Die Netzwerksicherheits-Integration verwendet Kontingente und Systemlimits, um eine faire Ressourcenzuweisung zu gewährleisten, Dienstüberlastungen zu vermeiden und Sie bei der Verwaltung der Ressourcennutzung zu unterstützen.
Kontingente und Systemlimits sind ähnlich, unterscheiden sich aber in folgenden Punkten:
- Kontingente haben Standardwerte, aber Sie können in der Regel Anpassungen anfordern.
- Systemlimits sind feste Werte, die nicht geändert werden können.
Google Cloud nutzt Kontingente, um für Fairness zu sorgen und Spitzen bei der Ressourcennutzung und ‑verfügbarkeit zu reduzieren. Ein Kontingent schränkt ein, wie viel von einerGoogle Cloud Ressource Ihr Google Cloud Projekt nutzen kann. Kontingente gelten für eine Reihe von Ressourcentypen, einschließlich Hardware, Software und Netzwerkkomponenten. Mit Kontingenten können Sie beispielsweise die Anzahl der API-Aufrufe an einen Dienst, die Anzahl der von Ihrem Projekt nebenläufig verwendeten Load Balancer oder die Anzahl der Projekte begrenzen, die Sie erstellen können. Kontingente sollen eine Überlastung von Diensten verhindern und dadurch die Community derGoogle Cloud Nutzer schützen. Sie helfen Ihnen auch bei der Verwaltung Ihrer eigenen Google Cloud Ressourcen.
Das Cloud-Kontingentsystem tut Folgendes:
- Es überwacht Ihren Verbrauch von Google Cloud Produkten und Diensten.
- Es schränkt Ihren Verbrauch dieser Ressourcen ein.
- Es bietet eine Möglichkeit, Änderungen am Kontingentwert zu beantragen und Kontingentanpassungen zu automatisieren.
Wenn Sie versuchen, mehr von einer Ressource zu verbrauchen, als das Kontingent zulässt, blockiert das System in den meisten Fällen den Zugriff auf die Ressource. Die Aufgabe, die Sie auszuführen versuchen, schlägt dann fehl.
Kontingente gelten in der Regel auf Google Cloud Projektebene. Die Nutzung einer Ressource in einem Projekt hat keinen Einfluss auf das verfügbare Kontingent in einem anderen Projekt. Innerhalb eines Google Cloud Projekts werden die Kontingente für alle Anwendungen und IP-Adressen gemeinsam genutzt.
Weitere Informationen finden Sie unter Cloud-Kontingente – Übersicht.
Für Ressourcen der Netzwerksicherheits-Integration gelten außerdem Systemlimits. Systemlimits können nicht geändert werden.
Kontingente
In diesem Abschnitt sind die Kontingente für die Netzwerksicherheits-Integration aufgeführt.
Richten Sie das Monitoring für den Messwert serviceruntime.googleapis.com/quota/allocation/usage für den Ressourcentyp Consumer Quota ein, um projektspezifische Kontingente zu überwachen, die Cloud Monitoring verwenden. Legen Sie weitere Labelfilter (service, quota_metric) fest, um den Kontingenttyp abzurufen. Informationen zum Monitoring von Kontingentmesswerten finden Sie unter Kontingentmesswerte grafisch darstellen und überwachen.
Für jedes Kontingent gibt es ein Limit und einen Nutzungswert.
Sofern nicht anders angegeben, finden Sie Informationen zum Ändern eines Kontingents unter Höheres Kontingent anfordern.
Pro Projekt
In der folgenden Tabelle sind die Kontingente für die Netzwerksicherheits-Integration pro Projekt aufgeführt.
