Restreindre l'utilisation des points de terminaison

Cette page présente la contrainte de règle d'administration "Restreindre l'utilisation des points de terminaison" au niveau de l'organisation. Elle permet aux administrateurs d'entreprise de contrôler les points de terminaison de l'API Google Cloud qui peuvent être utilisés dans leur hiérarchie de ressources Google Cloud .

Cette contrainte permet aux administrateurs de définir des restrictions hiérarchiques sur les points de terminaison d'API Google Cloud autorisés, tels que les points de terminaison mondiaux, locaux ou régionaux. Par exemple, vous pouvez configurer un projet pour refuser les requêtes au point de terminaison bigquery.googleapis.com global, mais autoriser les requêtes au point de terminaison LOCATION-biguery.googleapis.com localisé. En limitant l'utilisation des points de terminaison d'API mondiaux, les organisations peuvent répondre aux exigences de conformité en s'assurant que seuls les points de terminaison locaux ou régionaux autorisés sont utilisés.

La contrainte "Restreindre l'utilisation des points de terminaison" est définie à l'aide d'une liste de refus, ce qui permet d'envoyer des requêtes aux points de terminaison d'API de tous les services compatibles qui ne sont pas explicitement refusés.

Cette contrainte contrôle l'accès de l'environnement d'exécution à toutes les ressources couvertes. Lorsque la règle d'administration contenant cette contrainte est mise à jour, elle s'applique immédiatement à toutes les ressources couvertes par la règle, avec une cohérence finale.

Nous recommandons aux administrateurs de gérer avec soin les mises à jour des règles d'organisation contenant cette contrainte. Par exemple, vous pouvez envisager de définir la stratégie en mode simulation pour surveiller l'impact d'une modification de stratégie sur vos workflows existants avant qu'elle ne soit appliquée.

Types de points de terminaison d'API

Un point de terminaison d'API (ou point de terminaison de service) est une URL qui spécifie l'adresse réseau d'un service d'API Google Cloud , tel que bigquery.googleapis.com. Les servicesGoogle Cloud permettent d'accéder aux ressources à l'aide de différents types de points de terminaison d'API, y compris les points de terminaison mondiaux, locaux et régionaux. La compatibilité de chaque type dépend du service.

• Les points de terminaison d'API mondiaux ne spécifient pas l'emplacement dans le nom d'hôte de l'URL. Exemple :

  • storage.googleapis.com
  • content-bigqueryconnection.googleapis.com
  • bigquerydatatransfer.mtls.googleapis.com
  • logging.googleapis.com

  Ces points de terminaison à portée mondiale fournissent des points de terminaison de service à haute disponibilité qui mettent fin à la session TLS au plus près du client, ce qui minimise la latence lors du traitement des appels d'API provenant d'une population de clients dispersée sur Internet.

• Les points de terminaison d'API localisés spécifient l'emplacement dans le nom d'hôte de l'URL. Exemple :

  • us-storage.googleapis.com
  • content-us-west3-bigqueryconnection.googleapis.com
  • us-west1-bigquerydatatransfer.mtls.googleapis.com
  • us-central1-logging.googleapis.com

  Ces points de terminaison localisés offrent des avantages aux clients qui ont besoin d'utiliser des services spécifiques à un lieu et qui souhaitent s'assurer que les données en transit restent dans un lieu particulier lorsqu'elles sont accessibles via une connectivité privée.

• Les points de terminaison régionaux de l'API spécifient l'emplacement en tant que sous-domaine. Exemple :

  • storage.us-east2.rep.googleapis.com
  • content-bigqueryconnection.us-west3.rep.googleapis.com
  • bigquerydatatransfer.us-west1.rep.mtls.googleapis.com
  • logging.us-central1.rep.googleapis.com

  Ces points de terminaison régionaux offrent le plus d'avantages aux clients qui ont besoin d'utiliser des services spécifiques à un emplacement et qui souhaitent s'assurer que les données en transit restent dans un emplacement particulier lorsqu'elles sont accessibles via une connectivité privée ou l'Internet public.

Limites

La contrainte "Restreindre l'utilisation des points de terminaison" contrôle la possibilité d'utiliser des points de terminaison d'API spécifiques pour accéder à vos ressources. Il ne faut pas la confondre avec d'autres contraintes similaires, telles que :

• La contrainte d'emplacement des ressources, qui contrôle où les ressources peuvent ou ne peuvent pas être créées.
• La contrainte de restriction de l'utilisation des services de ressources, qui contrôle les services de ressources pouvant être utilisés.

Pour éviter de modifier de façon destructive l'infrastructure de diffusion existante, vous devez tester les nouvelles règles d'administration sur des projets et des dossiers hors production, puis les appliquer progressivement au sein de votre organisation.

Cette contrainte s'applique à un sous-ensemble spécifique de types de ressources et de produits. Pour obtenir la liste des services compatibles et des détails sur le comportement de chacun d'eux, consultez la section Points de terminaison d'API compatibles.

Pour en savoir plus sur les engagements en matière de stockage de données, consultez les Conditions d'utilisation deGoogle Cloud et les Conditions spécifiques du service. Les règles d'administration contenant la contrainte "Restreindre l'utilisation des points de terminaison" ne constituent pas des engagements de résidence des données.

Définir la règle d'administration

Pour définir, modifier ou supprimer une règle d'administration, vous devez disposer du rôle Administrateur de règle d'administration.

Les contraintes de règle d'administration peuvent être définies au niveau de l'organisation, du dossier et du projet. Chaque règle s'applique à toutes les ressources de la hiérarchie des ressources correspondante, mais elle peut être ignorée à des niveaux inférieurs de la hiérarchie des ressources.

