配額與限制

Cloud Next Generation Firewall 設有配額和系統限制，可確保公平分配資源、防止服務過載，並協助您管理資源用量。

配額和系統限制類似，但有以下差異：

  • 「配額」有預設值，但通常可以申請調整。
  • 「系統限制」是固定值，無法變更。

Google Cloud 使用配額來確保公平性，並減少資源使用量和可用性出現劇烈波動的情況。配額會限制 Google Cloud 專案可使用的Google Cloud 資源數量，配額適用多種資源類型，包括硬體、軟體和網路元件。舉例來說，配額可能會限制能向特定服務發出的 API 呼叫次數、專案可同時使用的負載平衡器數量，或是可建立的專案數量。配額機制可防止服務過載，保障Google Cloud 使用者社群的權益，同時也有助於您管理自己的 Google Cloud 資源。

Cloud Quotas 系統具備以下功能：

如果嘗試使用的資源量超過配額限制，系統通常會阻擋該資源的存取活動，您所執行的工作就會失敗。

配額的計算通常是以 Google Cloud 專案為基準。在某個專案中使用資源，不會影響另一個專案的可用配額。在同一個 Google Cloud 專案內，所有應用程式和 IP 位址會共用配額。

詳情請參閱「Cloud Quotas 總覽」。

Cloud NGFW 資源也有系統限制，而且無法變更。

配額

本節列出 Cloud Next Generation Firewall 的配額。

如要監控使用 Cloud Monitoring 的各項專案配額，請為 Consumer Quota 資源類型的指標 serviceruntime.googleapis.com/quota/allocation/usage 設定監控功能。設定其他標籤篩選器 (service、quota_metric)，即可取得配額類型。如要瞭解如何監控配額指標，請參閱「繪製配額指標圖表並監控配額指標」。每項配額都有上限和用量值。

除非另有說明，否則如要變更配額，請參閱「申請調整配額」一節。

每項專案

下表列出 Cloud NGFW 的各項專案配額：

配額 說明
虛擬私有雲 (VPC) 防火牆規則 您可以在專案中建立的虛擬私有雲防火牆規則數量，無論每項防火牆規則套用至哪個虛擬私有雲網路。
全域網路防火牆政策 專案中的全域網路防火牆政策數量，無論與每項政策相關聯的虛擬私有雲網路數量為何。
區域性網路防火牆政策 專案各區域中的區域網路防火牆政策數量，無論與各政策相關聯的虛擬私有雲網路數量為何。
每項專案的全域位址群組數量 您可以在專案中定義的全域、專案範圍位址群組數量。
每項專案在每個區域的區域性位址群組數量 在專案的每個區域中，可定義的區域性專案範圍位址群組數量。

每個機構

下表列出 Cloud NGFW 的配額，以組織為單位。如要變更組織層級配額，請提交客服案件。

配額 說明
組織中未關聯的階層式防火牆政策 組織中未與任何資料夾或組織資源建立關聯的階層式防火牆政策數量。組織中與資源相關聯的階層式防火牆政策數量沒有限制。
每個組織的全域位址群組 您可以在組織中定義的全域、組織範圍位址群組數量。
每個組織在各區域的區域位址群組數量 在組織中，您可以在每個區域定義的區域性組織範圍位址群組數量。

每個網路

下列配額適用於虛擬私有雲網路：

配額 說明
每個虛擬私有雲網路中，各區域的區域性網路防火牆政策關聯數量 可與虛擬私有雲網路區域建立關聯的區域網路防火牆政策數量上限。
每個虛擬私有雲網路中各區域的防火牆規則屬性 在虛擬私有雲網路區域中，所有相關聯區域網路防火牆政策規則的規則屬性數量上限。

如要進一步瞭解規則屬性的計算方式，請參閱「規則屬性數量的計算方式」。
每個虛擬私有雲網路中各區域的防火牆規則 FQDN 數量 在虛擬私有雲網路區域中，所有相關聯區域網路防火牆政策的規則，可包含的 FQDN 數量上限。

