Usa los Controles del servicio de VPC con lotes

En este documento, se explica cómo usar los Controles del servicio de VPC con Batch. Los Controles del servicio de VPC te permiten proteger los recursos y los datos de los servicios de Google Cloud aislando recursos específicos en perímetros de servicio. Un perímetro de servicio bloquea las conexiones con servicios Google Cloud fuera del perímetro y cualquier conexión desde Internet que no esté permitida de forma explícita.

Para obtener más información sobre los conceptos de redes y cuándo configurarlas, consulta la Descripción general de las redes por lotes.

Antes de comenzar

  1. Si nunca usaste Batch, revisa Cómo comenzar a usar Batch y habilita Batch completando los requisitos previos para proyectos y usuarios.

  2. Para obtener los permisos que necesitas para usar Controles del servicio de VPC con Batch, pídele a tu administrador que te otorgue los siguientes roles de IAM:

    Para obtener más información sobre cómo otorgar roles, consulta Administra el acceso a proyectos, carpetas y organizaciones.

    También puedes obtener los permisos necesarios mediante roles personalizados o cualquier otro rol predefinido.

  3. Si creas un trabajo que se ejecuta en un perímetro de servicio, debes identificar la red que deseas usar para el trabajo. La red que especifiques para un trabajo que se ejecuta en un perímetro de servicio debe cumplir con los siguientes requisitos:
    • La red es una red de nube privada virtual (VPC) que se encuentra en el mismo proyecto que el trabajo o es una red de VPC compartida que se aloja en el proyecto del trabajo o se comparte con él.
    • La red incluye una subred en la ubicación en la que deseas ejecutar el trabajo.
    • La red se encuentra en el perímetro de servicio requerido y usa el Acceso privado a Google para permitir el acceso a los dominios de las APIs y los servicios que usa tu trabajo. Para obtener más información, consulta Configura un perímetro de servicio para Batch en este documento.
    Para obtener más información, consulta Crea y administra redes de VPC.

Configura un perímetro de servicio para Batch

Para configurar un perímetro de servicio para Batch, haz lo siguiente:

  1. Planifica la configuración de tu perímetro de servicio. Para obtener una descripción general de las etapas de configuración de los perímetros de servicio, consulta la documentación de los Controles del servicio de VPC para Configuración y detalles del perímetro de servicio.

    Para usar Batch, el perímetro de servicio debe cumplir con los siguientes requisitos:

    • Servicios restringidos: Para proteger Batch dentro de un perímetro de servicio, debes incluir los servicios de Google Cloud que se requieren para tus trabajos de Batch en ese perímetro, como los siguientes:

      • API de Batch (batch.googleapis.com)
      • API de Cloud Logging (logging.googleapis.com): Se requiere si deseas que tus trabajos escriban registros en Cloud Logging. (Recomendado)
      • API de Container Registry (containerregistry.googleapis.com): Se requiere si envías un trabajo que usa contenedores con una imagen de Container Registry.
      • API de Artifact Registry (artifactregistry.googleapis.com): Se requiere si envías un trabajo que usa contenedores con una imagen de Artifact Registry.
      • API de Filestore (file.googleapis.com): Se requiere si tu trabajo usa un archivo compartido de Filestore.
      • API de Cloud Storage (storage.googleapis.com): Se requiere para algunos trabajos que usan un bucket de Cloud Storage. Se requiere si usas una imagen para tu trabajo por lotes que no tiene preinstalado el agente de servicio de Batch.

      Para obtener información sobre cómo habilitar cada uno de estos servicios en tu perímetro de servicio, consulta Servicios accesibles de VPC.

      Para cada servicio que incluyas, además de Batch, también debes verificar que tu perímetro de servicio cumpla con los requisitos que se indican para ese servicio en la documentación de productos y limitaciones admitidos por los Controles del servicio de VPC.

    • Redes de VPC: Cada trabajo por lotes requiere una red de VPC, por lo que tu perímetro de servicio debe incluir una red de VPC en la que se puedan ejecutar trabajos por lotes. Para obtener información sobre cómo configurar una red de VPC que pueda ejecutar tus trabajos de Batch dentro de un perímetro de servicio, consulta los siguientes documentos:

  2. Crea un nuevo perímetro de servicio o actualiza uno existente para cumplir con estos requisitos.

Crea un trabajo que se ejecute en un perímetro de servicio

Cuando creas un trabajo que se ejecuta en un perímetro de servicio, también debes bloquear el acceso externo para todas las VMs en las que se ejecuta el trabajo y especificar una red y una subred que permitan que el trabajo acceda a las APIs requeridas.

Para crear un trabajo que se ejecute en un perímetro de servicio, sigue los pasos que se indican en la documentación para crear un trabajo que bloquee el acceso externo para todas las VMs y especifica una red que cumpla con los requisitos de red para un trabajo que se ejecute en un perímetro de servicio.

¿Qué sigue?