Utiliser VPC Service Controls avec Batch

Ce document explique comment utiliser VPC Service Controls avec Batch. VPC Service Controls vous permet de protéger les ressources et les données des services Google Cloud en isolant des ressources spécifiques dans des périmètres de service. Un périmètre de service bloque les connexions avec les services Google Cloud en dehors du périmètre et toutes les connexions provenant d'Internet qui ne sont pas explicitement autorisées.

Pour en savoir plus sur les concepts de mise en réseau et sur le moment où configurer la mise en réseau, consultez Présentation de la mise en réseau par lot.

Avant de commencer

  1. Si vous n'avez jamais utilisé Batch, consultez Premiers pas avec Batch et activez Batch en remplissant les conditions préalables pour les projets et les utilisateurs.

  2. Pour obtenir les autorisations nécessaires pour utiliser les VPC Service Controls avec Batch, demandez à votre administrateur de vous accorder les rôles IAM suivants :

    Pour en savoir plus sur l'attribution de rôles, consultez Gérer l'accès aux projets, aux dossiers et aux organisations.

    Vous pouvez également obtenir les autorisations requises avec des rôles personnalisés ou d'autres rôles prédéfinis.

  3. Si vous créez un job qui s'exécute dans un périmètre de service, vous devez identifier le réseau que vous souhaitez utiliser pour le job. Le réseau que vous spécifiez pour un job exécuté dans un périmètre de service doit répondre aux exigences suivantes : Pour en savoir plus, consultez Créer et gérer des réseaux VPC.

Configurer un périmètre de service pour Batch

Pour configurer un périmètre de service pour Batch, procédez comme suit :

  1. Planifiez la configuration de votre périmètre de service. Pour obtenir une présentation des étapes de configuration des périmètres de service, consultez la documentation de VPC Service Controls sur les périmètres de service : détails et configuration.

    Pour utiliser Batch, le périmètre de service doit répondre aux exigences suivantes :

    • Services restreints : pour sécuriser Batch dans un périmètre de service, vous devez inclure les services Google Cloud requis pour vos jobs Batch dans ce périmètre, tels que les suivants :

      • API Batch (batch.googleapis.com)
      • API Cloud Logging (logging.googleapis.com) : obligatoire si vous souhaitez que vos jobs écrivent des journaux dans Cloud Logging. (Recommandé)
      • API Container Registry (containerregistry.googleapis.com) : obligatoire si vous envoyez un job qui utilise des conteneurs avec une image provenant de Container Registry.
      • API Artifact Registry (artifactregistry.googleapis.com) : obligatoire si vous envoyez un job qui utilise des conteneurs avec une image provenant d'Artifact Registry.
      • API Filestore (file.googleapis.com) : obligatoire si votre job utilise un partage de fichiers Filestore.
      • API Cloud Storage (storage.googleapis.com) : requise pour certains jobs qui utilisent un bucket Cloud Storage. Obligatoire si vous utilisez une image pour votre job Batch qui n'a pas l'agent de service Batch préinstallé.

      Pour savoir comment activer chacun de ces services dans votre périmètre de service, consultez Services accessibles par VPC.

      Pour chaque service que vous incluez en plus de Batch, vous devez également vérifier que votre périmètre de service répond aux exigences listées pour ce service dans la documentation Produits et limites compatibles avec VPC Service Controls.

    • Réseaux VPC : chaque job Batch nécessite un réseau VPC. Votre périmètre de service doit donc inclure un réseau VPC sur lequel les jobs Batch peuvent s'exécuter. Pour savoir comment configurer un réseau VPC capable d'exécuter vos jobs Batch dans un périmètre de service, consultez les documents suivants :

  2. Créez un périmètre de service ou mettez à jour un périmètre de service existant pour répondre à ces exigences.

Créer un job qui s'exécute dans un périmètre de service

Lorsque vous créez un job qui s'exécute dans un périmètre de service, vous devez également bloquer l'accès externe pour toutes les VM sur lesquelles le job s'exécute et spécifier un réseau et un sous-réseau qui permettent au job d'accéder aux API requises.

Pour créer un job qui s'exécute dans un périmètre de service, suivez les étapes de la documentation Créer un job qui bloque l'accès externe pour toutes les VM et spécifiez un réseau qui répond aux exigences réseau pour un job qui s'exécute dans un périmètre de service.

Étapes suivantes