Membatasi penggunaan endpoint

Halaman ini memberikan ringkasan tentang Batasi Penggunaan Endpoint batasan kebijakan organisasi, yang memungkinkan administrator perusahaan mengontrol endpoint Google Cloud API yang dapat digunakan dalam hierarki resource Google Cloud mereka.

Administrator dapat menggunakan batasan ini untuk menentukan batasan hierarkis pada endpoint API yang diizinkan, seperti endpoint global, lokasi, atau regional. Google Cloud Misalnya, Anda dapat mengonfigurasi project untuk menolak permintaan ke endpoint bigquery.googleapis.com global, tetapi mengizinkan permintaan ke endpoint LOCATION-biguery.googleapis.com berbasis lokasi. Dengan membatasi penggunaan endpoint API global, organisasi dapat memenuhi persyaratan kepatuhan dengan memastikan bahwa hanya endpoint regional atau lokasi yang diizinkan yang digunakan.

Batasan Penggunaan Endpoint ditetapkan menggunakan daftar yang tidak diizinkan, sehingga memungkinkan permintaan ke endpoint API layanan yang didukung yang tidak ditolak secara eksplisit.

Batasan ini mengontrol akses runtime ke semua resource dalam cakupan. Saat kebijakan organisasi yang berisi batasan ini diperbarui, kebijakan tersebut akan langsung berlaku untuk semua resource dalam cakupan kebijakan, dengan konsistensi akhirnya.

Sebaiknya administrator mengelola pembaruan kebijakan organisasi yang berisi batasan ini dengan cermat. Misalnya, Anda harus mempertimbangkan untuk menyetel kebijakan dalam mode uji coba untuk memantau dampak perubahan kebijakan terhadap alur kerja yang ada sebelum diterapkan.

Jenis endpoint API

Endpoint API (atau endpoint layanan) adalah URL yang menentukan alamat jaringan layanan API, seperti bigquery.googleapis.com. Google Cloud Google Cloud layanan memungkinkan akses ke resource menggunakan berbagai jenis endpoint API, termasuk endpoint global, lokasi, dan regional. Dukungan untuk setiap jenis bergantung pada layanan.

• Endpoint API global tidak menentukan lokasi di nama host URL. Contoh:

  • storage.googleapis.com
  • content-bigqueryconnection.googleapis.com
  • bigquerydatatransfer.mtls.googleapis.com
  • logging.googleapis.com

  Endpoint dengan cakupan global ini menyediakan endpoint layanan yang sangat tersedia yang menghentikan sesi TLS sedekat mungkin dengan klien, yang meminimalkan latensi saat melayani panggilan API dari populasi klien yang tersebar di internet.

• Endpoint API lokasi menentukan lokasi di nama host URL. Misalnya:

  • us-storage.googleapis.com
  • content-us-west3-bigqueryconnection.googleapis.com
  • us-west1-bigquerydatatransfer.mtls.googleapis.com
  • us-central1-logging.googleapis.com

  Endpoint lokasi ini menawarkan manfaat bagi pelanggan yang memerlukan penggunaan layanan khusus lokasi, dan ingin memastikan bahwa data dalam pengiriman tetap berada di lokasi tertentu saat diakses melalui konektivitas pribadi.

• Endpoint API regional menentukan lokasi sebagai sub-domain. Contoh:

  • storage.us-east2.rep.googleapis.com
  • content-bigqueryconnection.us-west3.rep.googleapis.com
  • bigquerydatatransfer.us-west1.rep.mtls.googleapis.com
  • logging.us-central1.rep.googleapis.com

  Endpoint regional ini menawarkan manfaat paling besar bagi pelanggan yang memerlukan penggunaan layanan khusus lokasi, dan ingin memiliki cara untuk memastikan bahwa data dalam transit tetap berada di lokasi tertentu saat diakses melalui konektivitas pribadi atau internet publik.

Batasan

Batasan Restrict Endpoint Usage mengontrol kemampuan untuk menggunakan endpoint API tertentu guna mengakses resource Anda. Constraint ini tidak boleh disamakan dengan batasan serupa lainnya, seperti:

• Batasan Lokasi Resource, yang mengontrol tempat resource dapat atau tidak dapat dibuat.
• Batasan Penggunaan Layanan Resource, yang mengontrol layanan resource mana yang dapat digunakan.

Agar tidak merusak infrastruktur penayangan yang ada, Anda harus menguji kebijakan organisasi baru di project dan folder non-produksi, lalu menerapkan kebijakan secara bertahap dalam organisasi Anda.

Batasan ini berlaku untuk subset produk dan jenis resource tertentu. Untuk daftar layanan yang didukung dan detail tentang perilaku setiap layanan, lihat bagian Endpoint API yang didukung.

Untuk mengetahui komitmen penyimpanan data, lihat Google Cloud Persyaratan Layanan dan Persyaratan Khusus Layanan. Kebijakan organisasi yang berisi batasan Batasi Penggunaan Endpoint bukanlah komitmen residensi data.

Menetapkan kebijakan organisasi

Untuk menetapkan, mengubah, atau menghapus kebijakan organisasi, Anda harus memiliki peran Administrator Kebijakan Organisasi.

Batasan kebijakan organisasi dapat ditetapkan di tingkat organisasi, folder, dan project. Setiap kebijakan berlaku untuk semua resource dalam hierarki resource yang sesuai, tetapi dapat diganti di level yang lebih rendah dalam hierarki resource.

