VPC 서비스 제어를 사용하여 서비스 경계 설정

VPC 서비스 제어는 서비스 경계를 설정하고 데이터 전송 경계를 정의할 수 있는 Google Cloud기능입니다. Eventarc에서 VPC 서비스 제어를 사용하면 서비스를 보호할 수 있습니다.

서비스 경계를 만들 때 모든 서비스를 보호하는 것이 좋습니다.

Eventarc Advanced

Eventarc Advanced의 VPC 서비스 제어 지원에는 다음과 같은 제한사항이 적용됩니다.

인그레스에서 플랫폼 로그를 보고 Enrollment, GoogleApiSource, MessageBus, Pipeline 리소스에 대한 VPC 서비스 제어 지원을 확인할 수 있습니다.

버스

Eventarc Advanced 버스에 게시하려면 이벤트 소스가 버스와 동일한 서비스 경계 내에 있어야 합니다. 예를 들어 서비스 경계 외부의 버스는 경계 내 Google Cloud프로젝트의 이벤트를 수신할 수 없습니다.

이벤트 메시지를 소비하려면 이벤트 소비자가 Eventarc Advanced 버스와 동일한 서비스 경계 내에 있어야 합니다. 예를 들어 경계 내의 버스는 경계 외부의 소비자에게 이벤트를 라우팅할 수 없습니다.

파이프라인

Eventarc Advanced 파이프라인을 만들거나 업데이트할 때 대상 검증이 엄격하게 적용됩니다. 시정 조치는 소급 적용되지 않습니다. 서비스 경계를 설정하기 전에 생성된 파이프라인은 계속 실행됩니다. 지원되지 않는 대상으로는 파이프라인을 만들거나 업데이트할 수 없습니다.

다음 표에는 Eventarc Advanced와 VPC 서비스 제어 통합에서 지원되는 대상과 지원되지 않는 대상이 나와 있습니다.

지원되는 대상
  • Cloud Run (*.run.app) 및 Cloud Run Functions (*.cloudfunctions.net)
  • VPC 서비스 제어에서 지원하는 퍼스트 파티 Google API (*.googleapis.com) - *.rep.googleapis.com, LOCATION.SERVICE.googleapis.com, REGION-SERVICE.googleapis.com와 같은 리전 엔드포인트 및 mTLS 엔드포인트 (*.mtls.googleapis.com) 포함
  • Eventarc Advanced 버스, Pub/Sub 주제, Workflows 워크플로
  • 모든 HTTP 대상 - 네트워크 연결로 구성된 경우
지원되지 않는 도착 페이지
  • Cloud Run 및 Cloud Run Functions 커스텀 도메인을 포함한 외부 HTTP 엔드포인트 - HTTP 403 상태 코드로 차단됨
  • *.cloud.run 및 *.ai.studio 도메인의 Cloud Run URL - *.run.app URL만 지원되므로 HTTP 403 상태 코드로 차단됨
  • VPC 서비스 제어에서 지원하지 않는 퍼스트 파티 Google API (예: 알파 서비스) - HTTP 403 상태 코드로 차단됨

Eventarc Standard

Eventarc Standard의 VPC 서비스 제어 지원에는 다음과 같은 제한사항이 적용됩니다.

  • 서비스 경계로 보호되는 프로젝트에서 Eventarc Standard에는 Pub/Sub와 동일한 제한사항이 적용됩니다.

    • Cloud Run 대상으로 이벤트를 라우팅할 때 푸시 엔드포인트가 기본 run.app URL이 있는 Cloud Run 서비스로 설정되어 있지 않으면 새 Pub/Sub 푸시 구독을 만들 수 없습니다. 커스텀 도메인은 작동하지 않습니다.

    • Pub/Sub 푸시 엔드포인트가 Workflows 실행으로 설정된 Workflows 대상으로 이벤트를 라우팅하는 경우에는 Eventarc Standard를 통해서만 새 Pub/Sub 푸시 구독을 만들 수 있습니다. Workflows 엔드포인트의 푸시 인증에 사용되는 서비스 계정은 서비스 경계에 포함되어야 합니다.

  • VPC 서비스 제어는 내부 HTTP 엔드포인트에 대해 Eventarc Standard 트리거가 생성되지 않도록 차단하므로 VPC 서비스 제어 서비스 경계 내에서 해당 엔드포인트로 이벤트를 라우팅할 수 없습니다.

다음 단계