VPC Service Controls

VPC Service Controls-এর মাধ্যমে সংস্থাগুলি ডেটা এক্সফিল্ট্রেশন সংক্রান্ত ঝুঁকি কমানোর জন্য Google Cloud রিসোর্সের চারপাশে একটি পেরিমিটার নির্ধারণ করতে পারে। VPC Service Controls-এর মাধ্যমে, আপনি পেরিমিটার তৈরি করেন যা আপনার স্পষ্টভাবে উল্লেখ করা পরিষেবার রিসোর্স ও ডেটা সুরক্ষিত রাখে।

Cloud Firestoreটি পরিষেবা বান্ডেল করা হয়েছে

VPC Service Controls-এ নিম্নলিখিত API একসাথে বান্ডেল করা আছে:

  • firestore.googleapis.com
  • datastore.googleapis.com
  • firestorekeyvisualizer.googleapis.com

আপনি কোনও পেরিমিটারে firestore.googleapis.com পরিষেবা সীমাবদ্ধ করলে, পেরিমিটারটি datastore.googleapis.com এবং firestorekeyvisualizer.googleapis.com পরিষেবাও সীমাবদ্ধ করে।

datastore.googleapis.com পরিষেবাতে বিধিনিষেধ আরোপ করুন

datastore.googleapis.com পরিষেবাটি firestore.googleapis.com পরিষেবার অধীনে বান্ডেল করা আছে। datastore.googleapis.com পরিষেবা সীমিত করতে, আপনাকে অবশ্যই firestore.googleapis.com পরিষেবা নিম্নলিখিত উপায়ে সীমিত করতে হবে:

  • Google Cloud Console ব্যবহার করে কোনও পরিষেবা পেরিমিটার তৈরি করার সময়, সীমাবদ্ধ পরিষেবা হিসেবে Cloud Firestore যোগ করুন।

  • Google Cloud CLI ব্যবহার করে কোনও পরিষেবা পেরিমিটার তৈরি করার সময়, datastore.googleapis.com-এর পরিবর্তে firestore.googleapis.com ব্যবহার করুন।

    --perimeter-restricted-services=firestore.googleapis.com

Datastore-এর জন্য App Engine লিগ্যাসি বান্ডেল করা পরিষেবা

App Engine Datastore-এর জন্য লিগ্যাসি বান্ডেল করা পরিষেবা পরিষেবার পেরিমিটার সাপোর্ট করে না। Datastore পরিষেবাকে পরিষেবা পেরিমিটারের মাধ্যমে সুরক্ষিত করলে, App Engine লিগ্যাসি বান্ডেল করা পরিষেবা থেকে ট্রাফিক ব্লক করা হয়। লিগ্যাসি বান্ডেল করা পরিষেবার মধ্যে অন্তর্ভুক্ত:

ইমপোর্ট ও এক্সপোর্ট অপারেশনে ইগ্রেস সুরক্ষা

Cloud Firestore VPC সার্ভিস কন্ট্রোল সাপোর্ট করে, তবে ইমপোর্ট ও এক্সপোর্ট অপারেশনে সম্পূর্ণ ইগ্রেস সুরক্ষা পেতে অতিরিক্ত কনফিগারেশন প্রয়োজন। ডিফল্ট App Engine পরিষেবা অ্যাকাউন্টের পরিবর্তে ইমপোর্ট ও এক্সপোর্ট অপারেশন অনুমোদন করতে আপনাকে অবশ্যই Cloud Firestore পরিষেবা এজেন্ট ব্যবহার করতে হবে। ইমপোর্ট ও এক্সপোর্ট অপারেশনের জন্য অনুমোদিত অ্যাকাউন্ট দেখতে ও কনফিগার করতে নিম্নলিখিত নির্দেশাবলী অনুসরণ করুন।

Cloud Firestore পরিষেবা এজেন্ট

Cloud Firestore, App Engine পরিষেবা অ্যাকাউন্ট ব্যবহার করার পরিবর্তে ইমপোর্ট ও এক্সপোর্ট অপারেশন অনুমোদন করতে Cloud Firestore পরিষেবা এজেন্ট ব্যবহার করে। পরিষেবা এজেন্ট এবং পরিষেবা অ্যাকাউন্ট নিম্নলিখিত নামকরণ কনভেনশন ব্যবহার করে:

