Restringe el uso de extremos

En esta página, se proporciona una descripción general de la restricción de política de la organización Restrict Endpoint Usage, que permite a los administradores empresariales controlar qué extremos de la API de Google Cloud se pueden usar dentro de su jerarquía de recursos de Google Cloud .

Los administradores pueden usar esta restricción para definir restricciones jerárquicas en los extremos de API Google Cloud permitidos, como los extremos globales, regionales o de ubicación. Por ejemplo, puedes configurar un proyecto para rechazar solicitudes al extremo bigquery.googleapis.com global, pero permitir solicitudes al extremo LOCATION-biguery.googleapis.com de ubicación. Al restringir el uso de extremo de API globales, las organizaciones pueden cumplir con los requisitos de cumplimiento, ya que se aseguran de que solo se usen los extremos regionales o de ubicación permitidos.

La restricción Restrict Endpoint Usage se establece con una lista de bloqueo, lo que permite solicitudes a cualquier extremo de API de los servicios admitidos que no se hayan rechazado explícitamente.

Esta restricción controla el acceso en el tiempo de ejecución a todos los recursos dentro del alcance. Cuando se actualiza la política de la organización que contiene esta restricción, se aplica de inmediato a todos los recursos dentro del alcance de la política, con coherencia eventual.

Recomendamos que los administradores gestionen con cuidado las actualizaciones de las políticas de la organización que contengan esta restricción. Por ejemplo, debes considerar establecer la política en modo de ejecución de prueba para supervisar cómo un cambio en la política afectaría tus flujos de trabajo existentes antes de que se aplique.

Tipos de extremo de API

Un extremo de API (o extremo de servicio) es una URL que especifica la dirección de red de un servicio de la API de Google Cloud , como bigquery.googleapis.com. Google Cloud services permiten el acceso a los recursos a través de diferentes tipos de extremos de API, incluidos los extremos globales, regionales y de ubicación. La compatibilidad con cada tipo depende del servicio.

• Los extremos de la API global no especifican la ubicación en el nombre de host de la URL. Por ejemplo:

  • storage.googleapis.com
  • content-bigqueryconnection.googleapis.com
  • bigquerydatatransfer.mtls.googleapis.com
  • logging.googleapis.com

  Estos extremos con alcance global proporcionan extremos de servicio altamente disponibles que finalizan la sesión de TLS lo más cerca posible del cliente, lo que minimiza la latencia cuando se publican llamadas a la API desde una población de clientes dispersa a través de Internet.

• Los extremos de API regionales especifican la ubicación en el nombre de host de la URL. Por ejemplo:

  • us-storage.googleapis.com
  • content-us-west3-bigqueryconnection.googleapis.com
  • us-west1-bigquerydatatransfer.mtls.googleapis.com
  • us-central1-logging.googleapis.com

  Estos extremos geográficos ofrecen beneficios a los clientes que requieren el uso de servicios específicos de la ubicación y desean asegurarse de que los datos en tránsito permanezcan en una ubicación en particular cuando se accede a ellos a través de la conectividad privada.

• Los extremos de API regionales especifican la ubicación como un subdominio. Por ejemplo:

  • storage.us-east2.rep.googleapis.com
  • content-bigqueryconnection.us-west3.rep.googleapis.com
  • bigquerydatatransfer.us-west1.rep.mtls.googleapis.com
  • logging.us-central1.rep.googleapis.com

  Estos extremos regionales ofrecen la mayor cantidad de beneficios a los clientes que requieren el uso de servicios específicos de la ubicación y desean tener formas de garantizar que los datos en tránsito permanezcan en una ubicación en particular cuando se accede a ellos a través de la conectividad privada o Internet pública.

Limitaciones

La restricción Restrict Endpoint Usage controla la capacidad de usar extremos de API específicos para acceder a tus recursos. No se debe confundir con otras restricciones similares, como las siguientes:

• Restricción de ubicación de recursos, que controla dónde se pueden crear recursos y dónde no.
• Restricción de Restrict Resource Service Usage, que controla qué servicios de recursos se pueden usar.

Para evitar romper la infraestructura de servicio existente, debes probar cualquier política de la organización nueva en proyectos y carpetas que no sean de producción y, luego, aplicar la política gradualmente dentro de tu organización.

Esta restricción se aplica a un subconjunto específico de productos y tipos de recursos. Para obtener una lista de los servicios admitidos y detalles sobre el comportamiento de cada servicio, consulta la sección Extremos de API admitidos.

Para conocer los compromisos de almacenamiento de datos, consulta las Google Cloud Condiciones del Servicio y las Condiciones del Servicio Específicas. Las políticas de la organización que contienen la restricción de uso de extremo restringido no son compromisos de residencia de datos.

Configura la política de la organización

Si deseas establecer, cambiar o borrar una política de la organización, debes tener la función de Administrador de políticas de la organización.

Las restricciones de la política de la organización se pueden establecer a nivel de la organización, la carpeta y el proyecto. Cada política se aplica a todos los recursos dentro de su jerarquía de recursos correspondiente, pero se puede anular en niveles inferiores de la jerarquía de recursos.

