Restreindre l'utilisation des points de terminaison

Cette page présente la contrainte de règle d'administration Restreindre l'utilisation des points de terminaison, qui permet aux administrateurs d'entreprise de contrôler les points de terminaison d'API pouvant être utilisés dans leur hiérarchie de ressources. Google Cloud Google Cloud

Les administrateurs peuvent utiliser cette contrainte pour définir des restrictions hiérarchiques sur les points de terminaison d'API Google Cloud autorisés, tels que les points de terminaison globaux, locaux ou régionaux. Par exemple, vous pouvez configurer un projet pour refuser les requêtes au point de terminaison bigquery.googleapis.com global, mais autoriser les requêtes au point de terminaison LOCATION-biguery.googleapis.com localisé. En limitant l'utilisation des points de terminaison d'API globaux, les organisations peuvent respecter les exigences de conformité en s'assurant que seuls les points de terminaison régionaux ou locaux autorisés sont utilisés.

La contrainte de restriction d'utilisation des points de terminaison est définie à l'aide d'une liste de refus, ce qui permet d'autoriser les requêtes à tous les points de terminaison d'API des services compatibles qui ne sont pas explicitement refusés.

Cette contrainte contrôle l'accès de l'environnement d'exécution à toutes les ressources couvertes. Lorsque la règle d'administration contenant cette contrainte est mise à jour, elle s'applique immédiatement à toutes les ressources couvertes, avec une cohérence éventuelle.

Nous recommandons aux administrateurs de gérer avec soin les mises à jour des règles de l'organisation contenant cette contrainte. Par exemple, vous pouvez envisager de définir la stratégie en mode simulation pour surveiller l'impact d'une modification de stratégie sur vos workflows existants avant son application.

Types de points de terminaison de l'API

Un point de terminaison d'API (ou point de terminaison de service) est une URL qui spécifie l'adresse réseau d'un service d'API Google Cloud , tel que bigquery.googleapis.com. Les servicesGoogle Cloud permettent d'accéder aux ressources à l'aide de différents types de points de terminaison d'API, y compris des points de terminaison globaux, locaux et régionaux. La prise en charge de chaque type dépend du service.

• Les points de terminaison d'API globaux ne spécifient pas l'emplacement dans le nom d'hôte de l'URL. Exemple :

  • storage.googleapis.com
  • content-bigqueryconnection.googleapis.com
  • bigquerydatatransfer.mtls.googleapis.com
  • logging.googleapis.com

  Ces points de terminaison à portée globale fournissent des points de terminaison de service hautement disponibles qui mettent fin à la session TLS le plus près possible du client, ce qui réduit la latence lors de la diffusion d'appels d'API à partir d'une population de clients dispersée sur Internet.

• Les points de terminaison d'API localisés spécifient l'emplacement dans le nom d'hôte de l'URL. Exemple :

  • us-storage.googleapis.com
  • content-us-west3-bigqueryconnection.googleapis.com
  • us-west1-bigquerydatatransfer.mtls.googleapis.com
  • us-central1-logging.googleapis.com

  Ces points de terminaison localisés offrent des avantages aux clients qui ont besoin d'utiliser des services spécifiques à une zone géographique et qui souhaitent s'assurer que les données en transit restent dans un emplacement particulier lorsqu'elles sont accessibles via une connectivité privée.

• Les points de terminaison d'API régionaux spécifient l'emplacement sous forme de sous-domaine. Exemple :

  • storage.us-east2.rep.googleapis.com
  • content-bigqueryconnection.us-west3.rep.googleapis.com
  • bigquerydatatransfer.us-west1.rep.mtls.googleapis.com
  • logging.us-central1.rep.googleapis.com

  Ces points de terminaison régionaux offrent les avantages les plus intéressants aux clients qui ont besoin d'utiliser des services spécifiques à une zone géographique et qui souhaitent s'assurer que les données en transit restent dans un emplacement particulier lorsqu'elles sont accessibles via une connectivité privée ou l'Internet public.

Limites

La contrainte "Limiter l'utilisation des points de terminaison" contrôle la possibilité d'utiliser des points de terminaison d'API spécifiques pour accéder à vos ressources. Il ne doit pas être confondu avec d'autres contraintes similaires, telles que:

• Contrainte d'emplacement des ressources, qui contrôle les emplacements où les ressources peuvent ou ne peuvent pas être créées.
• Contrainte de restriction de l'utilisation des services de ressources, qui contrôle les services de ressources pouvant être utilisés.

Pour éviter de modifier de façon destructive l'infrastructure de diffusion existante, vous devez tester les nouvelles règles d'organisation sur des projets et des dossiers hors production, puis appliquer ces règles progressivement au sein de votre organisation.

Cette contrainte s'applique à un sous-ensemble spécifique de types de ressources et de produits. Pour obtenir la liste des services compatibles et des détails sur le comportement de chaque service, consultez la section Points de terminaison d'API compatibles.

Pour en savoir plus sur les engagements en matière de stockage de données, consultez les Conditions d'utilisation deGoogle Cloud et les Conditions spécifiques du service. Les règles d'administration contenant la contrainte "Restreindre l'utilisation des points de terminaison" ne constituent pas d'engagements de résidence des données.

Définir la règle d'administration

Pour définir, modifier ou supprimer une règle d'administration, vous devez disposer du rôle Administrateur de règle d'administration.

Les contraintes de règle d'administration peuvent être définies au niveau de l'organisation, du dossier et du projet. Chaque règle s'applique à toutes les ressources de la hiérarchie des ressources correspondante, mais elle peut être ignorée à des niveaux inférieurs de la hiérarchie des ressources.

