VPC Service Controls を使用すると、Google Cloudマネージド サービスの周囲にセキュリティ境界を構成して、データの不正なコピーや転送を防ぐことができます。境界を越えたアーティファクトの移動を制御し、プライベート IP アドレスを使用してリポジトリにアクセスし、接続されたサービスに対して上り（内向き）ルールと下り（外向き）ルールを構成できます。
VPC Service Controls での Artifact Registry の使用
サービス境界内のプロジェクトで Artifact Registry と Google Kubernetes Engine のプライベート クラスタを使用している場合は、サービス境界内のコンテナ イメージにも Google Cloud提供のイメージにもアクセスできます。
mirror.gcr.io に格納されているキャッシュ保存済みの Docker Hub イメージは、mirror.gcr.io をホストする Artifact Registry Docker キャッシュへの下り（外向き）トラフィックを許可する下り（外向き）ルールが追加されていない限り、サービス境界には含まれません。
サービス境界内で mirror.gcr.io を使用するには、次の下り（外向き）ルールを追加します。
- egressTo:
operations:
- serviceName: artifactregistry.googleapis.com
methodSelectors:
- method: artifactregistry.googleapis.com/DockerRead
resources:
- projects/342927644502
egressFrom:
identityType: ANY_IDENTITY
上り（内向き）ルールと下り（外向き）ルールについては、上り（内向き）ルールと下り（外向き）ルールをご覧ください。
Artifact Registry にアクセスするには、デフォルトの Google API とサービス ドメインの IP アドレスを使用するか、次の特別な IP アドレスを使用します。
199.36.153.4/30（restricted.googleapis.com）199.36.153.8/30（private.googleapis.com）
これらのオプションの詳細については、プライベート Google アクセスの構成をご覧ください。199.36.153.4/30（restricted.googleapis.com）を使用する構成の例については、仮想 IP を使用したレジストリ アクセスのドキュメントをご覧ください。
Artifact Registry をサービス境界に追加する一般的な手順については、サービス境界の作成をご覧ください。
gcr.io リポジトリ内のイメージにアクセスする
Artifact Registry gcr.io リポジトリ内のイメージにアクセスするには、上り（内向き）ポリシーまたは下り（外向き）ポリシーを設定するときに、ID タイプ ANY_IDENTITY を使用します。gcr.io ドメインのイメージに ID タイプ ANY_SERVICE_ACCOUNT または ANY_USER_ACCOUNT を使用することはできません。
VPC Service Controls での Artifact Analysis の使用
Artifact Analysis を境界に追加する方法については、サービス境界での Artifact Analysis の保護をご覧ください。