli di accesso e aggiungili al perimetro di servizio creato nel passaggio 3:
Per creare un livello di accesso, consulta la sezione
Creazione di un livello di accesso base.
Per un esempio di come creare una condizione di livello di accesso che consenta l'accesso solo da un intervallo specifico di indirizzi IP, ad esempio quelli all'interno di una rete aziendale, consulta Limitare l'accesso a una rete aziendale.
Dopo aver creato un livello di accesso, aggiungilo al perimetro di servizio.
Per istruzioni sull'aggiunta di un livello di accesso a un perimetro di servizio, consulta
Aggiunta di un livello di accesso a un perimetro esistente.
L'applicazione di questa modifica può richiedere fino a 30 minuti.
Utilizza l'API REST del servizio clienti di Cloud Search per aggiornare le impostazioni del cliente con il progetto protetto dal perimetro Controlli di servizio VPC:
Ottieni un token di accesso OAuth 2.0 dal server di autorizzazione Google.
Per informazioni su come ottenere il token, consulta il passaggio 2 dell'articolo
Utilizzare OAuth 2.0 per accedere alle API di Google.
Quando ottieni il token di accesso, utilizza uno dei seguenti ambiti OAuth:
https://www.googleapis.com/auth/cloud_search.settings.indexing,
https://www.googleapis.com/auth/cloud_search.settings,
o https://www.googleapis.com/auth/cloud_search
Esegui questo comando curl per impostare il progetto nelle impostazioni dei Controlli di servizio VPC in Impostazioni cliente in Google Cloud Search:
YOUR_ACCESS_TOKEN è il token di accesso OAuth 2.0 ottenuto nel passaggio 5a.
PROJECT_ID è l'ID progetto ottenuto nel passaggio 1.
In caso di esito positivo, dovresti ricevere una risposta 200 OK accompagnata dalle
impostazioni cliente aggiornate.
Una volta completati correttamente i passaggi precedenti, le limitazioni dei Controlli di servizio VPC, come definite nel perimetro di servizio, vengono applicate a tutte le API Google Cloud Search, alle ricerche all'indirizzo cloudsearch.google.com e alla visualizzazione e alla modifica della configurazione o dei report utilizzando la Console di amministrazione. Le richieste successive
all'API Google Cloud Search che non rispettano i livelli di accesso ricevono un
errore PERMISSION_DENIED “Request is prohibited by organization’s policy”.
[null,null,["Ultimo aggiornamento 2025-08-29 UTC."],[],[],null,["# Enhance security with VPC Service Controls\n\nGoogle Cloud Search supports VPC Service Controls\nto enhance the security of your data. VPC Service Controls allows you to define\na service perimeter around Google Cloud Platform resources to constrain data\nand help mitigate data exfiltration risks.\n| **Note:** Cloud Search supports restricted VIP which provides a private network route to make data and resources inaccessible from the internet. For information on setting up restricted VIP, refer to [Setting up private connectivity to Google APIs and services](https://cloud.google.com/vpc-service-controls/docs/set-up-private-connectivity).\n\nPrerequisites\n-------------\n\nBefore you begin,\n[install the gcloud command-line interface](https://cloud.google.com/sdk/gcloud).\n\nEnable VPC Service Controls\n---------------------------\n\nTo enable VPC Service Controls:\n\n1. Obtain the project IDs and project numbers for the Google Cloud Platform\n project you want to use. To obtain the project IDs and numbers, refer to\n [Identifying projects](https://cloud.google.com/resource-manager/docs/creating-managing-projects#identifying_projects).\n\n2. Use gcloud to create an access policy for your Google Cloud Platform\n organization:\n\n 1. [Get your organization ID](https://cloud.google.com/resource-manager/docs/creating-managing-organization#retrieving_your_organization_id).\n 2. [Create an access policy](https://cloud.google.com/access-context-manager/docs/create-access-policy).\n 3. [Get the name of your access policy](https://cloud.google.com/access-context-manager/docs/manage-access-policy#gcloud).\n\n | **Note:** Organizations can only have one access policy. If you attempt to create a second access policy for for your organization, an error occurs.