Pour en savoir plus sur l'évaluation des règles, consultez la page Comprendre le processus d'évaluation hiérarchique.

La contrainte "Restreindre l'utilisation des points de terminaison" est un type de contrainte de liste. Vous pouvez ajouter et supprimer des points de terminaison dans les listes denied_values de la contrainte.

constraint: constraints/gcp.restrictEndpointUsage
listPolicy:
    deniedValues:
    - storage.googleapis.com
    - content-bigqueryreservation.googleapis.com
    - bigquerystorage.mtls.googleapis.com
    - logging.googleapis.com

gcloud resource-manager org-policies set-policy \
--RESOURCE_TYPE='RESOURCE_ID' /tmp/policy.yaml

constraint: constraints/gcp.restrictEndpointUsage
etag: CKCRl6oGEPjG-tMB
listPolicy:
  deniedValues:
  - storage.googleapis.com
  - content-bigqueryreservation.googleapis.com
  - bigquerystorage.mtls.googleapis.com
  - logging.googleapis.com
updateTime: '2023-11-04T04:29:20.444507Z'

Si une requête adressée à un point de terminaison d'API refusé tente d'accéder à une ressource, elle échoue et une erreur indiquant la raison de cet échec s'affiche.

Créer une règle d'administration en mode dry run

Une règle d'administration en mode simulation est un type de règle d'administration pour lequel les cas de non-respect de la règle sont consignés dans le journal d'audit, mais les actions non conformes ne sont pas refusées. Vous pouvez créer une règle d'administration en mode de simulation à l'aide de la contrainte Restreindre l'utilisation des points de terminaison pour surveiller son impact sur votre organisation avant d'appliquer la règle en direct. Pour en savoir plus, consultez Créer une règle d'administration en mode simulation.

Message d'erreur

Si vous définissez une règle d'administration pour refuser un point de terminaison, les opérations utilisant ce point de terminaison dans votre hiérarchie de ressources échouent. Une erreur indiquant la raison de cet échec s'affiche. Une entrée de journal d'audit est également générée pour optimiser la surveillance, les alertes ou le débogage.

Exemple de message d'erreur

Dans l'exemple suivant, une requête curl utilisant le point de terminaison d'API storage.googleapis.com échoue en raison de l'application des règles :

curl -X GET \
-H "Authorization: Bearer OAUTH2_TOKEN" \
-o "SAVE_TO_LOCATION" \
"https://storage.googleapis.com/storage/v1/b/BUCKET_NAME/o/OBJECT_NAME?alt=media"

Access to projects/foo-123 through endpoint storage.googleapis.com was denied by
the constraints/gcp.restrictEndpointUsage organization policy constraint. To
access this resource, please use an allowed endpoint.

Exemple d'entrée de journal d'audit

L'exemple d'entrée de journal d'audit suivant montre quand l'accès à une ressource est refusé :

{
  logName: "projects/my-projectid/logs/cloudaudit.googleapis.com%2Fpolicy"
  protoPayload: {
    @type: "type.googleapis.com/google.cloud.audit.AuditLog"
    status: {
      code: 7
      message: "Access to projects/my-projectid through endpoint bigquery.googleapis.com was denied by the constraints/gcp.restrictEndpointUsage organization policy constraint. To access this resource, please use an allowed endpoint."
    }
    serviceName: "bigquery.googleapis.com"
    methodName: "google.cloud.bigquery.v2.TableDataService.InsertAll"
    resourceName: "projects/my-projectid"
    authenticationInfo: {
      principalEmail: "user_or_service_account@example.com"
    }
  }
  requestMetadata: {
    callerIp: "123.123.123.123"
  }
  policyViolationInfo: {
    orgPolicyViolationInfo: {
      violationInfo: [
        {
          constraint: "constraints/gcp.restrictEndpointUsage"
          checkedValue: "bigquery.googleapis.com"
          policyType: LIST_CONSTRAINT
        }
      ]
    }
  }
  resource: {
    type: "audited_resource"
    labels: {
      project_id: "224034263908"
      method: "google.cloud.bigquery.v2.TableDataService.InsertAll"
      service: "bigquery.googleapis.com"
    }
  }
  severity: "ERROR"
  timestamp: "2024-12-05T01:15:30.332519510Z"
  receiveTimestamp: "2024-08-15T17:55:01.159788588Z"
  insertId: "42"
}

Points de terminaison d'API compatibles

Les points de terminaison d'API suivants sont compatibles avec la contrainte "Restreindre l'utilisation des points de terminaison" :

Groupes de valeurs

Les groupes de valeurs sont des ensembles de groupes et de points de terminaison d'API choisis par Google afin de vous permettre de définir plus facilement vos restrictions de points de terminaison. Les groupes de valeurs comprennent de nombreux points de terminaison d'API associés et sont étendus par Google au fil du temps sans qu'il ne soit nécessaire de modifier la règle d'administration pour s'adapter aux nouveaux points de terminaison.

Pour utiliser des groupes de valeurs dans vos règles d'administration, ajoutez la chaîne in: à vos entrées en tant que préfixe. Pour en savoir plus sur l'utilisation des préfixes de valeurs, consultez la page Utiliser des contraintes. Les noms de groupe sont validés lors de l'appel permettant de définir la règle d'administration. Si vous utilisez un nom de groupe non valide, le paramètre de règle ne sera pas appliqué.

Le tableau suivant contient la liste actuelle des groupes disponibles :