Pour en savoir plus sur l'évaluation des règles, consultez la page Comprendre le processus d'évaluation hiérarchique.

La contrainte "Restreindre l'utilisation des points de terminaison" est un type de contrainte de liste. Vous pouvez ajouter et supprimer des points de terminaison dans les listes denied_values de la contrainte.

constraint: constraints/gcp.restrictEndpointUsage
listPolicy:
    deniedValues:
    - storage.googleapis.com
    - content-bigqueryreservation.googleapis.com
    - bigquerystorage.mtls.googleapis.com
    - logging.googleapis.com

gcloud resource-manager org-policies set-policy \
--RESOURCE_TYPE='RESOURCE_ID' /tmp/policy.yaml

constraint: constraints/gcp.restrictEndpointUsage
etag: CKCRl6oGEPjG-tMB
listPolicy:
  deniedValues:
  - storage.googleapis.com
  - content-bigqueryreservation.googleapis.com
  - bigquerystorage.mtls.googleapis.com
  - logging.googleapis.com
updateTime: '2023-11-04T04:29:20.444507Z'

Si une requête envoyée à un point de terminaison d'API refusé tente d'accéder à une ressource, la requête échoue et une erreur décrivant la raison de cet échec est renvoyée.

Créer une règle d'administration en mode dry run

Une règle d'administration en mode simulation est un type de règle d'administration dans lequel les cas de non-respect de la règle sont consignés dans le journal d'audit, mais les actions non conformes ne sont pas refusées. Vous pouvez créer une règle d'administration en mode simulation à l'aide de la contrainte Restreindre l'utilisation des points de terminaison pour surveiller son impact sur votre organisation avant d'appliquer la règle en production. Pour en savoir plus, consultez la section Créer une règle d'administration en mode simulation.

Message d'erreur

Si vous définissez une règle d'administration pour refuser un point de terminaison, les opérations qui l'utilisent dans votre hiérarchie des ressources échouent. Une erreur indiquant la raison de cet échec s'affiche. Une entrée de journal d'audit est également générée pour optimiser la surveillance, les alertes ou le débogage.

Exemple de message d'erreur

Dans l'exemple suivant, une requête curl utilisant le point de terminaison d'API storage.googleapis.com échoue en raison de l'application des règles:

curl -X GET \
-H "Authorization: Bearer OAUTH2_TOKEN" \
-o "SAVE_TO_LOCATION" \
"https://storage.googleapis.com/storage/v1/b/BUCKET_NAME/o/OBJECT_NAME?alt=media"

Access to projects/foo-123 through endpoint storage.googleapis.com was denied by
the constraints/gcp.endpointUsageRestriction organization policy constraint. To
access this resource, please use an allowed endpoint.

Exemple d'entrée de journal d'audit

L'exemple d'entrée de journal d'audit suivant montre quand l'accès à une ressource est refusé:

{
  logName: "projects/my-projectid/logs/cloudaudit.googleapis.com%2Fpolicy"
  protoPayload: {
    @type: "type.googleapis.com/google.cloud.audit.AuditLog"
    status: {
      code: 7
      message: "Access to projects/my-projectid through endpoint bigquery.googleapis.com was denied by the constraints/gcp.restrictEndpointUsage organization policy constraint. To access this resource, please use an allowed endpoint."
    }
    serviceName: "bigquery.googleapis.com"
    methodName: "google.cloud.bigquery.v2.TableDataService.InsertAll"
    resourceName: "projects/my-projectid"
    authenticationInfo: {
      principalEmail: "[email protected]"
    }
  }
  requestMetadata: {
    callerIp: "123.123.123.123"
  }
  policyViolationInfo: {
    orgPolicyViolationInfo: {
      violationInfo: [
        {
          constraint: "constraints/gcp.restrictEndpointUsage"
          checkedValue: "bigquery.googleapis.com"
          policyType: LIST_CONSTRAINT
        }
      ]
    }
  }
  resource: {
    type: "audited_resource"
    labels: {
      project_id: "224034263908"
      method: "google.cloud.bigquery.v2.TableDataService.InsertAll"
      service: "bigquery.googleapis.com"
    }
  }
  severity: "ERROR"
  timestamp: "2024-12-05T01:15:30.332519510Z"
  receiveTimestamp: "2024-08-15T17:55:01.159788588Z"
  insertId: "42"
}

Points de terminaison d'API compatibles

La contrainte "Limiter l'utilisation des points de terminaison" est compatible avec les points de terminaison d'API suivants:

Groupes de valeurs

Les groupes de valeurs sont des ensembles de groupes et de points de terminaison d'API organisés par Google pour vous permettre de définir plus facilement vos restrictions de point de terminaison. Les groupes de valeurs comprennent de nombreux points de terminaison d'API associés et sont étendus par Google au fil du temps sans qu'il ne soit nécessaire de modifier la règle d'administration pour s'adapter aux nouveaux points de terminaison.

Pour utiliser des groupes de valeurs dans vos règles d'administration, ajoutez la chaîne in: à vos entrées en tant que préfixe. Pour en savoir plus sur l'utilisation des préfixes de valeurs, consultez la page Utiliser des contraintes. Les noms de groupe sont validés lors de l'appel permettant de définir la règle d'administration. L'utilisation d'un nom de groupe non valide entraîne l'échec du paramètre de stratégie.

Le tableau suivant contient la liste actuelle des groupes disponibles :