配额和限制

本文档列出了适用于 Access Context Manager 的配额和系统限制。本文档中指定的配额和限制随时可能更改。

Access Context Manager 配额强制执行功能与 Cloud 配额集成，使管理员能够查看系统限制和当前利用率。

如需了解服务边界（VPC Service Controls 的一个组件）的配额和限制，请参阅 VPC Service Controls 配额和限制。

在 Google Cloud 控制台中查看配额

您可以在 Google Cloud 控制台中的集中式配额和系统限制页面中查看组织级 Access Context Manager 配额和限制：

  1. 在 Google Cloud 控制台中，前往配额和系统限制页面。

    进入“配额和系统限制”

  2. 在资源选择器中，选择您的组织。

  3. 如需检查有效限制和当前利用率，请按服务名称 accesscontextmanager.googleapis.com 进行过滤。

您还可以使用 Cloud Quotas API 以编程方式查询配额指标。

请求速率限制

Access Context Manager 会强制执行以下 API 请求速率限制：

请求类型 限制 范围
读请求次数 每分钟 500 个请求 每个组织
写请求次数 每分钟 50 个请求 每个组织

读取请求是指检索 Access Context Manager 资源的操作，例如获取或列出访问权限级别或访问权限政策。写入请求是指创建、更新、替换或删除 Access Context Manager 资源的操作。

访问权限政策限制

以下限制适用于组织内的访问权限政策和访问权限级别：

资源类型 限制 范围 备注
组织级访问权限政策 1 每个组织 每个组织只能有一个组织级层的访问权限政策。
文件夹级和项目级访问权限政策 50 每个组织 适用于组织内的所有范围限定的政策。
访问权限级别 500 每项访问权限政策 累计应用于政策中的所有基本和自定义访问权限级别。
每个访问权限级别的条件数量 40 每个基本访问权限级别 在单个基本访问权限级别中配置的条件数上限。
每个条件属性的列表项数 200 每个条件属性 例如，单个条件中的 IP 子网 CIDR 范围数量。
VPC 网络 500 每项访问权限政策 一项政策中所有访问权限级别引用的 VPC 网络数量。

自定义访问权限级别限制

以下限制专门适用于使用通用表达式语言 (CEL) 的自定义访问权限级别：

限制条件 限制 备注
列表中的元素数量上限 200 CEL 表达式中的列表元素数量上限，例如列表字面量或辅助函数参数。
CEL 表达式字符串长度上限 100 CEL 表达式中字符串字面量的字符长度上限。
CEL 表达式深度上限 20 CEL 表达式的语法树嵌套深度上限。
AST 节点数上限 4000 编译后的 CEL 表达式中允许的抽象语法树 (AST) 节点数上限。

申请增加配额

只有每个组织的文件夹级和项目级访问权限政策配额可以增加。本页面上指定的所有其他配额和系统限制都是固定的平台限制，旨在确保系统的可伸缩性和可用性。

如需申请提高范围限定访问权限政策的配额，请执行以下操作：

  1. 在 Google Cloud 控制台中查看您当前的配额用量，并确认贵组织是否接近 50 项政策的上限。

  2. 向 Google Cloud 支持团队创建支持请求。

  3. 提供明确的业务理由。合理的理由包括：组织发展或政策细分需要。

请求通常需要 2 到 3 周的时间来处理，并且需要 Google Cloud 支持和工程团队进行人工审核和批准。