Ustawienia usługi VPC

Ustawienia usługi VPC umożliwiają organizacjom definiowanie granicy wokół zasobów Google Cloud, aby ograniczyć ryzyko wydobycia danych. Za pomocą ustawień usługi VPC możesz tworzyć granice chroniące zasoby i dane bezpośrednio wskazanych usług.

Powiązane usługi Cloud Firestore

W Ustawieniach usługi VPC te interfejsy API są połączone:

  • firestore.googleapis.com
  • datastore.googleapis.com
  • firestorekeyvisualizer.googleapis.com

Gdy ograniczysz usługę firestore.googleapis.com w obrębie granicy, granica ograniczy również usługi datastore.googleapis.com i firestorekeyvisualizer.googleapis.com.

Ograniczanie usługi datastore.googleapis.com

Usługa datastore.googleapis.com jest powiązana z usługą firestore.googleapis.com. Aby ograniczyć usługę datastore.googleapis.com, musisz ograniczyć usługę firestore.googleapis.com w ten sposób:

  • Podczas tworzenia granicy usługi za pomocą konsoli Google Cloud dodaj Cloud Firestore jako usługę z ograniczonym dostępem.

  • Podczas tworzenia granicy usług za pomocą Google Cloud CLI użyj firestore.googleapis.com zamiast datastore.googleapis.com.

    --perimeter-restricted-services=firestore.googleapis.com

Starsze usługi powiązane App Engine dla środowiska Datastore

Starsze usługi powiązane App Engine dla Datastore nie obsługują granic usługi. Ochrona usługi Datastore za pomocą granicy usług blokuje ruch ze starszych usług powiązanych App Engine. Starsze usługi powiązane obejmują:

Ochrona przed ruchem wychodzącym podczas operacji importu i eksportu

Cloud Firestore obsługuje ustawienia usługi VPC, ale wymaga dodatkowej konfiguracji, aby zapewnić pełną ochronę ruchu wychodzącego podczas operacji importowania i eksportowania. Do autoryzacji operacji importu i eksportu musisz używać agenta usługi Cloud Firestore, a nie domyślnego konta usługi App Engine. Aby wyświetlić i skonfigurować konto autoryzacji na potrzeby operacji importu i eksportu, wykonaj te czynności.

Agent usługi Cloud Firestore

Cloud Firestore używa agenta usługi Cloud Firestore do autoryzowania operacji importu i eksportu zamiast konta usługi App Engine. Agent usługi i konto usługi używają tych konwencji nazewnictwa:

Agent usługi Cloud Firestore
service-PROJECT_NUMBER@gcp-sa-firestore.iam.gserviceaccount.com

Usługa Cloud Firestore używała wcześniej domyślnego konta usługi App Engine zamiast agenta usługi Cloud Firestore. Jeśli Twoja baza danych nadal używa konta usługi App Engine do importowania lub eksportowania danych, zalecamy wykonanie instrukcji podanych w tej sekcji, aby przejść na agenta usługi Cloud Firestore.

App Engine konto usługi
PROJECT_ID@appspot.gserviceaccount.com

Agent usługi Cloud Firestore jest preferowany, ponieważ jest przeznaczony dla Cloud Firestore. Konto usługi App Engine jest współdzielone przez więcej niż 1 usługę.

Wyświetlanie konta autoryzacji

Na stronie Import/eksport w konsoli Google Cloud możesz sprawdzić, które konto jest używane przez operacje importu i eksportu do autoryzowania żądań. Możesz też sprawdzić, czy Twoja baza danych korzysta już z agenta usługi Cloud Firestore.

  1. Wyświetl konto autoryzacji obok etykiety Zadania importu/eksportu są uruchamiane jako.

Jeśli Twój projekt nie korzysta z agenta usługi Cloud Firestore, możesz przejść na agenta usługi Cloud Firestore, korzystając z jednej z tych metod:

Pierwsza z tych technik jest preferowana, ponieważ ogranicza zakres efektu do pojedynczego projektu Cloud Firestore. Druga technika nie jest zalecana, ponieważ nie powoduje migracji istniejących uprawnień zasobnika Cloud Storage. Zapewnia jednak zgodność z zasadami bezpieczeństwa na poziomie organizacji.

Przeprowadź migrację, sprawdzając i aktualizując uprawnienia zasobnika Cloud Storage

Proces migracji składa się z 2 etapów:

  1. Zaktualizuj uprawnienia zasobnika Cloud Storage. Szczegółowe informacje znajdziesz w następnej sekcji.
  2. Potwierdź migrację do agenta usługi Cloud Firestore.

Uprawnienia agenta usługi do zasobnika

W przypadku operacji eksportu lub importu, które korzystają z zasobnika Cloud Storage w innym projekcie, musisz przyznać agentowi usługi Cloud Firestore uprawnienia do tego zasobnika. Na przykład operacje, które przenoszą dane do innego projektu, muszą mieć dostęp do zasobnika w tym projekcie. W przeciwnym razie po migracji do agenta usługi Cloud Firestore te operacje nie będą działać.

