Managing Security Attributes for Private Endpoints (PE)s

生成AIプライベート・エンドポイントをZPRで保護するには、エンドポイントにセキュリティ属性を割り当て、承認されたトラフィックを明示的に許可するZPRポリシーを定義します。

ZPRは、ルーティングおよび従来のネットワーク制御に加えて評価されます。プライベート・エンドポイントに到達するには、次のすべてのコントロールでトラフィックが許可されている必要があります:

• エンドポイント・サブネットへの有効なルート
• ネットワーク・セキュリティ・グループ(NSG)およびセキュリティ・リスト・ルール
• 適用可能なZPRポリシー

• セキュリティ属性:サポートされるリソースへのアクセスを制御するためにZPRポリシーで参照されるラベル。
• セキュリティ属性ネームスペース:セキュリティ属性のコンテナ。
• ZPRポリシー言語(ZPL):セキュリティ属性に基づいてネットワーク・トラフィックを許可または拒否するZPRルールの記述に使用するポリシー構文。
• ZPRポリシー: ZPRポリシー言語(ZPL)で記述された許可/拒否ルールのセットで、セキュリティ属性ネームスペース/キー/値ラベルを照合して、どのリソースが通信できるかを制御します。

1. ZPRサービスで、セキュリティ属性ネームスペースおよびセキュリティ属性を作成し、ZPRポリシーを記述します(ZPRポリシーはIAMポリシーではありません)。
2. 生成AIサービスで、プライベート・エンドポイントに最大3つのセキュリティ属性を追加します。
3. エンドポイントへのトラフィックが次の方法で許可されていることを確認します。
   • ルーティング
   • NSG/セキュリティ・リスト・ルール
   • ZPRのポリシー

Zero Trust Packet Routingのドキュメントを参照してください。

セキュリティ属性をプライベート・エンドポイントに割り当てる前に、ZPRサービスの次のタスクを完了します。

1. IAMアクセスの検証:管理者またはユーザーに、ZPRリソース(ネームスペース、属性およびZPRポリシー)を管理する権限があることを確認します。ZPR IAMポリシーを参照してください。

2. ネームスペースおよび属性の作成:セキュリティ属性ネームスペースを作成し、設計用に最大3つのセキュリティ属性を作成します。

3. ZPRポリシーの書込み: ZPRポリシー言語(ZPL)を使用して、プライベート・エンドポイントへの必要なトラフィックを明示的に許可します。ZPR PoliciesおよびPolicy Syntaxを参照してください。

   注意:トラフィックは、ルーティング、NSGおよびセキュリティ・リストでも許可される必要があります。

4. エンドポイント・ラベルの計画:プライベート・エンドポイントに適用するネームスペース/キー/値を決定し、ZPRポリシーがその属性セットへのトラフィックを許可することを確認します。

ZPRポリシーの例:

in <namespace>.<label-1>:42 
VCN allow <namespace>.<label-1>:42 endpoints 
to connect to <namespace>.<label-1>:42 endpoints

in <label-1>:42 VCN allow all-endpoints 
to connect to <label-1>:42 
endpoints with protocol = 'tcp/443'