Cloud Firestore পরিষেবা এজেন্ট
service-PROJECT_NUMBER@gcp-sa-firestore.iam.gserviceaccount.com

Cloud Firestore আগে Cloud Firestore পরিষেবা এজেন্টের পরিবর্তে App Engine ডিফল্ট পরিষেবা অ্যাকাউন্ট ব্যবহার করত। আপনার ডেটাবেস এখনও ডেটা ইম্পোর্ট বা এক্সপোর্ট করার জন্য App Engine পরিষেবা অ্যাকাউন্ট ব্যবহার করলে, আমরা সাজেস্ট করি যে আপনি Cloud Firestore পরিষেবা এজেন্ট ব্যবহার করার জন্য মাইগ্রেট করতে এই বিভাগে দেওয়া নির্দেশাবলী অনুসরণ করুন।

App Engine পরিষেবা অ্যাকাউন্ট
PROJECT_ID@appspot.gserviceaccount.com

Cloud Firestore পরিষেবা এজেন্টকে বেশি পছন্দ করা হয় কারণ এটি Cloud Firestore-এর জন্য নির্দিষ্ট। App Engine পরিষেবা অ্যাকাউন্টটি একাধিক পরিষেবার দ্বারা শেয়ার করা হয়েছে।

অনুমোদন অ্যাকাউন্ট দেখুন

Google Cloud কনসোলের ইমপোর্ট/এক্সপোর্ট পৃষ্ঠা থেকে অনুরোধ অনুমোদন করার জন্য আপনার ইমপোর্ট ও এক্সপোর্ট অপারেশন কোন অ্যাকাউন্ট ব্যবহার করে তা আপনি দেখতে পারবেন। আপনার ডেটাবেস আগে থেকেই Cloud Firestore পরিষেবা এজেন্ট ব্যবহার করছে কিনা তাও আপনি দেখতে পারবেন।

  1. ইমপোর্ট/এক্সপোর্ট জব রান অ্যাজ লেবেলের পাশে অনুমোদন অ্যাকাউন্ট দেখুন।

আপনার প্রোজেক্ট যদি Cloud Firestore পরিষেবা এজেন্ট ব্যবহার না করে, তাহলে আপনি এই পদ্ধতিগুলির মধ্যে যেকোনও একটি ব্যবহার করে Cloud Firestore পরিষেবা এজেন্টে মাইগ্রেট করতে পারেন:

এইসব টেকনিকের মধ্যে প্রথমটি বেশি পছন্দ করা হয় কারণ এটি একটিমাত্র Cloud Firestore প্রোজেক্টে প্রভাবের পরিধিকে সীমাবদ্ধ করে। দ্বিতীয় পদ্ধতিটি পছন্দ করা হয় না কারণ এটি আগে থেকে থাকা Cloud Storage বাকেট অনুমতি মাইগ্রেট করে না। তবে, এটি প্রতিষ্ঠান লেভেলে নিরাপত্তা সংক্রান্ত সম্মতি প্রদান করে।

Cloud Storage বাকেট সংক্রান্ত অনুমতি চেক ও আপডেট করে মাইগ্রেট করুন

মাইগ্রেশন প্রসেসের দুটি ধাপ আছে:

  1. Cloud Storage বাকেট সংক্রান্ত অনুমতি আপডেট করুন। বিস্তারিত জানতে নিম্নলিখিত বিভাগটি দেখুন।
  2. Cloud Firestore পরিষেবা এজেন্টে মাইগ্রেশন কনফার্ম করুন।

পরিষেবা এজেন্ট বাকেট সংক্রান্ত অনুমতি

অন্য প্রোজেক্টে Cloud Storage বাকেট ব্যবহার করে এমন যেকোনও এক্সপোর্ট বা ইমপোর্ট অপারেশনের জন্য, আপনাকে অবশ্যই সেই বাকেটের জন্য Cloud Firestore পরিষেবা এজেন্টকে অনুমতি দিতে হবে। যেমন, অন্য প্রোজেক্টে ডেটা সরানোর অপারেশনকে সেই অন্য প্রোজেক্টের বাকেট অ্যাক্সেস করতে হবে। অন্যথায়, Cloud Firestore পরিষেবা এজেন্টে মাইগ্রেট করার পরে এইসব অপারেশন ব্যর্থ হবে।

একই প্রোজেক্টের মধ্যে থাকা ওয়ার্কফ্লো ইম্পোর্ট ও এক্সপোর্ট করার জন্য অনুমতিতে পরিবর্তন করার প্রয়োজন নেই। Cloud Firestore পরিষেবা এজেন্ট ডিফল্ট হিসেবে একই প্রোজেক্টে বাকেট অ্যাক্সেস করতে পারে।

service-PROJECT_NUMBER@gcp-sa-firestore.iam.gserviceaccount.com পরিষেবা এজেন্টকে অ্যাক্সেস দিতে, অন্যান্য প্রোজেক্ট থেকে Cloud Storage বাকেটের জন্য অনুমতি আপডেট করুন। পরিষেবা এজেন্টকে Firestore Service Agent ভূমিকা দিন।

Firestore Service Agent ভূমিকা Cloud Storage বাকেটের জন্য পড়ার ও লেখার অনুমতি দেয়। আপনাকে যদি শুধু রিড বা শুধু রাইট অনুমতি দিতে হয়, তাহলে কাস্টম ভূমিকা ব্যবহার করুন।

নিম্নলিখিত বিভাগে বর্ণিত মাইগ্রেশন প্রসেস আপনাকে এমন Cloud Storage বাকেট শনাক্ত করতে সাহায্য করে যেগুলির জন্য অনুমতি আপডেট করার প্রয়োজন হতে পারে।

Firestore পরিষেবা এজেন্টে প্রোজেক্ট মাইগ্রেট করা

App Engine পরিষেবা অ্যাকাউন্ট থেকে Cloud Firestore পরিষেবা এজেন্টে মাইগ্রেট করতে নিম্নলিখিত ধাপগুলি সম্পূর্ণ করুন। মাইগ্রেশন সম্পূর্ণ হয়ে গেলে, সেটি আর বাতিল করা যাবে না।

  1. আপনার প্রোজেক্ট এখনও Cloud Firestore পরিষেবা এজেন্টে মাইগ্রেট করা না হলে, আপনি মাইগ্রেশনের বিবরণ সহ একটি ব্যানার এবং বাকেট স্ট্যাটাস চেক করুন বোতাম দেখতে পাবেন। পরবর্তী ধাপ আপনাকে সম্ভাব্য অনুমতি সংক্রান্ত সমস্যা শনাক্ত করতে ও সমাধান করতে সাহায্য করে।

    বালতির স্ট্যাটাস চেক করুন বিকল্পে ক্লিক করুন।

    আপনার মাইগ্রেশন সম্পূর্ণ করার বিকল্প এবং Cloud Storageটি বাকেটের তালিকা সহ একটি মেনু দেখানো হবে। তালিকা লোড হতে কয়েক মিনিট সময় লাগতে পারে।

    এই তালিকায় এমন বাকেট অন্তর্ভুক্ত আছে যেগুলি সম্প্রতি ইমপোর্ট ও এক্সপোর্ট অপারেশনে ব্যবহার করা হয়েছে, তবে বর্তমানে Cloud Firestore পরিষেবা এজেন্টকে রিড ও রাইট পার্মিশন দেয় না।

  2. আপনার প্রোজেক্টের Cloud Firestore পরিষেবা এজেন্টের প্রিন্সিপাল নাম নোট করুন। পরিষেবা এজেন্টের নাম পরিষেবা এজেন্টকে অ্যাক্সেস দিন লেবেলের নিচে দেখা যায়।

  3. তালিকায় থাকা যেকোনও বাকেট যা আপনি ভবিষ্যতে ইমপোর্ট বা এক্সপোর্ট করার জন্য ব্যবহার করবেন, সেটির জন্য নিম্নলিখিত ধাপগুলি সম্পূর্ণ করুন:

    1. এই বাকেটের টেবিল সারিতে, ঠিক করুন বিকল্পে ক্লিক করুন। এটি নতুন ট্যাবে সেই বাকেটের অনুমতি পৃষ্ঠা খোলে।

    2. যোগ করুন বিকল্পে ক্লিক করুন।
    3. নতুন প্রিন্সিপাল ফিল্ডে, আপনার Cloud Firestore পরিষেবা এজেন্টের নাম লিখুন।
    4. একটি ভূমিকা বেছে নিন ফিল্ডে, পরিষেবা এজেন্ট > Firestore পরিষেবা এজেন্ট বেছে নিন।
    5. সেভ করুন বিকল্পে ক্লিক করুন।
    6. Cloud Firestore ইমপোর্ট/এক্সপোর্ট পৃষ্ঠা সহ ট্যাবে ফিরে যান।
    7. তালিকায় থাকা অন্যান্য বাকেটের জন্য এই ধাপগুলি আবার করুন। তালিকার সব পৃষ্ঠা দেখেছেন কিনা তা নিশ্চিত করুন।

  4. Firestore সার্ভিস এজেন্টে মাইগ্রেট করুন বিকল্পে ক্লিক করুন। এখনও যদি আপনার কাছে এমন বাকেট থাকে যেগুলির অনুমতি চেক করা যায়নি, তাহলে মাইগ্রেট করুন বিকল্পে ক্লিক করে মাইগ্রেশন কনফার্ম করতে হবে।

    মাইগ্রেশন সম্পূর্ণ হলে আপনাকে একটি সতর্কতা জানানো হবে। মাইগ্রেশন আগের অবস্থায় ফেরানো যাবে না।

মাইগ্রেশন স্ট্যাটাস দেখুন

আপনার প্রোজেক্টের মাইগ্রেশন স্ট্যাটাস যাচাই করতে:

  1. ইমপোর্ট/এক্সপোর্ট জব রান অ্যাজ লেবেলের পাশে প্রিন্সিপাল খুঁজুন।

    প্রিন্সিপাল service-PROJECT_NUMBER@gcp-sa-firestore.iam.gserviceaccount.com হলে, আপনার প্রোজেক্ট আগেই Cloud Firestore পরিষেবা এজেন্টে মাইগ্রেট করা হয়েছে। মাইগ্রেশন আগের অবস্থায় ফেরানো যাবে না।

    প্রোজেক্ট মাইগ্রেট করা না হলে, পৃষ্ঠার সবচেয়ে উপরে একটি ব্যানার দেখানো হয় যেখানে বাকেট স্ট্যাটাস চেক করুন বোতাম থাকে। মাইগ্রেশন সম্পূর্ণ করতে Firestore পরিষেবা এজেন্টে মাইগ্রেট করুন দেখুন।

প্রতিষ্ঠান-ব্যাপী নীতি সংক্রান্ত সীমাবদ্ধতা যোগ করুন

  • আপনার প্রতিষ্ঠানের নীতিতে নিম্নলিখিত সীমাবদ্ধতা সেট করুন:

    ইমপোর্ট/এক্সপোর্ট করার জন্য Firestore সার্ভিস এজেন্ট প্রয়োজন (firestore.requireP4SAforImportExport)।

    এই কনস্ট্রেন্টের জন্য অনুরোধ অনুমোদন করতে, ইমপোর্ট ও এক্সপোর্ট অপারেশনকে Cloud Firestore পরিষেবা এজেন্ট ব্যবহার করতে হবে। এই সীমাবদ্ধতা সেট করতে, সংস্থার নীতি তৈরি ও ম্যানেজ করা দেখুন।

এই সাংগঠনিক নীতি সংক্রান্ত সীমাবদ্ধতা প্রয়োগ করলে, Cloud Firestore পরিষেবা এজেন্টের জন্য উপযুক্ত Cloud Storage বাকেট সংক্রান্ত অনুমতি অটোমেটিক মঞ্জুর করা হয় না।

কোনও ইমপোর্ট বা এক্সপোর্ট ওয়ার্কফ্লোর জন্য কনস্ট্রেন্ট যদি অনুমতি সংক্রান্ত সমস্যা তৈরি করে, তাহলে ডিফল্ট পরিষেবা অ্যাকাউন্ট ব্যবহার করার জন্য আপনি এটি বন্ধ করতে পারবেন। আপনি চেক করে বাকেট সংক্রান্ত অনুমতি আপডেট করার Cloud Storage পরে, আপনি আবার কনস্ট্রেন্ট চালু করতে পারবেন।