Protéger les ressources Sauvegarde pour GKE à l'aide de VPC Service Controls

Cette page explique comment utiliser VPC Service Controls pour protéger les ressources Sauvegarde pour GKE. Consultez la présentation de VPC Service Controls pour en savoir plus sur cette solution.

Avant de commencer

Assurez-vous de disposer des autorisations IAM requises pour administrer VPC Service Controls.

Créer un périmètre de service pour protéger les ressources de Sauvegarde pour GKE

  1. Dans la console Google Cloud , accédez à la page VPC Service Controls.

    Accéder à VPC Service Controls

  2. Si vous y êtes invité, sélectionnez votre organisation.

  3. Sur la page VPC Service Controls, cliquez sur Nouveau périmètre.

  4. Sur la page Nouveau périmètre de service VPC, saisissez un nom dans le champ Nom du périmètre.

  5. Sélectionnez les projets que vous souhaitez sécuriser au sein du périmètre :

    1. Cliquez sur le bouton Ajouter des projets.

    2. Pour ajouter un projet au périmètre, cochez la case correspondant à ce projet dans la boîte de dialogue Ajouter des projets.

    3. Cliquez sur le bouton Ajouter n projets, où n correspond au nombre de projets que vous avez sélectionnés à l'étape précédente.

  6. Sélectionnez "Sauvegarde pour GKE" à sécuriser dans le périmètre:

    1. Cliquez sur le bouton Ajouter des services.

    2. Pour sécuriser Sauvegarde pour GKE au sein du périmètre, cochez la case "Sauvegarde pour GKE" dans la boîte de dialogue Spécifier les services à limiter.

    3. Cliquez sur le bouton Ajouter une sauvegarde pour l'API GKE.

  7. Cliquez sur le bouton Enregistrer.

Vous avez créé un périmètre de service qui limite l'accès aux ressources Sauvegarde pour GKE. La propagation et la prise en compte du périmètre peuvent prendre jusqu'à 30 minutes. Une fois les modifications propagées, l'accès à Sauvegarde pour GKE sera limité aux projets que vous avez ajoutés au périmètre. Par exemple, aucun plan de sauvegarde ni sauvegarde ne peut être créé en dehors du périmètre, sauf autorisation explicite par une règle d'entrée.

Détails sur le fonctionnement de Sauvegarde pour GKE avec les périmètres de service

  1. Si Sauvegarde pour GKE ne figure pas dans la liste des services accessibles au VPC d'un périmètre de service, la sauvegarde et la restauration peuvent échouer même si vous pouvez effectuer une sauvegarde ou une restauration à l'aide de la console Google Cloud ou de gcloud CLI. En effet, l'agent Sauvegarde pour GKE s'exécute dans votre cluster GKE (dans le périmètre de service) et nécessite un accès à Sauvegarde pour GKE pour effectuer une sauvegarde et une restauration.

  2. Pour effectuer des sauvegardes et des restaurations interprojets, backup_project, cluster_project et restore_project doivent se trouver dans le même périmètre VPC Service Controls.