Przepływy pracy importu i eksportu, które pozostają w tym samym projekcie, nie wymagają zmian uprawnień. Agent usługi Cloud Firestore może domyślnie uzyskiwać dostęp do zasobników w tym samym projekcie.

Zaktualizuj uprawnienia do zasobników (Cloud Storage) z innych projektów, aby przyznać dostęp agentowi usługi service-PROJECT_NUMBER@gcp-sa-firestore.iam.gserviceaccount.com. Przypisz agentowi usługi rolę Firestore Service Agent.

Rola Firestore Service Agent przyznaje uprawnienia do odczytu i zapisu w zasobniku Cloud Storage. Jeśli chcesz przyznać uprawnienia tylko do odczytu lub tylko do zapisu, użyj roli niestandardowej.

Proces migracji opisany w następnej sekcji pomoże Ci zidentyfikować zasobniki Cloud Storage, które mogą wymagać aktualizacji uprawnień.

Migracja projektu do agenta usługi Firestore

Aby przeprowadzić migrację z konta usługi App Engine na agenta usługi Cloud Firestore, wykonaj te czynności. Po zakończeniu migracji nie można jej cofnąć.

  1. Jeśli Twój projekt nie został jeszcze przeniesiony do agenta usługi Cloud Firestore, zobaczysz baner z opisem migracji i przycisk Sprawdź stan zasobnika. Następny krok pomoże Ci zidentyfikować i naprawić potencjalne błędy uprawnień.

    Kliknij Sprawdź stan zasobnika.

    Pojawi się menu z opcją zakończenia migracji i listą zasobników Cloud Storage. Wczytanie listy może potrwać kilka minut.

    Ta lista zawiera zasobniki, które były ostatnio używane w operacjach importu i eksportu, ale obecnie nie dają agentowi usługi Cloud Firestore uprawnień do odczytu i zapisu.

  2. Zanotuj nazwę podmiotu zabezpieczeń agenta usługi Cloud Firestore w projekcie. Nazwa agenta usługi pojawi się pod etykietą Agent usługi, któremu chcesz przyznać dostęp.

  3. W przypadku każdego zasobnika na liście, którego będziesz używać do przyszłych operacji importu lub eksportu, wykonaj te czynności:

    1. W wierszu tabeli tego zasobnika kliknij Napraw. Spowoduje to otwarcie strony uprawnień tego zasobnika w nowej karcie.

    2. Kliknij Dodaj.
    3. W polu Nowe podmioty zabezpieczeń wpisz nazwę agenta usługi Cloud Firestore.
    4. W polu Wybierz rolę wybierz Agenty usługi > Agent usługi Firestore.
    5. Kliknij Zapisz.
    6. Wróć do karty ze stroną importu/eksportu Cloud Firestore.
    7. Powtórz te czynności w przypadku innych zasobników na liście. Pamiętaj, aby przejrzeć wszystkie strony listy.

  4. Kliknij Przenieś do agenta usługi Firestore. Jeśli nadal masz zasobniki, w przypadku których nie udało się sprawdzić uprawnień, musisz potwierdzić migrację, klikając Migruj.

    Po zakończeniu migracji otrzymasz alert. Migracji nie można cofnąć.

Wyświetlanie stanu migracji

Aby sprawdzić stan migracji projektu:

  1. Znajdź podmiot zabezpieczeń obok etykiety Zadania importu/eksportu są uruchamiane jako.

    Jeśli podmiotem zabezpieczeń jest service-PROJECT_NUMBER@gcp-sa-firestore.iam.gserviceaccount.com, Twój projekt został już przeniesiony do agenta usługi Cloud Firestore. Migracji nie można cofnąć.

    Jeśli projekt nie został przeniesiony, u góry strony pojawi się baner z przyciskiem Sprawdź stan zasobnika. Aby dokończyć migrację, zapoznaj się z artykułem Migracja do agenta usługi Firestore.

Dodawanie ograniczenia zasad na poziomie organizacji

  • Ustaw w zasadach organizacji to ograniczenie:

    Wymagaj agenta usługi Firestore do importowania/eksportowania (firestore.requireP4SAforImportExport).

    To ograniczenie wymaga, aby operacje importu i eksportu używały agenta usługi Cloud Firestore do autoryzowania żądań. Aby ustawić to ograniczenie, zapoznaj się z artykułem Tworzenie zasad organizacji i zarządzanie nimi .

Zastosowanie tego ograniczenia zasad organizacji nie powoduje automatycznego przyznania odpowiednich uprawnień do zasobnika Cloud Storage agentowi usługi Cloud Firestore.

Jeśli ograniczenie powoduje błędy uprawnień w przypadku przepływów pracy importu lub eksportu, możesz je wyłączyć, aby wrócić do korzystania z domyślnego konta usługi. Po sprawdzeniu i zaktualizowaniu uprawnień zasobnika Cloud Storage możesz ponownie włączyć ograniczenie.