Usa los Controles del servicio de VPC con Batch

En este documento, se explica cómo usar los Controles del servicio de VPC con Batch. Controles del servicio de VPC te permite proteger los recursos y datos de los servicios de Google Cloud aislando recursos específicos en perímetros de servicio. Un servicio perímetro bloquea las conexiones con los servicios de Google Cloud fuera en el perímetro y cualquier conexión desde Internet que no se por lo que está permitido.

Para obtener más información sobre los conceptos de red cuándo configurar las redes, consulta Descripción general de las herramientas de redes por lotes.

Antes de comenzar

  1. Si nunca usaste Batch, revisa Comienza a usar Batch y habilitar Batch completando el requisitos previos para los proyectos y usuarios.

  2. A fin de obtener los permisos que necesitas para usar los Controles del servicio de VPC con Batch, solicita a tu administrador que te otorgue el los siguientes roles de IAM:

    Para obtener más información sobre cómo otorgar roles, consulta Administra el acceso a proyectos, carpetas y organizaciones.

    También puedes obtener los permisos necesarios mediante roles personalizados o cualquier otro rol predefinido.

  3. Si creas un trabajo que se ejecuta en un perímetro de servicio, debes identificar el que quieres usar para el trabajo. La red que especificas para una El trabajo que se ejecuta en un perímetro de servicio debe cumplir con los siguientes requisitos:
    • La red es una red de nube privada virtual (VPC) que se encuentra en mismo proyecto que el trabajo o es un Red de VPC compartida que se aloja o se comparte con el proyecto para el trabajo.
    • La red incluye una subred en la ubicación en la que quieres ejecutar el trabajo.
    • La red se encuentra en el perímetro de servicio requerido y usa el Acceso privado a Google para permitir el acceso a los dominios de las APIs y los servicios que usa tu trabajo. Para obtener más información, consulta Configura un perímetro de servicio para Batch en este documento.
    Para obtener más información, consulta Crear y administrar redes de VPC.

Configura un perímetro de servicio para Batch

Si deseas configurar un perímetro de servicio para Batch, haz lo siguiente:

  1. Planifica la configuración de tu perímetro de servicio. Para obtener un resumen del etapas de configuración para perímetros de servicio, consulta Controles del servicio de VPC documentación para Detalles y configuración del perímetro de servicio.

    Para usar Batch, el perímetro de servicio debe cumplir con los siguientes requisitos:

    • Servicios restringidos: para proteger Batch perímetro de servicio, debes incluir los servicios de Google Cloud que los trabajos por lotes en ese perímetro, como los siguientes:

      • API de Batch (batch.googleapis.com)
      • API de Cloud Logging (logging.googleapis.com): Obligatorio si lo deseas tus trabajos para escribir registros en Cloud Logging. (Recomendado)
      • API de Container Registry (containerregistry.googleapis.com): Es obligatorio si envías un trabajo que usa contenedores con una imagen de Container Registry.
      • API de Artifact Registry (artifactregistry.googleapis.com): obligatoria si envías un trabajo que usa contenedores con una imagen de Artifact Registry
      • API de Filestore (file.googleapis.com): Es obligatoria si tu usa una Archivos compartidos de Filestore.
      • API de Cloud Storage (storage.googleapis.com): Obligatorio para algunos trabajos que usan un Bucket de Cloud Storage. Es obligatorio si usas un para tu trabajo por lotes que no tenga la Agente de servicio por lotes preinstalado.

      Para obtener más información sobre cómo habilitar cada uno de estos servicios en tu perímetro de servicio, consulta Servicios accesibles de VPC.

      Para cada servicio que incluyas, además de Batch, también debes verificar que el perímetro de servicio cumpla con los requisitos que se indican para ese servicio en la documentación de Productos y limitaciones admitidos de los Controles del servicio de VPC.

    • Redes de VPC: cada trabajo por lotes requiere una red de VPC, por lo que tu perímetro de servicio debe incluyen una red de VPC que realice trabajos por lotes en los que se puede ejecutar. Para aprender a configurar una red de VPC que ejecutar tus trabajos de Batch dentro de un perímetro de servicio, consulta los siguientes documentos:

  2. Crea un perímetro de servicio nuevo o actualiza un perímetro de servicio existente para cumplir con estos requisitos.

Crea un trabajo que se ejecute en un perímetro de servicio

Cuando creas un trabajo que se ejecuta en un perímetro de servicio, también debes bloquear el acceso externo para todas las VMs en las que se ejecuta un trabajo y especificar una red y que permita que el trabajo acceda a las APIs necesarias.

Para crear un trabajo que se ejecute en un perímetro de servicio, sigue los pasos que se indican en la documentación para crear un trabajo que bloquee el acceso externo de todas las VMs y especifica una red que cumpla con los requisitos de red para un trabajo que se ejecute en un perímetro de servicio.

¿Qué sigue?