| Kontingent | Standardkontingent | Beschreibung |
|---|---|---|
| Globale Netzwerk-Firewallrichtlinien | Die Anzahl der globalen Netzwerk-Firewallrichtlinien in einem Projekt, unabhängig davon, wie viele VPC-Netzwerke mit den einzelnen Richtlinien verknüpft sind. | |
| Spiegelungsbereitstellungen pro Zone und Projekt | 5 | Die Anzahl der Spiegelungsbereitstellungen, die Sie pro Zone in einem Projekt erstellen können. |
| Abfangbereitstellungen pro Zone und Projekt | 5 | Die Anzahl der Abfangbereitstellungen, die Sie pro Zone in einem Projekt erstellen können. |
| Spiegel-Bereitstellungsgruppen pro Projekt | 20 | Die Anzahl der Spiegelungsbereitstellungsgruppen, die Sie pro Projekt erstellen können. |
| Abfangbereitstellungsgruppen pro Projekt | 20 | Die Anzahl der Intercept-Bereitstellungsgruppen, die Sie pro Projekt erstellen können. |
| Endpunktgruppen für Spiegelung pro Projekt | 5 | Die Anzahl der Spiegelungsendpunktgruppen vom Typ „Broker“, die Sie pro Projekt erstellen können. |
| Benutzerdefinierte Sicherheitsprofile für die Spiegelung pro Projekt | 40 | Die maximale Anzahl von Sicherheitsprofilen vom Typ „Benutzerdefiniertes Spiegeln“, die Sie pro Projekt erstellen können. |
| Benutzerdefinierte Abfang-Sicherheitsprofile pro Projekt | 40 | Die maximale Anzahl von Sicherheitsprofilen vom Typ „Benutzerdefiniertes Abfangen“, die Sie pro Projekt erstellen können. |
| Sicherheitsprofilgruppen mit benutzerdefinierter Spiegelung pro Projekt | 40 | Die maximale Anzahl von Sicherheitsprofilgruppen mit einem benutzerdefinierten Sicherheitsprofil für die Spiegelung, die Sie pro Projekt erstellen können. |
| Sicherheitsprofilgruppen mit benutzerdefiniertem Abfangen pro Projekt | 40 | Die maximale Anzahl von Sicherheitsprofilgruppen mit einem benutzerdefinierten Abfang-Sicherheitsprofil, die Sie pro Projekt erstellen können. |
Pro Organisation
In der folgenden Tabelle sind die Kontingente für die Netzwerksicherheits-Integration pro Organisation aufgeführt. Wenn Sie ein Kontingent auf Organisationsebene ändern möchten, erstellen Sie einen Supportfall.
| Kontingent | Beschreibung |
|---|---|
| Nicht verknüpfte hierarchische Firewallrichtlinien in einer Organisation | Die Anzahl der hierarchischen Firewallrichtlinien in einer Organisation, die mit keiner Ordner- oder Organisationsressource verknüpft sind. Es gibt keine Beschränkung für die Anzahl hierarchischer Firewallrichtlinien in einer Organisation, die mit einer Ressource verknüpft sind. |
Pro Firewallrichtlinie
In der folgenden Tabelle sind die Kontingente für die Netzwerksicherheits-Integration pro Firewallrichtlinien-Ressource aufgeführt.
| Kontingent | Beschreibung |
|---|---|
| Hierarchische Firewallrichtlinien | |
| Regelattribute pro hierarchischer Firewallrichtlinie | Die Summe der Regelattribute aus allen Regeln in einer hierarchischen Firewallrichtlinie. Weitere Informationen finden Sie unter Details zur Regelattributanzahl.
Dieses Kontingent wird von den Firewallrichtlinienregeln und Spiegelungsregeln gemeinsam genutzt. Wenn eine hierarchische Firewallrichtlinie also sowohl die Firewallrichtlinienregeln als auch die Spiegelungsregeln enthält, tragen die Regelattribute beider Regeltypen zu diesem Kontingent bei. |
| Globale Netzwerk-Firewallrichtlinien | |
| Regelattribute pro globaler Netzwerk-Firewallrichtlinie | Die Summe der Regelattribute aus allen Regeln in einer globalen Netzwerk-Firewallrichtlinie. Weitere Informationen finden Sie unter Details zur Regelattributanzahl.
Dieses Kontingent wird von den Firewallrichtlinienregeln und Spiegelungsregeln gemeinsam genutzt. Wenn eine globale Netzwerk-Firewallrichtlinie also sowohl Firewallrichtlinienregeln als auch Spiegelungsregeln enthält, werden die Regelattribute beider Regeltypen auf dieses Kontingent angerechnet. |
Details zur Regelattributanzahl
Jede Firewallrichtlinie unterstützt eine maximale Gesamtzahl von Regelattributen. Die Anzahl der Regelattribute für eine Firewallrichtlinie ist die Summe der Regelattribute ihrer Firewallregeln und Spiegelungsregeln.
