使用 VPC Service Controls 強制執行以憑證為基礎的存取權

如要保護 Google Cloud 專案中的服務,並降低資料外洩風險,您可以在機構、資料夾或專案層級指定 VPC Service Controls 服務範圍。套用服務範圍後,您就能精細控管輸入政策,以及要保護的服務和資源。

如要進一步瞭解服務範圍的好處,請參閱「VPC Service Controls 總覽」。

將 CBA ingress 政策套用至服務範圍

將 CBA 存取層級套用至服務範圍,即可只從信任的裝置授予範圍保護資源的存取權。如要進一步瞭解如何建立 CBA 存取層級,請參閱「建立以憑證為基礎的存取權存取層級」。

下圖說明基本範例,說明如何將 CBA 存取層級與服務範圍建立關聯,藉此限制來自不明裝置的 Cloud Storage 敏感資料存取權:

將 CBA 存取層級與服務範圍建立關聯,以便限制存取權

如要將 CBA 輸入政策套用至服務範圍,請完成下列步驟:

  1. 在 Google Cloud 控制台導覽選單中,依序點選「Security」(安全性) 和「VPC Service Controls」

    前往「VPC Service Controls」頁面

  2. 在「VPC Service Controls」頁面的資料表中,按一下您要修改的服務範圍名稱。

  3. 在「Edit VPC Service Perimeter」(編輯 VPC 服務範圍) 頁面中,按一下「存取層級」

  4. 在「選擇存取層級」中,選取 CBA 存取層級。

  5. 按一下 [儲存]