\n3. Create a service perimeter with Cloud Search as a restricted service by\n running the following gcloud command:\n\n gcloud access-context-manager perimeters create NAME \\\n --title=TITLE \\\n --resources=PROJECTS \\\n --restricted-services=RESTRICTED-SERVICES \\\n --policy=POLICY_NAME\n\n Where:\n - `NAME` is the name of the perimeter.\n - `TITLE` is the human-readable title of the perimeter.\n - `PROJECTS` is a comma-separated list of one or more project numbers, each preceded by the string `projects/`. Use the project numbers obtained in step 1. For example, if you had two projects, project `12345` and `67890`, your setting would be `--resource=projects/12345, project/67890` .This flag only supports project numbers; it doesn't support names or IDs.\n - `RESTRICTED-SERVICES` is a comma-separated list of one or more services. Use `cloudsearch.googleapis.com`.\n - `POLICY_NAME` is the numeric name of your organization's access policy obtained in step 2c.\n\n For further information on how to create a service perimeter, refer to\n [Creating a service perimeter](https://cloud.google.com/vpc-service-controls/docs/create-service-perimeters).\n4. (optional) If you want to apply IP or region-based restrictions, create\n access levels and add them to the service perimeter created in step 3:\n\n 1. To create an access level, refer to [Creating an basic access level](https://cloud.google.com/access-context-manager/docs/create-basic-access-level). For an example on how to create an access level condition that only allows access from a specific range of IP addresses, such as those within a corporate network, refer to [Limit access on a corporate network](https://cloud.google.com/access-context-manager/docs/create-basic-access-level#corporate-network-example).\n 2. After you have created an access level, add it to the service perimeter. For instructions on adding an access level to a service perimeter, refer to [Adding an access level to an existing perimeter](https://cloud.google.com/vpc-service-controls/docs/manage-service-perimeters#add-access-level). This change can take up to 30 minutes for this change to propagate and take effect.\n5. Use the Cloud Search Customer Service REST API to update the customer\n settings with your VPC Service Controls perimeter-protected project:\n\n| **Note:** Because Cloud Search resources are not stored in a Google Cloud Platform project, you must update the Cloud Search customer settings with the VPC Service Controls perimeter-protected project. The VPC Service Controls project acts as a virtual project container for all your Cloud Search resources. Without building this mapping, VPC Service Controls won't work for the Cloud Search API.\n\n1. Obtain an OAuth 2.0 access token from the Google Authorization Server.\n For information on obtaining the token, refer to step 2 of\n [Using OAuth 2.0 to Access Google APIs](https://developers.google.com/identity/protocols/oauth2).\n When obtaining the access token, use one of the following OAuth scopes:\n `https://www.googleapis.com/auth/cloud_search.settings.indexing`,\n `https://www.googleapis.com/auth/cloud_search.settings`,\n or `https://www.googleapis.com/auth/cloud_search`\n\n2. Run the following curl command to set the project in VPC Service Controls\n settings under Customer settings in Google Cloud Search:\n\n curl --request PATCH \\\n 'https://cloudsearch.googleapis.com/v1/settings/customer' \\\n --header 'Authorization: Bearer [YOUR_ACCESS_TOKEN]' \\\n --header 'Accept: application/json' \\\n --header 'Content-Type: application/json' \\\n --data '{ \"vpc_settings\": { \"project\": \"projects/PROJECT_ID\" } }' \\\n --compressed\n\n Where:\n\n- `YOUR_ACCESS_TOKEN` is OAuth 2.0 access token obtained in step 5a.\n- `PROJECT_ID` is the project ID obtained in step 1.\n\n If successful, you should receive a `200 OK` response accompanied by the\n updated customer settings.\n\nAfter the above steps are completed successfully, the VPC Service Controls\nrestrictions, as defined in the service perimeter, are applied to all Google\nCloud Search APIs, searches at `cloudsearch.google.com`, and viewing and\nchanging configuration or reports using the Admin console. Further requests\nto the Google Cloud Search API that don't follow access levels receive a\n`PERMISSION_DENIED \"Request is prohibited by organization's policy\"` error."]]
