VPC Service Controls を使用すると、データの引き出しのリスクを軽減するサービス境界を確立して、App Hub リソースを保護できます。境界内の apphub.googleapis.com API へのアクセスを制限して、アプリケーション、サービス、ワークロードの作成や削除などのオペレーションを制御できます。
サポートされているリソース
サービス境界を作成する際は、すべての App Hub リソースを保護することをおすすめします。
App Hub では、次のリソースタイプがサポートされています。
- アプリケーション
- 検出されたサービス
- 検出されたワークロード
- サービス
- サービス プロジェクトのアタッチメント（ホスト プロジェクトによって管理されるアプリケーションのみ）
- ワークロード
管理プロジェクト内のアプリケーション
単一プロジェクトまたはフォルダレベルの境界で App Hub API を有効にすると、管理プロジェクトでアプリケーション管理に必要な API が有効になります。
管理プロジェクトを作成したら、よりアプリケーション中心の機能を提供する推奨 API を有効にすることもできます。
サービス境界に管理プロジェクトを含めるには、管理プロジェクトと有効な API が境界に含まれるようにサービス境界を作成または更新します。
フォルダ境界内のアプリケーションの場合、VPC Service Controls の制限は、管理プロジェクト内の App Hub の操作にのみ適用されます。App Hub は、アプリケーション データを読み取り、アプリ対応フォルダのすべての子孫プロジェクトのサービスとワークロードを検出できます。これらのプロジェクトが管理プロジェクトと同じ境界内にない場合でも同様です。
必要な API と推奨 API については、必要な API と推奨 API をご覧ください。
ホスト プロジェクトによって管理されるアプリケーション
以前のホスト プロジェクトの場合、ホスト プロジェクトとサービス プロジェクトが同じ境界内にある場合にのみ、サービス プロジェクトを接続できます。以前に接続されたサービス プロジェクトを境界外に移動しても、サービス プロジェクトをホスト プロジェクトから接続解除するまで、サービス プロジェクトのリソースにアクセスできます。
次のステップ
VPC Service Controls の詳細を確認する。概要とサポートされているプロダクトと制限事項をご覧ください。
VPC Service Controls を有効にするためのベスト プラクティスを確認する。VPC Service Controls の有効化に関するベスト プラクティスをご覧ください。
サービス境界を設計する際のベスト プラクティスを確認する。サービス境界の設計と構築をご覧ください。
サービス境界を設定するには、サービス境界を作成するをご覧ください。