Proteger aplicativos cliente-servidor

Console

1. O acesso a serviços particulares exige reservar um intervalo de endereços IP para que não haja colisões de endereços IP; entre sua rede VPC e a rede VPC gerenciada pelo Google. Conclua as Siga estas etapas para alocar um intervalo de IP:

   1. Acesse a página "Redes VPC" no Console do Google Cloud.
      Acesse Redes VPC

   2. Selecione a rede VPC conectada ao seu aplicativo.

   3. Selecione a guia Conexão de serviço privado.

   4. Na guia Conexão de serviço privado, selecione Intervalos de IP alocados para serviços.

   5. Clique em Alocar intervalo de IP.

   6. Insira um Nome e uma Descrição para o intervalo de IP a ser alocado.

   7. Especifique um intervalo de IP para a alocação:

      • Para especificar um intervalo de endereços IP, selecione Personalizado e insira um bloco CIDR, como 192.168.0.0/16.
      • Para especificar o tamanho de um prefixo e permitir que o Google selecione um intervalo disponível, selecione Automático e insira um tamanho de prefixo, como 16.

      Especifique uma rede de, no mínimo, /24.

   8. Clique em Alocar para criar o intervalo alocado.

2. crie um peering de rede VPC a conexão seguindo as etapas abaixo:

   1. Acesse a página "Redes VPC" no Console do Google Cloud.
      Acesse Redes VPC
   2. Selecione a rede VPC conectada ao seu aplicativo.
   3. Selecione a guia Conexão de serviço privado.
   4. Na guia Conexão de serviço privado, selecione a guia Conexões privadas com os serviços.
   5. Clique em Criar conexão para criar uma conexão particular entre sua rede e o serviço de conector de cliente.
   6. Na janela que abrir, deixe o padrão para Produtor de serviço conectado. Em Alocação atribuída, escolha a opção para o intervalo de tempo que você criou na etapa anterior.
   7. Clique em Conectar para criar a conexão.

3. Crie uma regra de firewall.

   1. No Console do Google Cloud, acesse a página Firewall.
      Acessar a página "Firewall"
   2. Clique em Criar regra de firewall.
   3. Digite um Nome para a regra do firewall.
      O nome do projeto precisa ser exclusivo.
   4. Opcional: é possível ativar regras de firewall geração de registros:
      • Clique em Registros > Ativado.
      • Para omitir metadados, expanda Detalhes dos registros e desmarque Incluir metadados.
   5. Especifique a rede conectada ao aplicativo.
   6. Especifique a Prioridade da regra. Quanto menor o número, maior a prioridade.
   7. Em Direção de tráfego, selecione Entrada.
   8. Em Ação se houver correspondência, selecione Permitir.
   9. Em Destinos, selecione Todas as instâncias na rede.
   10. Em Filtro de origem, selecione IPv4 ranges e insira o Valores address e prefixLength da Etapa 1 para representar o intervalo de IP alocado no formato CIDR. Use o formato 0.0.0.0/0 para qualquer origem IPv4.
   11. Em Protocolos e portas, selecione Permitir todos para que a regra seja aplicada. se aplicam a todos os protocolos e portas de destino.
   12. Clique em CRIAR.

gcloud

1. O Acesso a serviços particulares exige que você reserve um intervalo de endereços IP para que não haja colisões de endereços IP entre a rede VPC e a rede VPC gerenciada pelo Google. Execute o comando a seguir para alocar um intervalo de IP:

   gcloud compute addresses create RESERVED_RANGE \
     --network=CONSUMER_NETWORK \
     --project=CONSUMER_PROJECT \
     --prefix-length=16 \
     --purpose=VPC_PEERING \
     --global
   

   Substitua:

   • RESERVED_RANGE: o nome do intervalo de endereços IP a ser reservados para peering de VPC. O nome só pode conter letras minúsculas, números e hifens.
   • CONSUMER_NETWORK: o nome da rede VPC conectada ao aplicativo.
   • CONSUMER_PROJECT: o ID do projeto que hospeda o CONSUMER_NETWORK.

2. Crie a conexão de peering da VPC.

   gcloud services vpc-peerings connect \
     --network=CONSUMER_NETWORK \
     --project=CONSUMER_PROJECT \
     --ranges=RESERVED_RANGE \
     --service="servicenetworking.googleapis.com"
   

   Substitua:

   • CONSUMER_NETWORK: o nome da rede VPC conectada a o aplicativo.
   • CONSUMER_PROJECT: o ID do projeto que hospeda o CONSUMER_NETWORK.
   • RESERVED_RANGE: o nome do intervalo reservado para o peering de VPC.

3. Confira os detalhes do intervalo de IP alocado.

   gcloud compute addresses describe RESERVED_RANGE \
     --global \
     --project=CONSUMER_PROJECT
   

   Substitua:

   • RESERVED_RANGE: o nome do intervalo reservado para o peering de VPC.
   • CONSUMER_PROJECT: o ID do projeto que hospeda o CONSUMER_NETWORK.

4. Use os valores address e prefixLength da saída na etapa anterior para representar o intervalo de IP alocado no formato CIDR e crie uma regra de firewall.

   gcloud compute firewall-rules create "allow-peered-ingress" \
     --network=CONSUMER_NETWORK \
     --project=CONSUMER_PROJECT \
     --direction ingress \
     --action allow \
     --source-ranges={Allocated IP range in CIDR format i.e. address/prefixLength} \
     --rules=all
   

   Substitua:

   • CONSUMER_NETWORK: o nome da rede VPC conectada a o aplicativo.
   • CONSUMER_PROJECT: o ID do projeto que hospeda o CONSUMER_NETWORK.

Console

1. Acesse a página de administrador do IAP.

   Acessar o IAP

2. Clique em Conectores > ATIVE O CONECTOR DO CLIENTE.

3. Insira a rede VPC que receberá o tráfego de clientes gerenciados.

4. Selecione as regiões com que seus clientes podem se conectar. Os gateways de cliente são criados nesta etapa. Portanto, não é necessário criar os gateways no procedimento Criar, verificar ou remover gateways de cliente.

5. Digite o intervalo de endereços IP dos aplicativos conector de cliente para alcançar.

6. Clique em ATIVAR O CONECTOR DO CLIENTE. A criação do conector pode levar vários minutos.

gcloud

Execute este comando:

gcloud beta beyondcorp client-connector services create CLIENT_CONNECTOR_SERVICE_NAME \
  --project=CONSUMER_PROJECT \
  --location=SERVICE_LOCATION \
  --config-from-file=/path/to/file/config.json

em que config.json é:

   {
     "ingress": {
       "config": {
         "transportProtocol": "TCP",
         "destinationRoutes": [{
           "address": "DESTINATION_ADDRESS",
           "netmask": "DESTINATION_MASK"
         }]
       }
     },
     "egress": {
       "peeredVpc": {
         "networkVpc": "projects/CONSUMER_PROJECT/global/networks/CONSUMER_NETWORK"
       }
     }
   }

Substitua:

• CLIENT_CONNECTOR_SERVICE_NAME: o nome do cliente conector.
• CONSUMER_PROJECT: o ID do projeto que hospeda o CONSUMER_NETWORK.
• SERVICE_LOCATION: a região em que o cliente será criado. conector. É possível especificar uma das seguintes regiões: asia-east1, europe-west1, us-east1 e us-central1.
• DESTINATION_ADDRESS: o endereço do host do destino. que hospeda o aplicativo. Por exemplo, se o aplicativo usa 10.0.0.0/28, o endereço é 10.0.0.0.
• DESTINATION_MASK: a máscara de rede da sub-rede de destino que hospeda o aplicativo. Por exemplo, se o aplicativo usar 10.0.0.0/28, a máscara é 255.255.255.240.
• CONSUMER_NETWORK: o nome da rede VPC conectada a o aplicativo.

API

Execute este comando:

curl -X POST \
-H "Authorization: Bearer $(gcloud auth print-access-token)" \
-H "Content-Type: application/json" \
-d @config.json \
https://beyondcorp.googleapis.com/v1/projects/CONSUMER_PROJECT/locations/SERVICE_LOCATION/clientConnectorServices?client_connector_service_id=CLIENT_CONNECTOR_SERVICE_NAME

em que config.json é:

   {
     "ingress": {
       "config": {
         "transportProtocol": "TCP",
         "destinationRoutes": [{
           "address": "DESTINATION_ADDRESS",
           "netmask": "DESTINATION_MASK"
         }]
       }
     },
     "egress": {
       "peeredVpc": {
         "networkVpc": "projects/CONSUMER_PROJECT/global/networks/CONSUMER_NETWORK"
       }
     }
   }

Substitua:

• DESTINATION_ADDRESS: o endereço do host do destino. que hospeda o aplicativo. Por exemplo, se o aplicativo usa 10.0.0.0/28, o endereço é 10.0.0.0.
• DESTINATION_MASK: a máscara de rede da sub-rede de destino que hospeda o aplicativo. Por exemplo, se o aplicativo usar 10.0.0.0/28, a máscara é 255.255.255.240.
• CONSUMER_PROJECT: o ID do projeto que hospeda o CONSUMER_NETWORK.
• CONSUMER_NETWORK: o nome da rede VPC conectada ao aplicativo.
• SERVICE_LOCATION: a região em que o cliente será criado. conector.
• CLIENT_CONNECTOR_SERVICE_NAME: o nome do serviço de conector do cliente.

Console

1. Acesse a página de administrador do IAP.

   Acessar o IAP

2. Clique em Conectores. Seu conector deve estar listado na coluna Cliente conector e deve ter uma marca de seleção verde para o status.

gcloud

Execute o comando a seguir.

gcloud beta beyondcorp client-connector services list \
  --project=CONSUMER_PROJECT \
  --location=SERVICE_LOCATION

Substitua:

• CONSUMER_PROJECT: o ID do projeto que hospeda o CONSUMER_NETWORK.
• SERVICE_LOCATION: a região em que o cliente será criado. conector.

API

Execute este comando:

curl -X GET \
-H "Authorization: Bearer $(gcloud auth print-access-token)" \
https://beyondcorp.googleapis.com/v1/projects/CONSUMER_PROJECT/locations/SERVICE_LOCATION/clientConnectorServices

Substitua:

• CONSUMER_PROJECT: o ID do projeto que hospeda o CONSUMER_NETWORK.
• SERVICE_LOCATION: a região em que o conector de cliente ou serviço está localizado.

Console

Atualize as rotas de destino seguindo estas etapas:

1. Acesse a página de administrador do IAP.

   Acessar o IAP

2. Clique em Conectores.

3. Na seção Conector do cliente, clique no ícone de lápis ao lado do conector de cliente que você quer atualizar.

4. Insira os novos endereços de host e máscaras de rede das sub-redes de destino hospedar os aplicativos e, em seguida, clique em ATUALIZAR CONECTOR DE CLIENTE.

gcloud

Atualize as rotas de destino executando o seguinte comando:

gcloud beta beyondcorp client-connector services update CLIENT_CONNECTOR_SERVICE_NAME \
  --project=CONSUMER_PROJECT \
  --location=SERVICE_LOCATION \
  --config-from-file=/path/to/file/config.json

em que config.json é:

{
  "ingress":{
    "config":{
      "destinationRoutes":[
        {
          "address":"NEW_DESTINATION_ADDRESS1",
          "netmask":"NEW_DESTINATION_MASK1"
        },
        {
          "address":"NEW_DESTINATION_ADDRESS2",
          "netmask":"NEW_DESTINATION_MASK2"
        }
      ]
    }
  }
}

Substitua:

• CLIENT_CONNECTOR_SERVICE_NAME: o nome do cliente conector.
• CONSUMER_PROJECT: o ID do projeto que hospeda o CONSUMER_NETWORK.
• SERVICE_LOCATION: a região em que o conector de cliente ou serviço está localizado.
• NEW_DESTINATION_ADDRESS1, NEW_DESTINATION_ADDRESS2: Os novos endereços de host das sub-redes de destino que hospedam os aplicativos.
• NEW_DESTINATION_MASK1, NEW_DESTINATION_MASK2: o novas máscaras de rede para as sub-redes de destino.

API

Para atualizar as rotas de destino, execute o seguinte comando:

curl -X PATCH \
-H "Authorization: Bearer $(gcloud auth print-access-token)" \
-H "Content-Type: application/json" \
-d @update.json \
https://beyondcorp.googleapis.com/v1/projects/CONSUMER_PROJECT/locations/SERVICE_LOCATION/clientConnectorServices/CLIENT_CONNECTOR_SERVICE_NAME?update_mask=ingress.config.destinationRoutes

Onde update.json é:

{
  "ingress":{
    "config":{
      "destinationRoutes":[
        {
          "address":"NEW_DESTINATION_ADDRESS1",
          "netmask":"NEW_DESTINATION_MASK1"
        },
        {
          "address":"NEW_DESTINATION_ADDRESS2",
          "netmask":"NEW_DESTINATION_MASK2"
        }
      ]
    }
  }
}

Substitua:

• CONSUMER_PROJECT: o ID do projeto que hospeda o CONSUMER_NETWORK.
• SERVICE_LOCATION: a região em que o conector de cliente ou serviço está localizado.
• CLIENT_CONNECTOR_SERVICE_NAME: o nome do cliente conector.
• NEW_DESTINATION_ADDRESS1, NEW_DESTINATION_ADDRESS2: Os novos endereços de host das sub-redes de destino que hospedam os aplicativos.
• NEW_DESTINATION_MASK1, NEW_DESTINATION_MASK2: o novas máscaras de rede para as sub-redes de destino.

Console

1. Acesse a página de administrador do IAP.

   Acessar o IAP

2. Clique em Conectores.

3. Na seção Conector de cliente, clique no ícone de lixeira para remover a do conector de cliente e dos gateways delas. Isso pode levar alguns minutos.

gcloud

Execute o comando a seguir.

gcloud beta beyondcorp client-connector services delete CLIENT_CONNECTOR_SERVICE_NAME \
  --project CONSUMER_PROJECT \
  --location SERVICE_LOCATION

Substitua:

• CLIENT_CONNECTOR_SERVICE_NAME: o nome do cliente conector.
• CONSUMER_PROJECT: o ID do projeto que hospeda o CONSUMER_NETWORK.
• SERVICE_LOCATION: a região em que o conector de cliente ou serviço está localizado.

API

Execute o comando a seguir.

curl -X DELETE \
-H "Authorization: Bearer $(gcloud auth print-access-token)" \
https://beyondcorp.googleapis.com/v1/projects/CONSUMER_PROJECT/locations/SERVICE_LOCATION/clientConnectorServices/CLIENT_CONNECTOR_SERVICE_NAME

Substitua:

• CONSUMER_PROJECT: o ID do projeto que hospeda o CONSUMER_NETWORK.
• SERVICE_LOCATION: a região em que o conector de cliente ou serviço está localizado.
• CLIENT_CONNECTOR_SERVICE_NAME: o nome do cliente conector.

Console

1. Se você estiver usando o console para configurar o conector de cliente, os gateways de cliente serão criados quando você criar o serviço de conector de cliente em uma etapa anterior.

2. Para verificar se os gateways do cliente estão em execução:

   1. Acesse a página de administrador do IAP.

      Acessar o IAP

   2. Clique em Conectores. Seu conector, junto com os gateways associados, devem estar listados na seção Conector do cliente e devem ter uma marca de seleção verde para o status.

3. Opcional: para remover um gateway do cliente, conclua as etapas a seguir.

   1. Acesse a página de administrador do IAP.

      Acessar o IAP

   2. Clique em Conectores.

   3. Na seção Conector do cliente, clique no ícone de lápis ao lado do conector de cliente em que você quer remover um gateway.

   4. Remova uma região do serviço do conector desmarcando a caixa de seleção da região na lista suspensa Regiões do gateway e clique em ATUALIZAR CONECTOR DO CLIENTE.

gcloud

1. Crie um gateway do cliente.

   gcloud beta beyondcorp client-connector gateways create CLIENT_GATEWAY_NAME \
     --project CONSUMER_PROJECT \
     --location GATEWAY_LOCATION \
     --client-connector-service \
     projects/CONSUMER_PROJECT/locations/SERVICE_LOCATION/clientConnectorServices/CLIENT_CONNECTOR_SERVICE_NAME
   

   Substitua:

   • CLIENT_GATEWAY_NAME: o nome do gateway do cliente.
   • CONSUMER_PROJECT: o ID do projeto que hospeda o CONSUMER_NETWORK.
   • GATEWAY_LOCATION: a região em que o cliente será criado. para outro gateway de VPN de alta disponibilidade.
   • SERVICE_LOCATION: a região em que o conector de cliente ou serviço está localizado.
   • CLIENT_CONNECTOR_SERVICE_NAME: o nome do cliente conector.

2. Verifique se os gateways do cliente estão em execução.

   gcloud beta beyondcorp client-connector gateways list \
     --project CONSUMER_PROJECT \
     --location GATEWAY_LOCATION
   

   Substitua:

   • CONSUMER_PROJECT: o ID do projeto que hospeda o CONSUMER_NETWORK.
   • GATEWAY_LOCATION: a região em que o gateway do cliente está localizado.

3. Opcional: remova um gateway do cliente.

   gcloud beta beyondcorp client-connector gateways delete CLIENT_GATEWAY_NAME \
     --project CONSUMER_PROJECT \
     --location GATEWAY_LOCATION
   

   Substitua:

   • CLIENT_GATEWAY_NAME: o nome do gateway do cliente.
   • CONSUMER_PROJECT: o ID do projeto que hospeda o CONSUMER_NETWORK.
   • GATEWAY_LOCATION: a região em que o gateway do cliente está localizado.

API

1. Execute o comando a seguir.

   curl -X POST \
   -H "Authorization: Bearer $(gcloud auth print-access-token)" \
   -H "Content-Type: application/json" \
   -d "{client_connector_service: \"projects/CONSUMER_PROJECT/locations/SERVICE_LOCATION/clientConnectorServices/CLIENT_CONNECTOR_SERVICE_NAME\"}" \
   https://beyondcorp.googleapis.com/v1/projects/CONSUMER_PROJECT/locations/GATEWAY_LOCATION/clientGateways?client_gateway_id=CLIENT_GATEWAY_NAME
   

   Substitua:

   • CONSUMER_PROJECT: o ID do projeto que hospeda o CONSUMER_NETWORK.
   • SERVICE_LOCATION: a região em que o conector de cliente ou serviço está localizado.
   • CLIENT_CONNECTOR_SERVICE_NAME: o nome do cliente conector.
   • GATEWAY_LOCATION: a região em que o gateway do cliente será criado.
   • CLIENT_GATEWAY_NAME: o nome do gateway do cliente.

   Esta etapa pode levar vários minutos para ser concluída.

2. Verifique se os gateways do cliente estão em execução.

   curl -X GET \
   -H "Authorization: Bearer $(gcloud auth print-access-token)" \
   https://beyondcorp.googleapis.com/v1/projects/CONSUMER_PROJECT/locations/GATEWAY_LOCATION/clientGateways
   

   Substitua:

   • CONSUMER_PROJECT: o ID do projeto que hospeda o CONSUMER_NETWORK.
   • GATEWAY_LOCATION: a região em que o gateway do cliente está localizado.

3. Opcional: remova um gateway do cliente.

   curl -X DELETE \
   -H "Authorization: Bearer $(gcloud auth print-access-token)" \
   https://beyondcorp.googleapis.com/v1/projects/CONSUMER_PROJECT/locations/GATEWAY_LOCATION/clientGateways/CLIENT_GATEWAY_NAME
   

   Substitua:

   • CONSUMER_PROJECT: o ID do projeto que hospeda o CONSUMER_NETWORK.
   • GATEWAY_LOCATION: a região em que o conector de cliente do Google Cloud está localizado.
   • CLIENT_GATEWAY_NAME: o nome do gateway do cliente.

Console

1. Acesse a página de administrador do IAP.

   Acessar o IAP

2. Clique na guia APLICAÇÕES e, na lista Recurso, expanda Aplicativos não da Web.
3. Selecione seu conector de cliente. Uma seção com as permissões do IAM associadas seu conector será aberto.
4. É possível atualizar as políticas do IAM associadas ao seu conector de cliente na seção que será aberta.

gcloud

1. Leia a política atual. O método getIamPolicy() lê a imagem Política do IAM para o recurso de serviço do conector de cliente no policy.json.

   gcloud beta beyondcorp client-connector services get-iam-policy CLIENT_CONNECTOR_SERVICE_NAME \
     --project=CONSUMER_PROJECT \
     --location=SERVICE_LOCATION > policy.json
   

   Substitua:

   • CLIENT_CONNECTOR_SERVICE_NAME: o nome do cliente conector.
   • CONSUMER_PROJECT: o ID do projeto que hospeda o CONSUMER_NETWORK.
   • SERVICE_LOCATION: a região em que o cliente conector está localizado.

