Controles del servicio de VPC

Los Controles del servicio de VPC permiten que las organizaciones definan un perímetro alrededor de los recursos de Google Cloud para mitigar los riesgos de robo de datos. Con los Controles del servicio de VPC, creas perímetros que protegen los recursos y datos de los servicios que especificas de forma explícita.

Servicios de Cloud Firestore en paquetes

Las siguientes APIs se incluyen en los Controles del servicio de VPC:

  • firestore.googleapis.com
  • datastore.googleapis.com
  • firestorekeyvisualizer.googleapis.com

Cuando restringes el servicio firestore.googleapis.com a un perímetro, este también restringe los servicios datastore.googleapis.com y firestorekeyvisualizer.googleapis.com.

Restringe el servicio datastore.googleapis.com

El servicio datastore.googleapis.com se incluye en el servicio firestore.googleapis.com. Para restringir el servicio datastore.googleapis.com, debes restringir el servicio firestore.googleapis.com de la siguiente manera:

  • Cuando crees un perímetro de servicio con la consola de Google Cloud, agrega Cloud Firestore como el servicio restringido.

  • Cuando crees un perímetro de servicio con Google Cloud CLI, usa firestore.googleapis.com en lugar de datastore.googleapis.com.

    --perimeter-restricted-services=firestore.googleapis.com

Servicios agrupados en paquetes heredados de App Engine para Datastore

Los servicios en paquetes heredados de App Engine para Datastore no admiten perímetros de servicio. Proteger el servicio de Datastore con un perímetro de servicio bloquea el tráfico de los servicios en paquetes heredados de App Engine. Los servicios heredados en paquetes incluyen lo siguiente:

Protección de salida en las operaciones de importación y exportación

Cloud Firestore con compatibilidad con MongoDB admite los Controles del servicio de VPC, pero requiere configuración adicional para obtener protección completa de salida en las operaciones de importación y exportación. Debes usar el agente de servicio de Cloud Firestore para autorizar las operaciones de importación y exportación en lugar de la cuenta de servicio predeterminada de App Engine. Sigue estas instrucciones para ver y configurar la cuenta de autorización para las operaciones de importación y exportación.