Die folgenden Beispielregeln zeigen, wie Google Cloud Regelattribute pro Richtlinienregel zählt:
| Beispiel für eine Richtlinienregel | Gesamtzahl der Regelattribute | Erklärung |
|---|---|---|
Eine globale Netzwerk-Firewallrichtlinie mit den folgenden beiden Regeln:
|
6 |
|
Pro Bereitstellungsgruppe
Für Bereitstellungsgruppen gelten die folgenden Limits:
| Kontingent | Standardkontingent | Beschreibung |
|---|---|---|
| Spiegelungs-Endpunktgruppen pro Spiegelungs-Bereitstellungsgruppe | 10 | Die maximale Anzahl von Spiegelungsendpunktgruppen, die Sie mit einer Spiegelungsbereitstellungsgruppe verknüpfen können. |
| Abfangendpunktgruppen pro Abfangbereitstellungsgruppe | 10 | Die maximale Anzahl von Abfangendpunktgruppen, die Sie mit einer Abfangbereitstellungsgruppe verknüpfen können. |
Pro Endpunktgruppe
Für Endpunktgruppen gelten die folgenden Kontingente:
| Kontingent | Standardkontingent | Beschreibung |
|---|---|---|
| Spiegel-Bereitstellungsgruppen pro Spiegel-Endpunktgruppe | 5 | Die maximale Anzahl von Spiegel-Bereitstellungsgruppen, die Sie einer Spiegel-Endpunktgruppe vom Typ broker zuordnen können.
|
| Sicherheitsprofilgruppen pro Spiegelungsendpunktgruppe | 40 | Die maximale Anzahl von Sicherheitsprofilgruppen mit einem Sicherheitsprofil, das auf eine Spiegelungsendpunktgruppe verweist. |
| Sicherheitsprofilgruppen pro Abfangendpunktgruppe | 40 | Die maximale Anzahl von Sicherheitsprofilgruppen mit einem Sicherheitsprofil, das auf eine Intercept-Endpunktgruppe verweist. |
| Verknüpfungen von Abfang-Endpunktgruppen pro Endpunktgruppe | 30 | Die maximale Anzahl von Verknüpfungen von Abfangendpunktgruppen, die auf eine Abfangendpunktgruppe verweisen können. |
Limits
Limits können nicht erhöht werden, sofern nicht ausdrücklich anders angegeben.
Pro Organisation
Für Organisationen gelten die folgenden Limits:
| Element | Limit | Hinweise |
|---|---|---|
| Benutzerdefinierte Spiegelungssicherheitsprofile pro Organisation | 40 | Die maximale Anzahl von Sicherheitsprofilen vom Typ „Benutzerdefiniertes Spiegeln“, die Sie pro Organisation erstellen können. |
| Benutzerdefinierte Abfang-Sicherheitsprofile pro Organisation | 40 | Die maximale Anzahl von Sicherheitsprofilen vom Typ „Benutzerdefiniertes Abfangen“, die Sie pro Organisation erstellen können. |
| Sicherheitsprofilgruppen mit benutzerdefinierter Spiegelung pro Organisation | 40 | Die maximale Anzahl von Sicherheitsprofilgruppen mit einem benutzerdefinierten Spiegelungssicherheitsprofil, die Sie pro Organisation erstellen können. |
| Sicherheitsprofilgruppen mit benutzerdefiniertem Intercept pro Organisation | 40 | Die maximale Anzahl von Sicherheitsprofilgruppen mit einem benutzerdefinierten Abfang-Sicherheitsprofil, die Sie pro Organisation erstellen können. |
Pro Netzwerk
Die folgenden Limits gelten für VPC-Netzwerke:
| Element | Limit | Hinweise |
|---|---|---|
| Maximale Anzahl globaler Netzwerk-Firewallrichtlinien pro Netzwerk | 1 | Die maximale Anzahl globaler Netzwerk-Firewallrichtlinien, die Sie einem VPC-Netzwerk zuordnen können. |
Pro Regel
Die folgenden Limits gelten für VPC-Firewallregeln, Firewallrichtlinienregeln und Spiegelungsregeln:
| Element | Limit | Hinweise |
|---|---|---|
| Maximale Anzahl von Quell-IP-Adressbereichen pro Firewallregel | 5.000 | Die maximale Anzahl von Quell-IP-Adressbereichen, die Sie in einer VPC-Firewallregel, einer Firewallrichtlinienregel oder einer Spiegelungsregel angeben können. IP-Adressbereiche sind entweder nur IPv4 oder nur IPv6. Dieses Limit kann nicht erhöht werden. |
| Maximale Anzahl von Ziel-IP-Adressbereichen pro Firewallregel | 5.000 | Die maximale Anzahl von Ziel-IP-Adressbereichen, die Sie in einer VPC-Firewallregel, einer Firewallrichtlinienregel oder einer Spiegelungsregel angeben können. IP-Adressbereiche sind entweder nur IPv4 oder nur IPv6. Dieses Limit kann nicht erhöht werden. |
Pro Bereitstellungsgruppe
Für Bereitstellungsgruppen gelten die folgenden Limits:
| Element | Limit | Hinweise |
|---|---|---|
| Paare aus Spiegelungsbereitstellung und Endpunktgruppenverknüpfung pro Spiegelungsbereitstellungsgruppe | 1.000 | Die maximale Anzahl von Spiegelungsbereitstellungen multipliziert mit den Verknüpfungen der Spiegelungsendpunktgruppe pro Spiegelungsbereitstellungsgruppe. |
| Paare aus Abfangbereitstellung und Abfangendpunktgruppe pro Abfangbereitstellungsgruppe | 1.000 | Die maximale Anzahl von Abfang-Deployments multipliziert mit den Verknüpfungen von Abfangendpunktgruppen pro Abfang-Deployment-Gruppe. |
Pro Endpunktgruppe
Für Endpunktgruppen gelten die folgenden Limits:
| Element | Limit | Beschreibung |
|---|---|---|
| Spiegelungsendpunkte pro Spiegelungsendpunktgruppe und Zone | 1 | Die maximale Anzahl von Spiegelungsendpunkten, die Sie mit einer Spiegelungsendpunktgruppe vom Typ broker in einer einzelnen Zone verknüpfen können.