2. Edite a política retornada. Atualize as vinculações em policy.json para incluir a nova atribuição de função do IAM. Você pode fazer isso em um modelo com o editor ou programaticamente. Exemplo:

   {
               "bindings": [
                 {
                   "role": "roles/beyondcorp.clientConnectorServiceUser",
                   "members": [
                     "user:EXAMPLE_USER@EXAMPLE.COM",
                     "group:EXAMPLE_GROUP@EXAMPLE.COM",
                   ],
                   "condition":
                    {
                      "expression":
           "'accessPolicies/POLICY_NAME/accessLevels/LEVEL_NAME' in
           request.auth.access_levels",
                     "title": "CONDITION_NAME"
                   }
                 }
               ]
   }
   

   Substitua:

   • POLICY_NAME: o nome numérico da sua política de acesso do Access Context Manager.
   • LEVEL_NAME: o nome do nível de acesso do Access Context Manager.
   • CONDITION_NAME: o texto do título da condição do IAM.

3. Grave a política atualizada. Você pode usar o método setIamPolicy() para gravar a política do IAM atualizada. Exemplo:

   gcloud beta beyondcorp client-connector services set-iam-policy CLIENT_CONNECTOR_SERVICE_NAME policy.json \
     --project=CONSUMER_PROJECT \
     --location=SERVICE_LOCATION

   Substitua:

   • CLIENT_CONNECTOR_SERVICE_NAME: o nome do serviço do conector do cliente.
   • CONSUMER_PROJECT: o ID do projeto que hospeda o CONSUMER_NETWORK.
   • SERVICE_LOCATION: a região em que o serviço do conector do cliente está localizado.

API

1. Leia a política atual. O método getIamPolicy() lê a imagem Política do IAM para o recurso de serviço do conector de cliente no policy.json.

   curl -X GET \
   -H "Authorization: Bearer $(gcloud auth print-access-token)" \
   -H "Content-Type: application/json" \
   https://beyondcorp.googleapis.com/v1/projects/CONSUMER_PROJECT/locations/SERVICE_LOCATION/clientConnectorServices/CLIENT_CONNECTOR_SERVICE_NAME:getIamPolicy > policy.json
   

   Substitua:

   • CONSUMER_PROJECT: o ID do projeto que hospeda o CONSUMER_NETWORK.
   • SERVICE_LOCATION: a região em que o serviço do conector do cliente está localizado.
   • CLIENT_CONNECTOR_SERVICE_NAME: o nome do serviço do conector do cliente.

2. Edite a política retornada. Atualize as vinculações em policy.json para incluir a nova atribuição de papel do IAM. Você pode fazer isso em um modelo com o editor ou programaticamente. Exemplo:

    {
      "policy": {
         "bindings": [
           {
             "role": "roles/beyondcorp.clientConnectorServiceUser",
             "members": [
               "user:EXAMPLE_USER@EXAMPLE.COM",
               "group:EXAMPLE_GROUP@EXAMPLE.COM",
            ],
            "condition":
             {
               "expression":
    "'accessPolicies/POLICY_NAME/accessLevels/LEVEL_NAME' in
    request.auth.access_levels",
               "title": "CONDITION_NAME"
             }
          }
        ]
      }
    }
    

   Substitua:

   • POLICY_NAME: o nome numérico da sua política de acesso do Access Context Manager.
   • LEVEL_NAME: o nome do nível de acesso do Access Context Manager.
   • CONDITION_NAME: o texto do título da condição do IAM.

3. Grave a política atualizada. Você pode usar o método setIamPolicy() para gravar a política do IAM atualizada. Exemplo:

   curl -X POST \
   -H "Authorization: Bearer $(gcloud auth print-access-token)" \
   -H "Content-Type: application/json" \
   -d @policy.json \
   https://beyondcorp.googleapis.com/v1/projects/CONSUMER_PROJECT/locations/SERVICE_LOCATION/clientConnectorServices/CLIENT_CONNECTOR_SERVICE_NAME:setIamPolicy
    

   Substitua:

   • CONSUMER_PROJECT: o ID do projeto que hospeda o CONSUMER_NETWORK.
   • SERVICE_LOCATION: a região em que o serviço de conector do cliente está localizado.
   • CLIENT_CONNECTOR_SERVICE_NAME: o nome do serviço do conector do cliente.