הגבלת השימוש בנקודות קצה

בדף הזה מוסבר על האילוץ Restrict Endpoint Usage במדיניות הארגון, שמאפשר לאדמינים בארגון לקבוע באילו נקודות קצה של Google Cloud אפשר להשתמש בהיררכיית המשאבים ב- Google Cloud .

אדמינים יכולים להשתמש באילוץ הזה כדי להגדיר הגבלות היררכיות על נקודות קצה מותרות ל- Google Cloud , כמו נקודות קצה גלובליות, מבוססות-מיקום או אזוריות. לדוגמה, אתם יכולים להגדיר פרויקט כך שידחה בקשות לנקודת הקצה הגלובלית bigquery.googleapis.com, אבל יאשר בקשות לנקודת הקצה מבוססת-המיקום LOCATION-bigquery.googleapis.com. הגבלת השימוש בנקודות קצה גלובליות ל-API מאפשרת לארגונים לעמוד בדרישות התאימות, כי היא מבטיחה שמשתמשים רק בנקודות קצה מבוססות-מיקום או אזוריות שמותר להשתמש בהן.

האילוץ Restrict Endpoint Usage מוגדר באמצעות רשימת ישויות שנחסמו, שמאפשרת בקשות לכל נקודות הקצה ל-API של השירותים הנתמכים שלא נדחו באופן מפורש.

האילוץ הזה שולט בגישה בזמן הריצה לכל המשאבים שבהיקף. כשמעדכנים את מדיניות הארגון שמכילה את האילוץ הזה, היא חלה באופן מיידי על כל המשאבים בהיקף המדיניות, עם עקביות בסופו של דבר.

אנחנו ממליצים לאדמינים לנהל בזהירות את העדכונים של כללי מדיניות הארגון שמכילים את האילוץ הזה. לדוגמה, כדאי להגדיר את המדיניות במצב פרימטר לבדיקות כדי לעקוב אחרי ההשפעה של שינוי המדיניות על תהליכי העבודה הקיימים לפני שהיא נאכפת.

סוגים של נקודות קצה ל-API

נקודת קצה ל-API (או נקודת קצה לשירות) היא כתובת URL שמציינת את כתובת הרשת של שירות API, כמו bigquery.googleapis.com, Google Cloud . בשירותיGoogle Cloud אפשר לגשת למשאבים באמצעות סוגים שונים של נקודות קצה ל-API, כולל נקודות קצה גלובליות, מבוססות-מיקום ואזוריות. התמיכה בכל סוג תלויה בשירות.

נקודות קצה גלובליות ל-API

בנקודות קצה גלובליות ל-API, המיקום לא מצוין בשם המארח של כתובת ה-URL. נקודות הקצה האלה, שמוגדרות ברמה הגלובלית, מספקות נקודות קצה של שירות בזמינות גבוהה שמסיימות את סשן ה-TLS קרוב ככל האפשר ללקוח. כך אפשר לצמצם את זמן האחזור כשמשרתים קריאות ל-API מאוכלוסיית לקוחות שמפוזרת באינטרנט. עם זאת, נקודות הקצה האלה לא מספקות בידוד אזורי או תאימות למיקום אחסון הנתונים.

לאפליקציות שיכולות לטפל ביחסי תלות גלובליים וצריכות ביצועים מהירים מהרשת הגלובלית של Google, אפשר להשתמש בנקודות קצה גלובליות.

נקודות קצה גלובליות מופיעות בפורמט הבא:

SERVICE.googleapis.com

‫SERVICE הוא שם השירות של Google Cloud , למשל storage,‏ compute או bigquery.

נקודות קצה (endpoints) מבוססות-מיקום ל-API

נקודות קצה אזוריות ל-API מחליפות את נקודות הקצה למיקום. נקודות קצה מבוססות-מיקום הן שמות מארחים של שירותים אזוריים או במספר אזורים, שבהם אתם יכולים להשתמש כדי לגשת לנתונים במיקום מסוים.

עם זאת, נקודות קצה (endpoints) לפי מיקום לא תומכות בתכונות הבאות:

• חיבורים שתואמים למיקום אחסון הנתונים, מהמקום הפיזי דרך האינטרנט
• בידוד של דומיין כשל

נקודות קצה (endpoints) שמבוססות על מיקום מציינות את המיקום בשם המארח של כתובת ה-URL, והן בפורמט הבא:

LOCATION-SERVICE.googleapis.com

• ‫LOCATION: שם האזור ב- Google Cloud , למשל us-central1,‏ europe-west1 או us.
• ‫SERVICE: השם של שירות Google Cloud , למשל storage,‏ compute או bigquery.

נקודות קצה אזוריות ל-API

נקודות קצה אזוריות ל-API מספקות גישה לשירותי Google Cloud דרך נקודת קצה ל-API שמוגבלת לאזור אחד של Google Cloud . תנועה שנשלחת לנקודת קצה אזורית מעובדת וסיום ה-TLS מתבצע כולו באזור שצוין.

ברוב שירותי Google Cloud , אתם יכולים להשתמש בנקודות קצה אזוריות כדי לעבוד עם משאבים אזוריים באזור שצוין. בדרך כלל אי אפשר לבצע פעולות על משאבים גלובליים, משאבים בכמה אזורים ומשאבים אזוריים מחוץ לאזור מנקודת הקצה האזורית.

בנקודות קצה אזוריות ל-API, המיקום מצוין כתת-דומיין. נקודות קצה (endpoints) אזוריות ציבוריות מופיעות בפורמט הבא:

SERVICE.REGION.rep.googleapis.com

• ‫SERVICE: השם של שירות Google Cloud , למשל storage,‏ compute או bigquery.
• ‫REGION: שם האזור ב- Google Cloud , למשל us-central1 או europe-west1.

נקודות קצה פרטיות ל-API אזורי מופיעות בפורמט הבא:

SERVICE.REGION.p.rep.googleapis.com

• ‫SERVICE: השם של שירות Google Cloud , למשל storage,‏ compute או bigquery.
• ‫REGION: שם האזור ב- Google Cloud , למשל us-central1 או europe-west1.
• ‫.p.: מציין יעד פרטי שמיועד לקישוריות של Private Service Connect.

מגבלות

האילוץ "הגבלת השימוש בנקודות קצה" קובע את היכולת להשתמש בנקודות קצה ספציפיות של API כדי לגשת למשאבים שלכם. חשוב לא להתבלבל בינו לבין אילוצים דומים אחרים, כמו:

• הגבלת מיקום המשאב, שקובעת איפה אפשר או אי אפשר ליצור משאבים.
• האילוץ Restrict Resource Service Usage, שקובע באילו שירותי משאבים אפשר להשתמש.

כדי למנוע פגיעה בתשתית ההצגה הקיימת, כדאי לבדוק כל מדיניות ארגונית חדשה בפרויקטים ובתיקיות שאינם בסביבת הייצור, ואז להחיל את המדיניות בהדרגה בארגון.

המגבלה הזו חלה על קבוצת משנה ספציפית של מוצרים וסוגי משאבים. בקטע נקודות קצה נתמכות ל-API מפורטים השירותים הנתמכים וההתנהגות של כל שירות.

למידע על התחייבויות לאחסון נתונים, קראו את Google Cloud התנאים וההגבלות של ואת התנאים הספציפיים לשירות. מדיניות ארגונית שמכילה את האילוץ Restrict Endpoint Usage לא נחשבת למחויבות למיקום אחסון הנתונים.

הגדרת מדיניות הארגון

כדי להגדיר, לשנות או למחוק את מדיניות הארגון, צריך להיות לכם התפקיד אדמין של מדיניות הארגון.

אפשר להגדיר אילוצים של מדיניות הארגון ברמת הארגון, התיקייה והפרויקט. כל מדיניות חלה על כל המשאבים בהיררכיית המשאבים המתאימה, אבל אפשר לשנות אותה ברמות נמוכות יותר בהיררכיית המשאבים.

הסבר על הערכת היררכיה

האילוץ Restrict Endpoint Usage הוא סוג של אילוץ רשימה. אפשר להוסיף נקודות קצה לרשימות denied_values של האילוץ ולהסיר אותן מהן.

constraint: constraints/gcp.restrictEndpointUsage
listPolicy:
    deniedValues:
    - storage.googleapis.com
    - content-bigqueryreservation.googleapis.com
    - bigquerystorage.mtls.googleapis.com
    - logging.googleapis.com

gcloud resource-manager org-policies set-policy \
--RESOURCE_TYPE='RESOURCE_ID' /tmp/policy.yaml

constraint: constraints/gcp.restrictEndpointUsage
etag: CKCRl6oGEPjG-tMB
listPolicy:
  deniedValues:
  - storage.googleapis.com
  - content-bigqueryreservation.googleapis.com
  - bigquerystorage.mtls.googleapis.com
  - logging.googleapis.com
updateTime: '2023-11-04T04:29:20.444507Z'

אם בקשה לנקודת קצה ל-API שנדחתה מנסה לגשת למשאב, הבקשה תיכשל ותוחזר שגיאה שמתארת את הסיבה לכישלון.

יצירת מדיניות ארגון במצב הרצה לניסיון

מדיניות ארגון במצב פרימטר לבדיקות היא סוג של מדיניות ארגון שבה הפרות של המדיניות נרשמות ביומן הביקורת, אבל הפעולות שמפירות את המדיניות לא נדחות. כדי לבדוק איך מדיניות הארגון תשפיע על הארגון לפני שאוכפים אותה, אתם יכולים ליצור אותה במצב פרימטר לבדיקות באמצעות האילוץ הגבלת השימוש בנקודות קצה. מידע נוסף זמין במאמר יצירת מדיניות ארגונית במצב פרימטר לבדיקות.

הודעת השגיאה

אם מגדירים מדיניות ארגונית שדוחה נקודת קצה, פעולות שמשתמשות בנקודת הקצה הזו בהיררכיית המשאבים נכשלות. מוחזרת שגיאה שמתארת את הסיבה לכישלון. בנוסף, נוצרת רשומה ביומן הביקורת למעקב, להתראה או לניפוי באגים נוספים.

הודעת שגיאה לדוגמה

בדוגמה הבאה, בקשת curl באמצעות נקודת הקצה ל-API‏ storage.googleapis.com נכשלת בגלל אכיפת המדיניות:

curl -X GET \
-H "Authorization: Bearer OAUTH2_TOKEN" \
-o "SAVE_TO_LOCATION" \
"https://storage.googleapis.com/storage/v1/b/BUCKET_NAME/o/OBJECT_NAME?alt=media"

Access to projects/foo-123 through endpoint storage.googleapis.com was denied by
the constraints/gcp.restrictEndpointUsage organization policy constraint. To
access this resource, please use an allowed endpoint.

דוגמה לרשומה ביומן הביקורת

הרשומה הבאה ביומן הביקורת לדוגמה מראה מתי הגישה למשאב נדחתה:

{
  logName: "projects/my-projectid/logs/cloudaudit.googleapis.com%2Fpolicy"
  protoPayload: {
    @type: "type.googleapis.com/google.cloud.audit.AuditLog"
    status: {
      code: 7
      message: "Access to projects/my-projectid through endpoint bigquery.googleapis.com was denied by the constraints/gcp.restrictEndpointUsage organization policy constraint. To access this resource, please use an allowed endpoint."
    }
    serviceName: "bigquery.googleapis.com"
    methodName: "google.cloud.bigquery.v2.TableDataService.InsertAll"
    resourceName: "projects/my-projectid"
    authenticationInfo: {
      principalEmail: "user_or_service_account@example.com"
    }
  }
  requestMetadata: {
    callerIp: "123.123.123.123"
  }
  policyViolationInfo: {
    orgPolicyViolationInfo: {
      violationInfo: [
        {
          constraint: "constraints/gcp.restrictEndpointUsage"
          checkedValue: "bigquery.googleapis.com"
          constraintViolationInfo: {
            @type: "type.googleapis.com/google.cloud.audit.RestrictEndpointUsageViolationInfo"
            tlsTerminationRegionCode: "US"
          }
          errorMessage: "Restrict endpoint usage Org Policy is violated"
          policyType: LIST_CONSTRAINT
        }
      ]
    }
  }
  resource: {
    type: "audited_resource"
    labels: {
      project_id: "224034263908"
      method: "google.cloud.bigquery.v2.TableDataService.InsertAll"
      service: "bigquery.googleapis.com"
    }
  }
  severity: "ERROR"
  timestamp: "2024-12-05T01:15:30.332519510Z"
  receiveTimestamp: "2024-08-15T17:55:01.159788588Z"
  insertId: "42"
}

נקודות קצה נתמכות ל-API

האילוץ Restrict Endpoint Usage תומך בנקודות קצה ל-API של המוצרים שמפורטים בטבלה הבאה.

בטבלה מופיעה נקודת קצה ל-API הגלובלית הראשית של כל מוצר. עם זאת, כל מוצר יכול לתמוך גם בווריאנט SERVICE_NAME.mtls.googleapis.com או בווריאנט content-SERVICE_NAME.googleapis.com של נקודת הקצה הגלובלית ל-API, כמו pubsub.mtls.googleapis.com או content-pubsub.googleapis.com. כדי להגביל את כל הווריאציות של נקודת קצה גלובלית ל-API של מוצר, אפשר להשתמש בקבוצת ערכים. בנוסף, האילוץ Restrict Endpoint Usage תומך בנקודות קצה אזוריות ומבוססות-מיקום ל-API של המוצרים האלה. כדי לראות את הרשימה המלאה של נקודות הקצה הגלובליות, המקומיות והאזוריות שזמינות, עיינו במסמכי התיעוד של ה-API של המוצר.

קבוצות ערכים

קבוצות ערכים הן אוספים של קבוצות ונקודות קצה ל-API שנאספו על ידי Google כדי לספק דרך פשוטה יותר להגדיר את ההגבלות על נקודות הקצה. קבוצות ערכים כוללות הרבה נקודות קצה קשורות ל-API, ו-Google מרחיבה אותן עם הזמן בלי שצריך לשנות את מדיניות הארגון כדי להתאים את נקודות הקצה החדשות.

כדי להשתמש בקבוצות ערכים במדיניות הארגון, צריך להוסיף את המחרוזת in: בתחילת הרשומות. למידע נוסף על השימוש בתחיליות של ערכים, ראו שימוש באילוצים. שמות הקבוצות מאומתים בקריאה להגדרת מדיניות הארגון. אם תשתמשו בשם קבוצה לא חוקי, הגדרת המדיניות תיכשל.

בטבלה הבאה מופיעה הרשימה הנוכחית של הקבוצות הזמינות: