Usar o VPC Service Controls

O VPC Service Controls é um recurso do Google Cloud em que é possível configurar um perímetro seguro para evitar a exfiltração de dados. Nesta página, mostramos como usar o VPC Service Controls com pools particulares do Cloud Build para aumentar a segurança das suas criações.

Antes de começar

• Para usar os exemplos de linha de comando neste guia, instale e configure a Google Cloud CLI.

• Configure uma conexão particular entre a rede de nuvem privada virtual e a rede VPC em que os pools privados residem. Para mais instruções, consulte Como configurar o ambiente para criar pools particulares.

• Os builds executados no perímetro de serviço não terão permissões para armazenar registros de build no bucket de registros padrão do Cloud Storage. Antes de executar o build, configure o arquivo de configuração com uma das seguintes opções:

  • Opte por armazenar seus registros de versão no Cloud Logging configurando loggingMode como CLOUD_LOGGING_ONLY.
  • No projeto particular, crie um bucket de registros do Cloud Storage para armazenar os registros do build. Para mais informações, consulte Como armazenar registros da versão em um bucket criado pelo usuário.
  • Desative registros de build configurando loggingMode como NONE.

• Se os builds enviarem imagens e artefatos para o Artifact Registry ou o Cloud Storage em um projeto diferente do Google Cloud , adicione esse projeto ao mesmo perímetro de serviço do projeto de origem dos seus builds.

• Opcional: conheça as configurações de tipo de máquina e a disponibilidade regional. Para mais informações, consulte workerconfig na documentação do esquema do arquivo de configuração do pool particular.

Para receber as permissões necessárias para configurar um perímetro de serviço, peça ao administrador para conceder a você os seguintes papéis do IAM na sua conta de serviço:

• Leitor da organização (roles/resourcemanager.organizationViewer)
• Editor do Access Context Manager (roles/accesscontextmanager.policyEditor)

Para mais informações sobre a concessão de papéis, consulte Gerenciar o acesso a projetos, pastas e organizações.

Também é possível conseguir as permissões necessárias usando papéis personalizados ou outros papéis predefinidos.

Configurar um pool particular no perímetro do VPC Service Controls

Para usar o VPC Service Controls com o Cloud Build, primeiro você precisa criar e configurar um perímetro de serviço, que é feito no nível da organização. Essa configuração garante que as verificações do VPC Service Controls sejam aplicadas ao uso do Cloud Build e que os desenvolvedores só possam executar versões em conformidade com o VPC Service Controls.

Criar um perímetro do VPC Service Controls

Siga o Guia de início rápido do VPC Service Controls para:

1. criar um perímetro de serviço;

2. Adicione o projeto em que você planeja criar o pool particular para o perímetro.

3. Restrinja a API Cloud Build.

Depois de configurar o perímetro de serviço, todas as chamadas para a API Cloud Build serão verificadas para garantir que as chamadas sejam originadas dentro do mesmo perímetro.

Como conceder acesso à conta de serviço ao perímetro do VPC Service Controls

Nos casos a seguir, é necessário conceder à conta de serviço legada do Cloud Build ou do Compute Engine acesso ao perímetro do VPC Service Controls para que seus builds acessem recursos dentro do perímetro:

• Se você estiver usando a conta de serviço legada do Cloud Build ou do Compute Engine para iniciar builds usando um gatilho de build, a API Cloud Build ou a linha de comando.

• Se você estiver usando contas de serviço especificadas pelo usuário para iniciar builds com um gatilho de build.

Não é necessário conceder acesso ao perímetro do VPC Service Controls à conta de serviço legada do Cloud Build ou do Compute Engine se você estiver usando contas de serviço especificadas pelo usuário para iniciar builds usando a API Cloud Build ou a linha de comando.

Siga estas etapas para conceder à conta de serviço legada do Cloud Build ou do Compute Engine acesso ao perímetro do VPC Service Controls:

1. Anote o endereço de e-mail da conta de serviço legada:

   1. Abra a página do IAM:

      Abra a página do IAM

   2. Selecione o projeto que você adicionou ao perímetro de serviço.

   3. Na tabela de permissões, localize o endereço de e-mail correspondente à conta de serviço legada do Cloud Build.

2. Atualize a política de entrada do perímetro de serviço para permitir que a conta de serviço chame as APIs do Cloud Build. Essa regra de entrada permite que a conta de serviço faça a chamada de API CreateBuild. Para mais informações sobre como definir políticas de entrada do VPC Service Controls, consulte Como configurar políticas de entrada e saída e Regras de entrada e saída.

   - ingressFrom:
       identities:
       - serviceAccount:SERVICE_ACCOUNT_EMAIL
       sources:
       - accessLevel: '*'
     ingressTo:
       operations:
       - serviceName: 'cloudbuild.googleapis.com'
         methodSelectors:
         - method: '*'
       resources:
       - 'projects/PROJECT_NUMBER'
   

3. Atualize a política de perímetro executando o comando a seguir e substituindo as variáveis pelos valores adequados:

   gcloud beta access-context-manager perimeters update PERIMETER_NAME \
       --set-ingress-policies=INGRESS-FILENAME \
       --policy=POLICY_ID
   

Em que:

• SERVICE_ACCOUNT_EMAIL: o endereço de e-mail da conta de serviço.
• PROJECT_NUMBER: o número do projeto do Google Cloud projeto que você adicionou ao perímetro do VPC Service Controls.
• PERIMETER_NAME: o nome do seu perímetro do VPC Service Controls.
• INGRESS-FILENAME: o nome do arquivo de política de entrada.
• POLICY_ID: o ID da política de acesso.

