将 VPC Service Controls 与 App Hub 搭配使用

VPC Service Controls 可通过建立服务边界来帮助您保护 App Hub 资源，从而降低数据渗漏风险。您可以限制对边界内 apphub.googleapis.com API 的访问，以控制创建和删除应用、服务和工作负载等操作。

支持的资源

我们建议您在创建服务边界时保护所有 App Hub 资源。

App Hub 支持以下资源类型：

  • 应用
  • 发现的服务
  • 发现的工作负载
  • 服务
  • 服务项目关联（仅适用于由宿主项目管理的应用）
  • 工作负载

管理项目中的应用

当您为单项目或文件夹级边界启用 App Hub API 时，系统会在管理项目中启用应用管理所需的 API。

创建管理项目后，您还可以启用提供更多以应用为中心的功能的推荐 API。

如需将管理项目包含在服务边界内，请创建或更新服务边界，以便将管理项目和已启用的 API 包含在边界内。

对于文件夹边界中的应用，VPC Service Controls 限制仅适用于管理项目中的 App Hub 互动。App Hub 可以读取应用数据，并发现已启用应用的文件夹的所有下级项目的服务和工作负载，即使这些项目与管理项目不在同一边界内也是如此。

如需了解哪些 API 是必需的，哪些是推荐的，请参阅必需的 API 和推荐的 API。

由宿主项目管理的应用

对于旧版宿主项目，只有当宿主项目和服务项目位于同一边界内时，您才能关联服务项目。如果您将之前关联的服务项目移到边界之外，则该服务项目的资源仍可访问，直到您将该服务项目与宿主项目分离。

后续步骤