VPC Service Controls は、サービス境界を設定し、データ転送境界を定義できる Google Cloudの機能です。Eventarc で VPC Service Controls を使用すると、サービスを保護できます。
サービス境界を作成する際は、すべてのサービスを保護することをおすすめします。
Eventarc Advanced
Eventarc Advanced の VPC Service Controls のサポートには、次の制限が適用されます。
上り（内向き）のプラットフォーム ログを表示すると、Enrollment、GoogleApiSource、MessageBus、Pipeline リソースに対する VPC Service Controls のサポートを確認できます。
バス
Eventarc Advanced バスにパブリッシュするには、イベントのソースがバスと同じサービス境界内にある必要があります。たとえば、サービス境界外のバスは、境界内の Google Cloudプロジェクトからイベントを受信できません。
イベント メッセージを使用するには、イベント コンシューマーが Eventarc Advanced バスと同じサービス境界内にある必要があります。たとえば、境界内のバスは、境界外のコンシューマーにイベントを転送できません。
パイプライン
Eventarc Advanced パイプラインを作成または更新すると、宛先の検証が厳格に適用されます。違反措置は遡及的に適用されません。サービス境界を設定する前に作成されたパイプラインは、引き続き実行されます。サポートされていない宛先を使用してパイプラインを作成または更新することはできません。
次の表に、Eventarc Advanced と VPC Service Controls のインテグレーションでサポートされている宛先とサポートされていない宛先を示します。
| 選択できる宛先 |
|
|---|---|
| サポートされていない宛先 |
|
Eventarc Standard
Eventarc Standard の VPC Service Controls のサポートには、次の制限が適用されます。
サービス境界で保護されているプロジェクトでは、Eventarc Standard に Pub/Sub と同じ制限が適用されます。
イベントを Cloud Run の宛先に転送する場合、push エンドポイントがデフォルトの
run.appURL に設定されていると、新しい Pub/Sub push サブスクリプションしか作成できません。カスタム ドメインは動作しません。Pub/Sub push エンドポイントが Workflows 実行に設定されている Workflows の宛先にイベントを転送する場合、新しい Pub/Sub push サブスクリプションは Eventarc Standard 経由でのみ作成できます。Workflows エンドポイントの push 認証に使用するサービス アカウントは、サービス境界内に配置する必要があります。
VPC Service Controls は、内部 HTTP エンドポイントの Eventarc Standard トリガーの作成をブロックするため、VPC Service Controls サービス境界内のエンドポイントにイベントを転送できません。
次のステップ
VPC Service Controls の詳細を確認する。概要とサポートされているプロダクトと制限事項をご覧ください。
VPC Service Controls を有効にするためのベスト プラクティスを確認する。VPC Service Controls の有効化に関するベスト プラクティスをご覧ください。
境界設計のベスト プラクティスについては、サービス境界の設計と構築をご覧ください。
サービス境界を設定するには、サービス境界を作成するをご覧ください。