Configurer un périmètre de service à l'aide de VPC Service Controls

VPC Service Controls est une fonctionnalité Google Cloudqui vous permet de configurer un périmètre de service et de définir une limite de transfert de données. Vous pouvez utiliser VPC Service Controls conjointement avec Eventarc pour protéger vos services.

Nous vous recommandons de protéger tous les services lors de la création d'un périmètre de service.

Eventarc Advanced

Les limites suivantes s'appliquent à la compatibilité de VPC Service Controls avec Eventarc Advanced.

Vous pouvez vérifier la compatibilité de VPC Service Controls avec les ressources Enrollment, GoogleApiSource, MessageBus et Pipeline en consultant les journaux de plate-forme sur l'entrée.

Bus

Pour publier vers un bus Eventarc Advanced, la source de l'événement doit se trouver dans le même périmètre de service que le bus. Par exemple, un bus situé en dehors d'un périmètre de service ne peut pas recevoir d'événements provenant de projets Google Cloudsitués dans le périmètre.

Pour consommer un message d'événement, un consommateur d'événements doit se trouver dans le même périmètre de service que le bus Eventarc Advanced. Par exemple, un bus à l'intérieur d'un périmètre ne peut pas acheminer d'événements vers un consommateur en dehors du périmètre.

Pipelines

Lorsque vous créez ou mettez à jour un pipeline Eventarc Advanced, la validation de la destination est strictement appliquée. L'application n'est pas rétroactive. Tout pipeline créé avant la configuration du périmètre de service continue de s'exécuter. Vous ne pouvez pas créer ni mettre à jour un pipeline avec une destination non compatible.

Le tableau suivant répertorie les destinations compatibles et non compatibles pour l'intégration d'Eventarc Advanced à VPC Service Controls :

Destinations compatibles
  • Cloud Run (*.run.app) et Cloud Run Functions (*.cloudfunctions.net)
  • API Google first party (*.googleapis.com) compatibles avec VPC Service Controls, y compris les points de terminaison régionaux tels que *.rep.googleapis.com, LOCATION.SERVICE.googleapis.com et REGION-SERVICE.googleapis.com, et les points de terminaison mTLS (*.mtls.googleapis.com)
  • Bus Eventarc Advanced, sujets Pub/Sub et workflows Workflows
  • Toute destination HTTP, si elle est configurée avec un rattachement de réseau
Destinations non compatibles
  • Points de terminaison HTTP externes, y compris les domaines personnalisés Cloud Run et Cloud Run Functions : bloqués avec un code d'état HTTP 403
  • URL Cloud Run sur les domaines *.cloud.run et *.ai.studio : bloquées avec un code d'état HTTP 403, car seules les URL *.run.app sont acceptées
  • API Google propriétaires non compatibles avec VPC Service Controls (par exemple, les services en version alpha) : bloquées avec un code d'état HTTP 403

Eventarc Standard

Les limites suivantes s'appliquent à la compatibilité de VPC Service Controls avec Eventarc Standard.

  • Dans les projets protégés par un périmètre de service, Eventarc Standard est lié aux mêmes limites que Pub/Sub :

    • Lors du routage d'événements vers des destinations Cloud Run, vous ne pouvez créer des abonnements push Pub/Sub que lorsque les points de terminaison push sont définis sur des services Cloud Run avec des URL run.app par défaut. Les domaines personnalisés ne fonctionnent pas.

    • Lorsque vous acheminez des événements vers des destinations Workflows pour lesquelles le point de terminaison push Pub/Sub est défini sur une exécution Workflows, vous ne pouvez créer des abonnements push Pub/Sub que via Eventarc Standard. Le compte de service utilisé pour l'authentification push pour le point de terminaison Workflows doit être inclus dans le périmètre de service.

  • Étant donné que VPC Service Controls bloque la création de déclencheurs Eventarc Standard pour les points de terminaison HTTP internes, vous ne pouvez pas acheminer d'événements vers ces points de terminaison dans un périmètre de service VPC Service Controls.

Étapes suivantes