每項防火牆政策

下表列出各防火牆政策資源的 Cloud NGFW 配額：

配額 說明
階層式防火牆政策
每項階層式防火牆政策的規則屬性 這項配額是階層式防火牆政策中所有規則的規則屬性總和。

詳情請參閱「防火牆政策的規則屬性數量」和「規則屬性數量的計算方式」。
每項階層式防火牆政策的網域名稱 (FQDN) 階層式防火牆政策的所有規則中，可包含的網域名稱數量。這項配額是政策中所有輸入規則的來源網域名稱總和，加上政策中所有輸出規則的目的地網域名稱總和。
全域網路防火牆政策
每項全域網路防火牆政策的規則屬性 全域網路防火牆政策中所有規則的規則屬性總和。

詳情請參閱「防火牆政策的規則屬性數量」和「規則屬性數量的計算方式」。
每項全域網路防火牆政策的網域名稱 (FQDN) 全域網路防火牆政策的所有規則中，可包含的網域名稱數量。這項配額是政策中所有輸入規則的來源網域名稱總和，加上政策中所有輸出規則的目的地網域名稱總和。
區域性網路防火牆政策
每項區域網路防火牆政策的規則屬性 區域網路防火牆政策中所有規則的規則屬性總和。

詳情請參閱「防火牆政策的規則屬性數量」和「規則屬性數量的計算方式」。
每項區域性網路防火牆政策的網域名稱 (FQDN) 數量 區域網路防火牆政策中，所有規則可包含的網域名稱 (FQDN) 數量：這項配額是政策中所有輸入規則的來源網域名稱總和，加上政策中所有輸出規則的目的地網域名稱總和。

防火牆政策的規則屬性數量

每項防火牆政策支援的屬性總數上限，取決於政策中所有規則的屬性總數。如要判斷特定防火牆政策的規則屬性數量，請說明政策。如需操作說明，請參閱下列文章：

如要進一步瞭解規則屬性的計算方式，請參閱「規則屬性數量的計算方式」。

限制

除非另有註明，否則無法提高上限。

每個機構

組織適用下列限制：

項目 限制 附註
每個組織的安全標記鍵數量上限 1,000 具有上層組織的安全標記鍵數量上限。詳情請參閱「標記限制」。
purpose 為 GCE_FIREWALL 且 purpose-data 為機構的所有標記鍵，所使用的安全標記值數量上限 16384 這項限制會強制套用至所有標記值，這些值是由組織中建立的標記鍵使用，且與用途資料相符，包括父項為組織或組織內專案的標記鍵。

每項專案

專案適用下列限制：

項目 限制 附註
每項專案的安全標記鍵數量上限 1,000 具有上層專案的安全標記鍵數量上限。詳情請參閱「標記限制」。

每個網路

虛擬私有雲網路有下列限制：

項目 限制 附註
每個網路的全域網路防火牆政策數量上限 1 可與虛擬私有雲網路建立關聯的全域網路防火牆政策數量上限。
每個網路的網域名稱 (FQDN) 數量上限 1,000 與虛擬私有雲網路相關聯的階層式防火牆政策、全域網路防火牆政策和區域網路防火牆政策中，防火牆規則可使用的網域名稱總數上限。
purpose 為 GCE_FIREWALL 且 purpose-data 為虛擬私有雲網路的所有標記鍵，所使用的安全標記值數量上限 16383 這項限制會強制套用至所有標記值，只要標記索引鍵的 purpose-data 符合指定的虛擬私有雲網路，就會受到限制，包括上層為組織或專案的標記索引鍵。

每項防火牆規則

防火牆規則適用下列限制：

項目 限制 附註
每項輸入防火牆政策規則的來源安全標記數量上限 256 僅適用於輸入防火牆政策規則：防火牆規則中可做為來源標記的安全標記數量上限。這項上限無法提高。
每項防火牆政策規則的目標安全標記數量上限 256 僅適用於防火牆政策規則：防火牆規則中可做為目標標記的安全標記數量上限。這項上限無法提高。
每項輸入虛擬私有雲防火牆規則的來源網路標記數量上限 30 僅適用於輸入虛擬私有雲防火牆規則：您可以在防火牆規則中，做為來源標記使用的網路標記數量上限。這項上限無法提高。
每項虛擬私有雲防火牆規則的目標網路標記數量上限 70 僅適用於虛擬私有雲防火牆規則：防火牆規則中可做為目標標記的網路標記數量上限。這項上限無法提高。
每個輸入虛擬私有雲防火牆規則的來源服務帳戶數量上限 10 僅適用於輸入虛擬私有雲防火牆規則：您可以在防火牆規則中，做為來源使用的服務帳戶數量上限。這項上限無法提高。
每項防火牆規則的目標服務帳戶數量上限 10 在虛擬私有雲防火牆規則或防火牆政策規則中，可做為目標的服務帳戶數量上限。這項上限無法提高。
每個防火牆規則的來源 IP 位址範圍數量上限 5,000 您可以在虛擬私有雲防火牆規則或防火牆政策規則中，指定來源 IP 位址範圍的數量上限。IP 位址範圍僅限 IPv4 或 IPv6。這項上限無法提高。
每項防火牆規則的目的地 IP 位址範圍數量上限 5,000 您可以在虛擬私有雲防火牆規則或防火牆政策規則中，指定的目的地 IP 位址範圍數量上限。IP 位址範圍僅限 IPv4 或 IPv6。這項上限無法提高。
防火牆政策中，每個輸入防火牆規則的來源位址群組數量上限 10 在防火牆政策的輸入防火牆規則中，可指定的來源位址群組數量上限。這項上限無法提高。
防火牆政策中，每項防火牆規則的目的地位址群組數量上限 10 在防火牆政策的輸出防火牆規則中，可指定的目的地位址群組數量上限。這項上限無法提高。
防火牆政策中，每項防火牆規則的網域名稱 (FQDN) 數量上限 100 防火牆政策規則中可包含的網域名稱 (FQDN) 數量。這項上限無法提高。

每個位址群組

Cloud NGFW 使用的位址群組有下列限制。

項目 限制 附註
每個位址群組的 IP 位址數量上限 1,000 個別套用至 Cloud NGFW 使用的每個位址群組。位址群組可以是全域、特定專案適用的位址群組；全域、特定組織適用的位址群組；區域性、特定專案適用的位址群組；或區域性、特定組織適用的位址群組。

每個安全標記

安全標記有下列限制：

項目 限制 附註
每個標記鍵的安全標記值數量上限 1,000 每個標記鍵可新增的安全標記值數量上限。詳情請參閱「標記限制」。

每個 VM 網路介面

虛擬機器 (VM) 網路介面適用下列限制：

項目 限制 附註
附加至 VM 網路介面的安全標記值數量上限 10 每個 VM 網路介面可附加的安全標記值數量上限。如要進一步瞭解防火牆安全標記的規格，請參閱「規格」。

如要瞭解網路限制，請參閱「個別網路限制」。

規則屬性數量的計算

Cloud NGFW 只會將下列防火牆規則屬性，計入防火牆政策規則和虛擬私有雲防火牆規則的屬性數量。

規則屬性或參數 規則類型 規則屬性數量
IP 通訊協定名稱 虛擬私有雲防火牆規則和防火牆政策規則 每個通訊協定有 1 個屬性計數
目的地通訊埠 虛擬私有雲防火牆規則和防火牆政策規則 每個通訊埠或通訊埠範圍有 1 個屬性
來源或目的地 IP 範圍 虛擬私有雲防火牆規則和防火牆政策規則 每個 IP 範圍有 1 個屬性
來源安全標記 輸入防火牆政策規則 每個標記有 1 個屬性
來源網路標記 輸入虛擬私有雲防火牆規則 每個標記有 1 個屬性
來源服務帳戶 輸入虛擬私有雲防火牆規則 每個服務帳戶有 1 個屬性
來源或目的地 Google Threat Intelligence 清單 防火牆政策規則 每個 Google Threat Intelligence 清單計為 1 個屬性
來源或目的地國家/地區代碼 防火牆政策規則 每個國家/地區代碼或區域代碼有 1 個屬性
來源或目的地 FQDN 物件 防火牆政策規則 每個 FQDN 物件有 64 個屬性
來源或目的地位址群組 防火牆政策規則 各地址群組的容量總和
來源或目的地網路情境 防火牆政策規則 每個指定網路情境的屬性計數為 1。如果是虛擬私有雲網路情境，規則屬性數量是指您指定的來源虛擬私有雲網路總數。

下表列出範例規則和各範例規則的屬性數量。

防火牆規則範例 規則屬性數量 說明
輸入允許防火牆規則，來源 IP 位址範圍為 10.100.0.1/32、tcp 通訊協定和 5000-6000 通訊埠範圍。 3 一個來源範圍、一個通訊協定、一個通訊埠範圍。
輸入拒絕防火牆規則，來源 IP 位址範圍為 10.0.0.0/8, 192.168.0.0/16，目的地 IP 位址範圍為 100.64.0.7/32，通訊協定為 tcp 和 udp，通訊埠範圍為 53-53 和 5353-5353。 11 通訊協定和通訊埠組合有四種：tcp:53-53、tcp:5353-5353、udp:53-53 和 udp:5353-5353。每個通訊協定和通訊埠組合都會使用兩個屬性。兩個來源 IP 位址範圍各有一個屬性、目的地 IP 位址範圍有一個屬性，以及通訊協定和通訊埠組合有八個屬性，因此屬性數量為 11。
輸出拒絕防火牆規則，來源 IP 位址範圍為 100.64.0.7/32，目的地 IP 位址範圍為 10.100.0.1/32, 10.100.1.1/32、tcp:80、tcp:443 和 udp:4000-5000。 9 通訊協定和通訊埠組合會擴充為三個：tcp:80-80、tcp:443-443 和 udp:4000-5000。每個通訊協定和通訊埠組合都會使用兩個屬性。來源範圍有一個屬性，兩個目的地 IP 位址範圍各有一個屬性，通訊協定和通訊埠組合有六個屬性，因此屬性數量為 9。
輸入允許防火牆規則，具有兩個目標安全標記、VPC_NETWORKS 來源網路內容和三個指定的虛擬私有雲網路、來源 IP 位址範圍 10.100.0.1/32、來源 FQDN example.com、tcp 通訊協定和 5000-6000 通訊埠範圍。 70 VPC_NETWORKS 來源網路內容有三個屬性，其中包含指定的虛擬私有雲網路、一個來源範圍屬性、64 個來源 FQDN 物件屬性，以及一個通訊協定和通訊埠範圍屬性，因此屬性數量為 70。請注意，兩個目標安全標記不計入。

管理配額

Cloud Next Generation Firewall (Cloud NGFW) 會基於多種原因，對資源用量實施配額限制。舉例來說，限制配額可以預防用量突然暴增的情況，進而保障 Google Cloud 使用者社群的權益。採用 Google Cloud 免費方案探索的使用者也能透過配額，確保不會超出試用範圍。

所有專案最初的配額均相同，您可以要求額外配額來變更配額數量。某些配額可能會依據您使用產品的狀況而自動增加。

權限

如要查看配額或要求增加配額，身分與存取權管理 (IAM) 主體需要具有下列其中一種角色。

工作 必要角色
查看專案的配額 下列任一項：
修改配額，要求額外配額 下列任一項：
  • 專案業主 (roles/owner)
  • 專案編輯器 (roles/editor)
  • 配額管理員 (roles/servicemanagement.quotaAdmin)
  • 具備 serviceusage.quotas.update 權限的自訂角色

查看配額

控制台

  1. 前往 Google Cloud 控制台的「Quotas」(配額) 頁面。

    前往「配額」頁面

  2. 使用篩選表格搜尋要更新的配額。 如果不知道配額名稱，請改用本頁面上的連結。

gcloud

請使用 Google Cloud CLI 執行下列指令，查看配額。使用您自己的專案 ID 替換 PROJECT_ID。

    gcloud compute project-info describe --project PROJECT_ID

如要查看特定區域的配額用量，請執行下列指令：

    gcloud compute regions describe example-region

超出配額時產生錯誤

一旦超出 gcloud 指令的配額上限，gcloud 就會輸出 quota exceeded 錯誤訊息並傳回結束代碼 1。

如果您是在傳送 API 要求時超出配額， Google Cloud 會傳回下列 HTTP 狀態碼：413 Request Entity Too Large。

要求增加配額

如要調整大部分配額，請使用 Google Cloud 控制台。詳情請參閱「要求配額調整」。

資源可用性

如果特定類型的資源可以使用，則每項配額代表您能針對該資源建立的最大數量。請特別留意，配額「並不」保證資源可用性。即使您有可用的配額，如果資源無法提供使用，您也無法建立新的資源。

舉例來說，您可能有足夠的配額，可以在特定區域中建立全新區域性外部 IP 位址。不過，如果該區域沒有可用的外部 IP 位址，則無法建立。區域的資源可用性也會影響您建立新資源的能力。

整個區域的資源皆無法提供使用的狀況很罕見。不過，可用區內的資源有時可能會耗盡。