|
Kontingente verwalten
MitNetwork Security Integration werden Kontingente für die Ressourcennutzung aus verschiedenen Gründen festgelegt. Kontingente schützen unter anderem die gesamte Google Cloud -Community vor unerwarteten Nutzungsspitzen. Außerdem unterstützen Kontingente Nutzer, die Google Cloud mit der kostenlosen Stufe prüfen, dabei, im Rahmen der Testversion zu verbleiben.
Alle Projekte beginnen mit den gleichen Kontingenten, die Sie ändern können, indem Sie zusätzliche Kontingente anfordern. Einige Kontingente könnten entsprechend Ihrer Nutzung eines Produkts automatisch erhöht werden.
Berechtigungen
Zur Anzeige von Kontingenten oder zur Anforderung von Kontingenterhöhungen benötigen IAM-Hauptkonten (Identity and Access Management) eine der folgenden Rollen:
| Aufgabe | Erforderliche Rolle |
|---|---|
| Kontingente für ein Projekt prüfen | Beispiele:
|
| Kontingente ändern, zusätzliche Kontingente anfordern | Beispiele:
|
Kontingent prüfen
Console
- Rufen Sie in der Google Cloud Console die Seite Kontingente auf.
- Mit dem Feld Tabelle filtern können Sie nach den zu aktualisierenden Kontingenten suchen. Wenn Sie den Namen des Kontingents nicht kennen, verwenden Sie stattdessen die Links auf dieser Seite.
gcloud
Führen Sie mit der Google Cloud CLI den folgenden Befehl aus, um Ihre Kontingente zu prüfen. Ersetzen Sie PROJECT_ID durch Ihre Projekt-ID:
gcloud compute project-info describe --project PROJECT_IDMit dem folgenden Befehl prüfen Sie das genutzte Kontingent in einer Region:
gcloud compute regions describe example-region
Fehler beim Überschreiten Ihres Kontingents
Wenn Sie ein Kontingent mit einem gcloud-Befehl überschreiten, gibt gcloud eine quota exceeded-Fehlermeldung aus und liefert den Exit-Code 1.
Wenn Sie mit einer API-Anfrage ein Kontingent überschreiten,gibt Google Cloud den folgenden HTTP-Statuscode zurück: 413 Request Entity Too Large. Google Cloud
Weitere Kontingente anfordern
Verwenden Sie die Google Cloud Console, um die meisten Kontingente anzupassen. Weitere Informationen finden Sie unter Kontingentanpassung beantragen.
Ressourcenverfügbarkeit
Jedes Kontingent stellt die maximale Anzahl an Ressourcen eines bestimmten Typs dar, die Sie erstellen können, sofern der Ressourcentyp verfügbar ist. Beachten Sie, dass Kontingente die Verfügbarkeit von Ressourcen nicht garantieren. Selbst wenn Sie ein verfügbares Kontingent haben, können Sie keine neue Ressource erstellen, wenn keine verfügbar ist.
Beispiel: Sie haben noch ein ausreichendes Kontingent zum Erstellen einer neuen regionalen externen IP-Adresse in einer bestimmten Region. Dies ist jedoch nicht möglich, wenn in dieser Region keine externen IP-Adressen verfügbar sind. Die Verfügbarkeit von zonalen Ressourcen kann sich auch auf Ihre Fähigkeit auswirken, eine neue Ressource zu erstellen.
Es kommt nur selten vor, dass Ressourcen in einer kompletten Region nicht verfügbar sind. Ressourcen innerhalb einer Zone können aber manchmal vorübergehend ausgeschöpft sein.