הגדרת גבולות גזרה לשירות באמצעות VPC Service Controls

VPC Service Controls הוא מאפיין של Google Cloudשמאפשר להגדיר גבולות גזרה לשירות וגבולות להעברת נתונים. אתם יכולים להשתמש ב-VPC Service Controls עם Eventarc כדי להגן על השירותים שלכם.

כשיוצרים גבולות גזרה לשירות, מומלץ להגן על כל השירותים.

Eventarc Advanced

המגבלות הבאות חלות על התמיכה של VPC Service Controls ב-Eventarc Advanced.

כדי לוודא שהמשאבים Enrollment,‏ GoogleApiSource,‏ MessageBus ו-Pipeline נתמכים ב-VPC Service Controls, אתם יכולים לבדוק את יומני הפלטפורמה של תעבורת הנתונים הנכנסת.

אוטובוסים

כדי לפרסם באפיק Eventarc Advanced, מקור האירוע צריך להיות באותם גבולות גזרה לשירות כמו האפיק. לדוגמה, אוטובוס מחוץ לגבולות הגזרה לשירות לא יכול לקבל אירועים מפרויקטים של Google Cloudבתוך גבולות הגזרה.

כדי לצרוך הודעת אירוע, צרכן האירוע חייב להיות באותם גבולות גזרה לשירות כמו אפיק Eventarc Advanced. לדוגמה, אוטובוס בתוך היקף לא יכול לנתב אירועים לצרכן מחוץ להיקף.

פייפליינים

כשיוצרים או מעדכנים צינור עיבוד נתונים ב-Eventarc Advanced, מתבצע אימות קפדני של היעד. האכיפה לא רטרואקטיבית. כל צינור עיבוד נתונים שנוצר לפני שהגדרתם את גבולות הגזרה לשירות ימשיך לפעול. אי אפשר ליצור או לעדכן צינור עיבוד נתונים עם יעד שלא נתמך.

בטבלה הבאה מפורטים היעדים שנתמכים ושלא נתמכים בשילוב של Eventarc Advanced עם VPC Service Controls:

יעדים נתמכים
  • ‫Cloud Run‏ (*.run.app) ופונקציות Cloud Run‏ (*.cloudfunctions.net)
  • ממשקי Google API של צד ראשון (*.googleapis.com) שנתמכים על ידי VPC Service Controls – כולל נקודות קצה אזוריות כמו *.rep.googleapis.com,‏ LOCATION.SERVICE.googleapis.com ו-REGION-SERVICE.googleapis.com, ונקודות קצה של mTLS‏ (*.mtls.googleapis.com)
  • אפיקי Eventarc Advanced, נושאי Pub/Sub ותהליכי עבודה ב-Workflows
  • כל יעד HTTP – אם הוא מוגדר עם מחבר רשת
יעדים לא נתמכים
  • נקודות קצה חיצוניות של HTTP, כולל דומיינים מותאמים אישית של Cloud Run ופונקציות Cloud Run – חסומות עם קוד סטטוס HTTP‏ 403
  • כתובות URL של Cloud Run בדומיינים *.cloud.run ו-*.ai.studio – נחסמות עם קוד סטטוס HTTP‏ 403 כי יש תמיכה רק בכתובות URL של *.run.app
  • ממשקי Google API של צד ראשון שלא נתמכים ב-VPC Service Controls (לדוגמה, שירותים בשלב אלפא) – נחסמים עם קוד סטטוס HTTP‏ 403

Eventarc Standard

המגבלות הבאות חלות על התמיכה של VPC Service Controls ב-Eventarc Standard.

  • בפרויקטים שמוגנים על ידי גבולות גזרה לשירות, Eventarc Standard כפוף לאותן מגבלות כמו Pub/Sub:

    • כשמנתבים אירועים ליעדים ב-Cloud Run, אפשר ליצור מינויי דחיפה חדשים ב-Pub/Sub רק אם נקודות הקצה של הדחיפה מוגדרות לשירותי Cloud Run עם כתובות URL שמוגדרות כברירת מחדל ב-run.app. אי אפשר להשתמש בדומיינים בהתאמה אישית.

    • כשמנתבים אירועים ליעדים ב-Workflows שבהם נקודת הקצה של Pub/Sub מוגדרת להפעלה של Workflows, אפשר ליצור מינויי דחיפה חדשים של Pub/Sub רק דרך Eventarc Standard. חשבון השירות שמשמש לאימות של נקודת הקצה של Workflows צריך להיכלל בגבולות הגזרה לשירות.

  • בגלל ש-VPC Service Controls חוסם יצירה של טריגרים של Eventarc Standard לנקודות קצה פנימיות של HTTP, אי אפשר לנתב אירועים לנקודות הקצה האלה בתוך גבולות הגזרה לשירות של VPC Service Controls.

המאמרים הבאים