Para obtener más información sobre la evaluación de políticas, consulta Comprende la evaluación de jerarquías.

La restricción de uso de extremo es un tipo de restricción de lista. Puedes agregar y quitar extremos de las listas de denied_values de la restricción.

constraint: constraints/gcp.restrictEndpointUsage
listPolicy:
    deniedValues:
    - storage.googleapis.com
    - content-bigqueryreservation.googleapis.com
    - bigquerystorage.mtls.googleapis.com
    - logging.googleapis.com

gcloud resource-manager org-policies set-policy \
--RESOURCE_TYPE='RESOURCE_ID' /tmp/policy.yaml

constraint: constraints/gcp.restrictEndpointUsage
etag: CKCRl6oGEPjG-tMB
listPolicy:
  deniedValues:
  - storage.googleapis.com
  - content-bigqueryreservation.googleapis.com
  - bigquerystorage.mtls.googleapis.com
  - logging.googleapis.com
updateTime: '2023-11-04T04:29:20.444507Z'

Si una solicitud a un extremo de API denegado intenta acceder a un recurso, la solicitud fallará y se devolverá un error que describa el motivo de la falla.

Crea una política de la organización en modo de ejecución de prueba

Una política de la organización en modo de ejecución de prueba es un tipo de política de la organización en la que se registran los incumplimientos de la política en el registro de auditoría, pero no se rechazan las acciones que incumplen la política. Puedes crear una política de la organización en modo de ejecución de prueba con la restricción Restrict Endpoint Usage para supervisar cómo afectaría a tu organización antes de aplicar la política activa. Para obtener más información, consulta Crea una política de la organización en modo de ejecución de prueba.

Mensaje de error

Si configuras una política de la organización para rechazar un extremo, fallarán las operaciones que usen ese extremo dentro de tu jerarquía de recursos. Se muestra un error que describe el motivo de este problema. Además, se genera una entrada de registro de auditoría para una mayor supervisión, alertas o depuración.

Ejemplo de mensaje de error

En el siguiente ejemplo, una solicitud de curl que usa el extremo de API storage.googleapis.com falla debido a la aplicación de políticas:

curl -X GET \
-H "Authorization: Bearer OAUTH2_TOKEN" \
-o "SAVE_TO_LOCATION" \
"https://storage.googleapis.com/storage/v1/b/BUCKET_NAME/o/OBJECT_NAME?alt=media"

Access to projects/foo-123 through endpoint storage.googleapis.com was denied by
the constraints/gcp.restrictEndpointUsage organization policy constraint. To
access this resource, please use an allowed endpoint.

Ejemplo de entrada de registro de auditoría

En la siguiente entrada de registro de auditoría de ejemplo, se muestra cuándo se deniega el acceso a un recurso:

{
  logName: "projects/my-projectid/logs/cloudaudit.googleapis.com%2Fpolicy"
  protoPayload: {
    @type: "type.googleapis.com/google.cloud.audit.AuditLog"
    status: {
      code: 7
      message: "Access to projects/my-projectid through endpoint bigquery.googleapis.com was denied by the constraints/gcp.restrictEndpointUsage organization policy constraint. To access this resource, please use an allowed endpoint."
    }
    serviceName: "bigquery.googleapis.com"
    methodName: "google.cloud.bigquery.v2.TableDataService.InsertAll"
    resourceName: "projects/my-projectid"
    authenticationInfo: {
      principalEmail: "user_or_service_account@example.com"
    }
  }
  requestMetadata: {
    callerIp: "123.123.123.123"
  }
  policyViolationInfo: {
    orgPolicyViolationInfo: {
      violationInfo: [
        {
          constraint: "constraints/gcp.restrictEndpointUsage"
          checkedValue: "bigquery.googleapis.com"
          policyType: LIST_CONSTRAINT
        }
      ]
    }
  }
  resource: {
    type: "audited_resource"
    labels: {
      project_id: "224034263908"
      method: "google.cloud.bigquery.v2.TableDataService.InsertAll"
      service: "bigquery.googleapis.com"
    }
  }
  severity: "ERROR"
  timestamp: "2024-12-05T01:15:30.332519510Z"
  receiveTimestamp: "2024-08-15T17:55:01.159788588Z"
  insertId: "42"
}

Extremos de API compatibles

La restricción Restrict Endpoint Usage admite los siguientes extremos de API:

Grupos de valores

Los grupos de valores son colecciones de grupos y extremos de API que Google selecciona para proporcionar una forma más sencilla de definir las restricciones de tus extremos. Los grupos de valores incluyen muchos extremos de API relacionados y se expanden a lo largo del tiempo en Google sin necesidad de cambiar la política de la organización para adaptarse a los nuevos extremos.

Para usar grupos de valores en tu política de la organización, escribe tus entradas con la string in:. Para obtener más información sobre el uso de prefijos de valor, consulta la sección sobre cómo usar restricciones. Los nombres de grupo se validan en la llamada para establecer la política de la organización. Si usas un nombre de grupo no válido, fallará la configuración de la política.

En la siguiente tabla, se incluye la lista actual de grupos disponibles: