VPC Service Controls 基本教程 I

1. 简介

VPC Service Controls (VPC-SC) 是 Google Cloud 中的一种组织级安全控制措施，可帮助企业客户降低数据渗漏风险。VPC Service Controls 提供对多租户服务的零信任访问模式，让客户端在从互联网和其他服务连接到多租户服务时，能够限制对经过授权的 IP、客户端情境和设备参数的访问，从而减少有意和无意的损失。您可以使用 VPC Service Controls 创建边界，该边界可保护您明确指定的服务的资源和数据。

本教程的目标如下：

了解 VPC Service Controls 的基础知识
创建 VPC 服务边界
使用 VPC Service Controls 保护项目
排查 VPC Service Controls 入站流量违规问题

2. 设置和要求

在本教程中，我们需要满足以下前提条件：

GCP 组织。
组织下的文件夹。
同一组织内放置在文件夹下的 2 个 GCP 项目。
组织级所需权限。
两个项目的结算账号。

资源设置

在 Google Cloud 控制台中，在组织下创建一个文件夹和两个新项目（您可以重复使用现有项目）。

（如果您还没有 Google Workspace/Cloud Identity 账号，则必须获取一个，因为本教程需要使用组织。）

验证您是否拥有组织级层的正确权限，以便完成本教程。

确保这两个项目都位于该文件夹下，因为我们需要在该文件夹级层创建范围限定的政策。了解如何将项目移动到文件夹。

费用

您需要在 Cloud 控制台中启用结算功能，才能使用 Cloud 资源/API。运行此 Codelab 应该不会产生太多的费用（如果有的话）。若要关闭资源以避免产生超出本教程范围的结算费用，您可以删除自己创建的资源或删除项目。Google Cloud 新用户符合参与 300 美元免费试用计划的条件。

唯一会产生费用的资源是虚拟机实例。您可以在价格计算器中找到估算费用。

3. 创建边界

在本实验中，我们将执行以下步骤：

在 Google 控制台中，选择您的组织，然后访问 VPC Service Controls。请确保您位于组织级别。

点击“管理政策”，创建一项新的访问权限政策，其作用范围为“Codelab”文件夹。

在实施模式下创建新边界。在本教程中，我们将其命名为“SuperProtection”。

创建边界时，选择要强制执行的项目作为 ProjectZ。
选择“常规”作为边界类型。
在指定要限制的服务对话框中，选择要限制的服务，即“Compute Engine”。

边界设置应如下所示：

4. 验证边界是否已强制执行

访问 ProjectX，然后访问“虚拟机实例”首页，验证您是否能够访问 Compute Engine API。您应该能够这样做，因为 projectX 未受创建的 VPC SC 边界保护。
访问 ProjectZ 并验证您是否能够访问 Compute Engine。您可以看到，VPC Service Controls 已禁止该请求，因为服务边界 SuperProtection 保护了 ProjectZ 和 Compute Engine API。

5. 排查被拒问题

首先，我们必须确定问题到底是什么，才能确定如何排查。

VPC Service Controls 日志包含有关对受保护资源的请求的详细信息，以及 VPC Service Controls 拒绝该请求的原因。我们来使用 Logs Explorer 中的以下查询，在 ProjectZ 审核日志中查找 VPC Service Controls 唯一 ID：

resource.type="audited_resource"
protoPayload.metadata."@type"="type.googleapis.com/google.cloud.audit.VpcServiceControlAuditMetadata"

这会显示所有 VPC Service Controls 审核日志。我们将查找最后一个错误日志。

点击 VPC Service Controls 标题，然后选择“排查拒绝问题”，系统会打开 VPC Service Controls 问题排查工具。

此 API 将在友好的界面中向我们显示违规原因，以及违规行为是入站流量违规还是出站流量违规等其他实用信息。

在本练习中，我们将寻找以下内容：

"principalEmail": "user@domain"
"callerIp": "PUBLIC_IP_ADDRESS"
"serviceName": "compute.googleapis.com"
"servicePerimeterName":
"accessPolicies/[POLICY_NUMBER]/servicePerimeters/SuperProtection
"ingressViolations": [
        {
"targetResource": "projects/[PROJECT_NUMBER]",
"servicePerimeter": "accessPolicies/[POLICY_NUMBER]/servicePerimeters/SuperProtection"
        }
      ],
"violationReason": "NO_MATCHING_ACCESS_LEVEL",
"resourceNames": "[PROJECT_ID]"

您可以通过以下两种方式在 ProjectZ 中修复此拒绝。