Opcional: como ativar o acesso do perímetro para máquinas de desenvolvimento

Como as verificações do VPC Service Controls são aplicadas para a API Cloud Build, as chamadas à API Cloud Build falharão, a menos que sejam originadas dentro do perímetro de serviço. Portanto, para gerenciar builds com a API Cloud Build, a interface do Cloud Build no console Google Cloud ou a Google Cloud CLI, escolha uma das seguintes opções:

• Use uma máquina dentro do perímetro do VPC Service Controls. Por exemplo, use uma VM do Compute Engine ou um computador no local conectado à rede VPC via VPN.

• Conceda aos desenvolvedores acesso ao perímetro. Por exemplo, crie níveis de acesso que permitam o acesso ao perímetro com base no endereço IP ou na identidade do usuário. Para mais informações, consulte Como permitir acesso a recursos protegidos de fora de um perímetro.

Configurar restrições da política da organização

Para garantir que as verificações do VPC Service Controls sejam aplicadas corretamente e que você esteja restringindo builds em uma organização Google Cloud para usar apenas os pools particulares especificados, defina a restrição constraints/cloudbuild.allowedWorkerPools da política da organização. É possível aplicar a política da organização a toda a organização, a um projeto ou a uma pasta na organização. Por exemplo, a política da organização pode especificar que:

• Todos os builds na organização usam os pools particulares especificados.
• Todos os builds em uma pasta usam os pools particulares especificados.
• Todas as versões em um projeto usam os pools privados especificados.

Permissões do IAM: para gerenciar as políticas da organização, é necessário o papel de Administrador da política da organização (roles/orgpolicy.policyAdmin). Para instruções sobre como conceder um papel, consulte Como configurar o acesso aos recursos do Cloud Build.

O comando gcloud resource-manager org-policies allow define uma política da organização que exige que as versões na organização usem somente o pool particular especificado:

 gcloud resource-manager org-policies allow \
     cloudbuild.allowedWorkerPools \
     projects/PRIVATEPOOL_PROJECT_ID/locations/LOCATION/workerPools/PRIVATEPOOL_ID \
     --organization ORGANIZATION_ID

Em que:

• PRIVATEPOOL_ID: o ID do pool particular para executar builds.

• PRIVATEPOOL_PROJECT_ID: o ID do Google Cloud projeto que contém o pool particular.

• LOCATION: a região que contém o pool particular.

• ORGANIZATION_ID: o ID da organização em que você está executando os builds.

O comando é compatível com os prefixos under: e is.

Para definir a política da organização que exige que todos os builds na organização usem qualquer pool particular dessa organização:

 gcloud resource-manager org-policies allow \
     cloudbuild.allowedWorkerPools under:organizations/ORGANIZATION_ID \
     --organization ORGANIZATION_ID

Em que ORGANIZATION_ID é o ID da organização que contém os pools particulares.

Para definir uma política da organização que exija que todas as versões nos projetos em uma pasta usem qualquer pool particular no projeto especificado:

 gcloud resource-manager org-policies allow \
     cloudbuild.allowedWorkerPools under:projects/PROJECT_ID \
     --folder FOLDER_ID

Em que PROJECT_ID é o ID do projeto que contém os pools particulares e FOLDER_ID contém os projetos em que você está executando as versões.

Para definir uma política da organização que exija que todos os builds em um projeto usem qualquer pool particular no projeto especificado:

 gcloud resource-manager org-policies allow \
     cloudbuild.allowedWorkerPools under:projects/PRIVATEPOOL_PROJECT_ID \
     --project BUILD_PROJECT_ID

Em que PRIVATEPOOL_PROJECT_ID é o ID do projeto que contém os pools privados e BUILD_PROJECT_ID é o ID do projeto em que você está executando as versões.

Lembre-se das seguintes considerações ao aplicar a restrição da política da organização constraints/cloudbuild.allowedWorkerPools:

• Se você aplicar essa restrição de política da organização a um projeto do Google Cloud , verifique se todas as versões do projeto usam o pool particular. Os builds que tentam usar o pool compartilhado padrão vão falhar.

• Se a sua organização Google Cloud contiver serviços como o App Engine ou o Cloud Run functions que usam implicitamente o Cloud Build, a aplicação dessa restrição de política da organização poderá fazer com que esses serviços não funcionem conforme esperado.

Criar um pool particular no perímetro de serviço

Opcional: ativar chamadas da Internet pública na rede VPC

Para permitir que sua rede VPC tenha conectividade de rede com o local em que seu repositório está hospedado (por exemplo, github.com), configure as duas opções a seguir:

• A rede VPC em que o pool particular é executado é definida como uma PeeredNetwork. Para permitir chamadas ao host do repositório, verifique se essa rede VPC permite a saída pública para o host do repositório. Para informações sobre como fazer isso, consulte rotas e regras de firewall.

• Escolha uma destas opções:

  • Defina o campo egressOption no arquivo de configuração do pool particular como PUBLIC_EGRESS.

  • Configure seus pools particulares para usar um IP externo estático.

Limitações

• A proteção do VPC Service Controls está disponível apenas para builds executadas em pools particulares. Não é possível usar o VPC Service Controls com builds executadas em pools padrão.

• Os gatilhos do Pub/Sub do Cloud Build não são compatíveis quando o VPC Service Controls é usado.

A seguir

• Saiba como executar builds em pools particulares.
• Saiba como configurar casos de uso de rede comumente usados.