Untuk mengetahui informasi selengkapnya tentang evaluasi kebijakan, lihat Memahami Evaluasi Hierarki.

Batasan Penggunaan Endpoint adalah jenis batasan daftar. Anda dapat menambahkan dan menghapus endpoint dari daftar denied_values batasan.

constraint: constraints/gcp.restrictEndpointUsage
listPolicy:
    deniedValues:
    - storage.googleapis.com
    - content-bigqueryreservation.googleapis.com
    - bigquerystorage.mtls.googleapis.com
    - logging.googleapis.com

gcloud resource-manager org-policies set-policy \
--RESOURCE_TYPE='RESOURCE_ID' /tmp/policy.yaml

constraint: constraints/gcp.restrictEndpointUsage
etag: CKCRl6oGEPjG-tMB
listPolicy:
  deniedValues:
  - storage.googleapis.com
  - content-bigqueryreservation.googleapis.com
  - bigquerystorage.mtls.googleapis.com
  - logging.googleapis.com
updateTime: '2023-11-04T04:29:20.444507Z'

Jika permintaan ke endpoint API yang ditolak mencoba mengakses resource, permintaan akan gagal, dan error yang menjelaskan alasan kegagalan ini akan ditampilkan.

Membuat kebijakan organisasi dalam mode uji coba

Kebijakan organisasi dalam mode uji coba adalah jenis kebijakan organisasi yang pelanggaran terhadap kebijakan tersebut dicatat dalam log audit, tetapi tindakan yang melanggar tidak ditolak. Anda dapat membuat kebijakan organisasi dalam mode uji coba menggunakan batasan Restrict Endpoint Usage untuk memantau pengaruhnya terhadap organisasi Anda sebelum Anda menerapkan kebijakan aktif. Untuk mengetahui informasi selengkapnya, lihat Membuat kebijakan organisasi dalam mode uji coba.

Pesan error

Jika Anda menetapkan kebijakan organisasi untuk menolak endpoint, operasi yang menggunakan endpoint tersebut dalam hierarki resource Anda akan gagal. Error akan ditampilkan yang menjelaskan alasan kegagalan ini. Selain itu, entri log audit dibuat untuk pemantauan, pemberitahuan, atau proses debug lebih lanjut.

Contoh pesan error

Pada contoh berikut, permintaan curl menggunakan endpoint API storage.googleapis.com gagal karena penerapan kebijakan:

curl -X GET \
-H "Authorization: Bearer OAUTH2_TOKEN" \
-o "SAVE_TO_LOCATION" \
"https://storage.googleapis.com/storage/v1/b/BUCKET_NAME/o/OBJECT_NAME?alt=media"

Access to projects/foo-123 through endpoint storage.googleapis.com was denied by
the constraints/gcp.restrictEndpointUsage organization policy constraint. To
access this resource, please use an allowed endpoint.

Contoh entri log audit

Contoh entri log audit berikut menunjukkan saat akses ke resource ditolak:

{
  logName: "projects/my-projectid/logs/cloudaudit.googleapis.com%2Fpolicy"
  protoPayload: {
    @type: "type.googleapis.com/google.cloud.audit.AuditLog"
    status: {
      code: 7
      message: "Access to projects/my-projectid through endpoint bigquery.googleapis.com was denied by the constraints/gcp.restrictEndpointUsage organization policy constraint. To access this resource, please use an allowed endpoint."
    }
    serviceName: "bigquery.googleapis.com"
    methodName: "google.cloud.bigquery.v2.TableDataService.InsertAll"
    resourceName: "projects/my-projectid"
    authenticationInfo: {
      principalEmail: "user_or_service_account@example.com"
    }
  }
  requestMetadata: {
    callerIp: "123.123.123.123"
  }
  policyViolationInfo: {
    orgPolicyViolationInfo: {
      violationInfo: [
        {
          constraint: "constraints/gcp.restrictEndpointUsage"
          checkedValue: "bigquery.googleapis.com"
          policyType: LIST_CONSTRAINT
        }
      ]
    }
  }
  resource: {
    type: "audited_resource"
    labels: {
      project_id: "224034263908"
      method: "google.cloud.bigquery.v2.TableDataService.InsertAll"
      service: "bigquery.googleapis.com"
    }
  }
  severity: "ERROR"
  timestamp: "2024-12-05T01:15:30.332519510Z"
  receiveTimestamp: "2024-08-15T17:55:01.159788588Z"
  insertId: "42"
}

Endpoint API yang didukung

Endpoint API berikut didukung oleh batasan Batasi Penggunaan Endpoint:

Grup nilai

Grup nilai adalah kumpulan grup dan endpoint API yang dipilih oleh Google untuk menyediakan cara yang lebih sederhana dalam menentukan batasan endpoint Anda. Grup nilai mencakup banyak endpoint API terkait dan diperluas dari waktu ke waktu oleh Google tanpa perlu mengubah kebijakan organisasi Anda untuk mengakomodasi endpoint baru.

Untuk menggunakan grup nilai dalam kebijakan organisasi Anda, beri awalan pada entri Anda dengan string in:. Untuk mengetahui informasi selengkapnya tentang penggunaan awalan nilai, lihat Menggunakan Batasan. Nama grup divalidasi saat panggilan untuk menetapkan kebijakan organisasi. Penggunaan nama grup yang tidak valid akan menyebabkan setelan kebijakan gagal.

Tabel berikut berisi daftar grup yang tersedia saat ini: