Dienstperimeter mit VPC Service Controls einrichten

VPC Service Controls ist ein Google Cloud-Feature, mit dem Sie einen Dienstperimeter einrichten und eine Datenübertragungsgrenze definieren können. Sie können VPC Service Controls mit Eventarc verwenden, um Ihre Dienste zu schützen.

Wir empfehlen, beim Erstellen eines Dienstperimeters alle Dienste zu schützen.

Eventarc Advanced

Für die Unterstützung von Eventarc Advanced durch VPC Service Controls gelten die folgenden Einschränkungen.

Sie können die Unterstützung von VPC Service Controls für die Ressourcen Enrollment, GoogleApiSource, MessageBus und Pipeline überprüfen, indem Sie sich Plattformlogs für eingehenden Traffic ansehen.

Busse

Wenn Sie in einem Eventarc Advanced-Bus veröffentlichen möchten, muss sich die Quelle eines Ereignisses im selben Dienstperimeter wie der Bus befinden. Ein Bus außerhalb eines Dienstperimeters kann beispielsweise keine Ereignisse von Google Cloud-Projekten innerhalb des Perimeters empfangen.

Damit ein Ereignisnutzer eine Ereignisnachricht nutzen kann, muss er sich im selben Dienstperimeter wie der Eventarc Advanced-Bus befinden. Ein Bus innerhalb eines Perimeters kann beispielsweise keine Ereignisse an einen Nutzer außerhalb des Perimeters weiterleiten.

Pipelines

Wenn Sie eine Eventarc Advanced-Pipeline erstellen oder aktualisieren, wird die Zielvalidierung strikt erzwungen. Die Erzwingung ist nicht rückwirkend. Alle Pipelines, die vor dem Einrichten des Dienstperimeters erstellt wurden, werden weiterhin ausgeführt. Sie können keine Pipeline mit einem nicht unterstützten Ziel erstellen oder aktualisieren.

In der folgenden Tabelle sind die unterstützten und nicht unterstützten Ziele für die Integration von Eventarc Advanced in VPC Service Controls aufgeführt:

Unterstützte Ziele
  • Cloud Run (*.run.app) und Cloud Run-Funktionen (*.cloudfunctions.net)
  • Von VPC Service Controls unterstützte Google-eigene APIs (*.googleapis.com), einschließlich regionaler Endpunkte wie *.rep.googleapis.com, LOCATION.SERVICE.googleapis.com und REGION-SERVICE.googleapis.com sowie mTLS-Endpunkte (*.mtls.googleapis.com)
  • Eventarc Advanced-Busse, Pub/Sub-Themen und Workflows-Workflows
  • Beliebiges HTTP-Ziel, wenn es mit einem Netzwerkanhang konfiguriert ist
Nicht unterstützte Ziele
  • Externe HTTP-Endpunkte, einschließlich benutzerdefinierter Domains von Cloud Run und Cloud Run Functions – blockiert mit dem HTTP-Statuscode 403
  • Cloud Run-URLs in den Domains *.cloud.run und *.ai.studio – blockiert mit dem HTTP-Statuscode 403, da nur *.run.app-URLs unterstützt werden
  • Google-eigene APIs, die nicht von VPC Service Controls unterstützt werden (z. B. Dienste in der Alpha-Phase) – blockiert mit dem HTTP-Statuscode 403

Eventarc Standard

Für die Unterstützung von VPC Service Controls für Eventarc Standard gelten die folgenden Einschränkungen.

  • In Projekten, die durch einen Dienstperimeter geschützt sind, gelten für Eventarc Standard dieselben Einschränkungen wie für Pub/Sub:

    • Beim Weiterleiten von Ereignissen an Cloud Run-Ziele können Sie nur neue Pub/Sub-Push-Abos erstellen, wenn die Push-Endpunkte auf Cloud Run-Dienste mit standardmäßigen run.app-URLs festgelegt sind. Benutzerdefinierte Domains funktionieren nicht.

    • Wenn Sie Ereignisse an Workflows-Ziele weiterleiten, für die der Pub/Sub-Push-Endpunkt auf eine Workflows-Ausführung festgelegt ist, können Sie neue Pub/Sub-Push-Abos nur über Eventarc Standard erstellen. Das Dienstkonto, das für die Push-Authentifizierung für den Workflows-Endpunkt verwendet wird, muss im Dienstperimeter enthalten sein.

  • Da VPC Service Controls die Erstellung von Eventarc Standard-Triggern für interne HTTP-Endpunkte blockiert, können Sie Ereignisse nicht an diese Endpunkte innerhalb eines VPC Service Controls-Dienstperimeters weiterleiten.

Nächste Schritte