Mit Sammlungen den Überblick behalten
Sie können Inhalte basierend auf Ihren Einstellungen speichern und kategorisieren.
VPC Service Controls für Integration Connectors einrichten
Mit VPC Service Controls können Sie einen Sicherheitsbereich um den Google Cloud-Dienst von Integration Connectors definieren. Mit dem Sicherheitsbereich um Ihren Dienst können Sie Daten innerhalb eines VPC Service Controls-Perimeters einschränken und das Risiko einer Daten-Exfiltration minimieren. Wenn Sie noch nicht mit VPC Service Controls vertraut sind, sollten Sie die folgenden Informationen lesen:
In diesem Dokument wird beschrieben, wie Sie den Zugriff auf den Integration Connectors-Dienst (connectors.googleapis.com) mithilfe des VPC Service Controls-Perimeters einschränken. Nachdem Sie den Perimeter eingerichtet haben, können Sie Richtlinien konfigurieren, die festlegen, welche anderen Google Cloud-Dienste oder Nutzer auf den connectors.googleapis.com-Dienst zugreifen können.
Hinweise
Wenn Ihre Verbindung zu einer Google Cloud-Ressource hergestellt wird, muss auf diese Ressource innerhalb des VPC Service Controls-Perimeters zugegriffen werden können.
Wenn Sie bereits Verbindungen zu einem öffentlichen Endpunkt haben, müssen Sie vor dem Einrichten des VPC Service Controls-Perimeters dafür sorgen, dass für diese Verbindungen der PSC-Anhang (Private Service Connect) verwendet wird, um die Backend-Systeme zu verbinden. Ohne den PSC-Anhang funktionieren vorhandene Verbindungen zu einem öffentlichen Endpunkt nicht mehr, nachdem Sie den VPC Service Controls-Perimeter eingerichtet haben.
Wenn Ihre Verbindung zu einer nicht zu Google Cloud gehörenden Ressource hergestellt wird, sollte das Ziel der Verbindung ein PSC-Anhang sein. Verbindungen, die ohne die PSC-Anhänge erstellt wurden, schlagen fehl.
Wenn Sie einen VPC Service Controls-Perimeter für Ihr Google Cloud-Projekt einrichten, müssen Sie die private Verbindung für Ereignisabonnements aktivieren, um die Ereignisabonnementfunktion für das Projekt zu verwenden.
Hinweis
Prüfen Sie, ob Sie die erforderlichen Berechtigungen zum Konfigurieren von VPC Service Controls-Perimetern haben.
Eine Liste der IAM-Rollen, die zum Konfigurieren von VPC Service Controls erforderlich sind, finden Sie unter Zugriffssteuerung mit IAM in der Dokumentation zu VPC Service Controls.
In den folgenden Schritten wird gezeigt, wie Sie mithilfe der gcloud-Befehle einen VPC Service Controls-Perimeter mit aktiviertem Nutzerzugriff erstellen.
Erstellen Sie eine access.yaml-Datei mit den Details des Nutzers, der auf den Perimeter zugreifen darf. Beispiel:
-members:-user:USER_EMAIL
Rufen Sie die Zugriffsrichtlinien-ID Ihrer Organisation mit dem folgenden Befehl ab:
Mit diesem Befehl werden alle Richtlinien für die Organisation aufgelistet. Wählen Sie in der Liste die Richtlinie aus, für die Sie den VPC Service Controls-Perimeter erstellen möchten.
Sie können die Ressourcen-ID Ihrer Organisation in der Google Cloud Console aufrufen. Weitere Informationen finden Sie unter Ressourcen-ID der Organisation abrufen.
Dieser Befehl gibt eine Vorgangs-ID zurück und startet einen Vorgang mit langer Ausführungszeit, der einige Zeit dauern kann. Warten Sie, bis die LRO abgeschlossen ist. Sie können den Fortschritt des Vorgangs mit dem folgenden Befehl verfolgen:
Die Ausführung dieses Befehls kann einige Zeit in Anspruch nehmen. In der Zwischenzeit können Sie andere Aufgaben in einem neuen Terminal ausführen.
Wenn Sie die Zugriffsebene aktualisieren und den connectors.googleapis.com-Dienst einem vorhandenen Perimeter hinzufügen möchten, führen Sie den folgenden Befehl aus:
Dieser Befehl gibt eine Vorgangs-ID zurück und startet einen Vorgang mit langer Ausführungszeit, der einige Zeit dauern kann. Warten Sie, bis die LRO abgeschlossen ist. Sie können den Fortschritt des Vorgangs mit dem folgenden Befehl verfolgen:
[[["Leicht verständlich","easyToUnderstand","thumb-up"],["Mein Problem wurde gelöst","solvedMyProblem","thumb-up"],["Sonstiges","otherUp","thumb-up"]],[["Schwer verständlich","hardToUnderstand","thumb-down"],["Informationen oder Beispielcode falsch","incorrectInformationOrSampleCode","thumb-down"],["Benötigte Informationen/Beispiele nicht gefunden","missingTheInformationSamplesINeed","thumb-down"],["Problem mit der Übersetzung","translationIssue","thumb-down"],["Sonstiges","otherDown","thumb-down"]],["Zuletzt aktualisiert: 2025-09-04 (UTC)."],[[["\u003cp\u003eVPC Service Controls establishes a security perimeter around the Integration Connectors service, helping to prevent data exfiltration.\u003c/p\u003e\n"],["\u003cp\u003eSetting up the perimeter allows you to define policies that control which Google Cloud services or users can access the \u003ccode\u003econnectors.googleapis.com\u003c/code\u003e service.\u003c/p\u003e\n"],["\u003cp\u003eConnections to Google Cloud resources must be accessible within the VPC Service Controls perimeter, and connections to public or non-Google Cloud endpoints must use Private Service Connect (PSC) attachments.\u003c/p\u003e\n"],["\u003cp\u003eYou can create a VPC Service Controls perimeter using the Google Cloud console, \u003ccode\u003egcloud\u003c/code\u003e commands, or the accessPolicies.servicePerimeters.create API, with steps including setting user access and enabling the \u003ccode\u003evpcsc\u003c/code\u003e attribute in project settings.\u003c/p\u003e\n"],["\u003cp\u003eRemoving a project from the VPC Service Controls perimeter involves setting the \u003ccode\u003evpcsc\u003c/code\u003e attribute to \u003ccode\u003efalse\u003c/code\u003e and then updating the perimeter to remove the project.\u003c/p\u003e\n"]]],[],null,["# Set up VPC Service Controls for Integration Connectors\n======================================================\n\n\nVPC Service Controls lets you define a security perimeter around\nthe Integration Connectors Google Cloud service. With the security\nperimeter around your service, you can constrain data within a VPC Service Controls perimeter and\nmitigate data exfiltration risks. If you are not already familiar\nwith VPC Service Controls, it is recommended that you go\nthrough the following information:\n\n- [Overview of VPC Service Controls](/vpc-service-controls/docs/overview)\n- [Service perimeter details and configuration](/vpc-service-controls/docs/service-perimeters)\n- [Grant access to VPC Service Controls](/vpc-service-controls/docs/access-control)\n\n\nThis document describes how to restrict access to Integration Connectors service (`connectors.googleapis.com`)\nby using the VPC Service Controls perimeter. After setting up the perimeter,\nyou can configure policies that determine what other\nGoogle Cloud services or users can access the `connectors.googleapis.com` service.\n\nConsiderations\n--------------\n\n- If your connection is connecting to a Google Cloud resource, then that resource must be accessible from within the VPC Service Controls perimeter.\n- If you have existing connections to a public endpoint, before setting up the VPC Service Controls perimeter, ensure that such connections use the PSC ([Private Service Connect](/integration-connectors/docs/private-connectivity-overview)) attachment to connect the backend systems. Without the PSC attachment, existing connections to a public endpoint will fail after you set up the VPC Service Controls perimeter.\n- If your connection is connecting to a non-Google Cloud resource, the destination of the connection should be a PSC attachment. Connections created without the PSC attacment will fail.\n- If you are setting up a VPC Service Controls perimeter for your Google Cloud project, you must enable private connectivity for event subscriptions to use the [event subscription feature](/integration-connectors/docs/eventsubscription) for the project.\n\nBefore you begin\n----------------\n\nEnsure that you have the required permissions to configure VPC Service Controls perimeters. To view a list of IAM roles required to configure VPC Service Controls, see [Access control with IAM](/vpc-service-controls/docs/access-control) in the VPC Service Controls documentation.\n\nCreate a VPC Service Controls perimeter\n---------------------------------------\n\n\nTo create a VPC Service Controls perimeter you can use either the `Google Cloud console`,\nor the `gcloud` command, or the [accessPolicies.servicePerimeters.create](/access-context-manager/docs/reference/rest/v1/accessPolicies.servicePerimeters/create) API.\nFor more information, see [Create a service perimeter](/vpc-service-controls/docs/create-service-perimeters#create-perimeter).\n\nThe following steps show how to create a VPC Service Controls perimeter with a user access enabled by using\nthe `gcloud` commands.\n\n1. Create an `access.yaml` file having the details of the user who is allowed to access the perimeter. For example: \n\n ```yaml\n - members:\n - user:\u003cvar translate=\"no\"\u003eUSER_EMAIL\u003c/var\u003e\n ```\n2. Get your organization's access policy ID by using the following command: \n\n```bash\ngcloud access-context-manager policies list --organization=ORGANIZATION_ID\n```\n3. This command lists all the policies for the organization. From the list, select the policy for which you want to create the VPC Service Controls perimeter.\n4. You can view your organization's resource ID by using the Google Cloud console. For more information, see [Getting your organization resource ID](/resource-manager/docs/creating-managing-organization#retrieving_your_organization_id).\n5. Create access level for the user. \n\n ```bash\n gcloud access-context-manager levels create ACCESS_LEVEL_NAME \\\n --title \"\u003cvar translate=\"no\"\u003eCUSTOM_TITLE\u003c/var\u003e\" \\\n --basic-level-spec access.yaml \\\n --policy=POLICY_ID\n ```\n\n In this command, POLICY_ID, is the value that you got from the previous step.\n6. In your Google Cloud project's global settings, set the value of the `vpcsc` attribute to `true`. \n\n ```scdoc\n curl -X PATCH -H \"Authorization: Bearer $(gcloud auth print-access-token)\" \\\n -H \"Content-Type: application/json\" \\\n -d '{\"vpcsc\": true}' \\\n https://connectors.googleapis.com/v1/projects/PROJECT_ID/locations/global/settings\n ```\n\n This command returns an operation ID and starts a long-running operation (LRO) which\n may take some time to complete. Wait for the LRO to complete. You can track the progress of\n the operation by using the following command: \n\n ```scdoc\n curl -H \"Authorization: Bearer $(gcloud auth print-access-token)\" \\\n -H \"Content-Type: application/json\" \\\n https://connectors.googleapis.com/v1/projects/PROJECT_ID/locations/global/operations/OPERATION_ID\n ```\n7. Create the VPC Service Controls perimeter and provide access to the user. \n\n ```bash\n gcloud access-context-manager perimeters create PERIMETER_NAME \\\n --title=\"\u003cvar translate=\"no\"\u003ePERIMETER_TITLE\u003c/var\u003e\" \\\n --resources=projects/PROJECT_ID \\\n --restricted-services=connectors.googleapis.com \\\n --access_levels=ACCESS_LEVEL_NAME\n ```\n\n This command takes some time to complete, during which you can run other tasks in a new\n terminal.\n If want to update the access level, and add the `connectors.googleapis.com` service to an existing perimeter, run the following command: \n\n ```scdoc\n gcloud access-context-manager perimeters update PERIMETER_NAME \\\n --add-restricted-services=\"connectors.googleapis.com\" \\\n --add-access-levels=ACCESS_LEVEL_NAME \\\n --policy=POLICY_ID\n ```\n\nVerify your perimeter\n---------------------\n\n\nTo verify the perimeter, use the [gcloud access-context-manager perimeters describe \u003cvar translate=\"no\"\u003ePERIMETER_NAME\u003c/var\u003e](/sdk/gcloud/reference/access-context-manager/perimeters/describe)\ncommand. For example: \n\n```bash\ngcloud access-context-manager perimeters describe PERIMETER_NAME\n```\n\n\nFor more information, see\n[Managing service perimeters](/vpc-service-controls/docs/manage-service-perimeters#list-and-describe).\n\nRemove a project from the VPC Service Controls perimeter\n--------------------------------------------------------\n\nTo remove your Google Cloud project from the VPC Service Controls perimeter, perform the following steps:\n\n1. In your Google Cloud project's global settings, set the value of the `vpcsc` attribute to `false`. \n\n ```scdoc\n curl -X PATCH -H \"Authorization: Bearer $(gcloud auth print-access-token)\" \\\n -H \"Content-Type: application/json\" \\\n -d '{\"vpcsc\": false}' \\\n https://connectors.googleapis.com/v1/projects/PROJECT_ID/locations/global/settings\n ```\n\n This command returns an operation ID and starts a long-running operation (LRO) which\n may take some time to complete. Wait for the LRO to complete. You can track the progress of\n the operation by using the following command: \n\n ```scdoc\n curl -H \"Authorization: Bearer $(gcloud auth print-access-token)\" \\\n -H \"Content-Type: application/json\" \\\n https://connectors.googleapis.com/v1/projects/PROJECT_ID/locations/global/operations/OPERATION_ID\n ```\n2. Remove your project from the VPC Service Controls perimeter. \n\n ```scdoc\n gcloud access-context-manager perimeters update accessPolicies/POLICY_ID/servicePerimeters/PERIMETER_NAME\n ```\n\nWhat's next\n-----------\n\nLearn how [VPC Service Controls](/vpc-service-controls/docs/overview) protects your data."]]
