在服务边界内保护代码库

VPC Service Controls 可帮助您围绕 Google Cloud托管式服务配置 安全边界，以防止未经授权复制或 转移数据。您可以控制工件在边界边界之间的移动，使用专用 IP 地址访问代码库，以及为连接的服务配置入站和出站规则。

搭配使用 Artifact Registry 与 VPC Service Controls

如果您在服务边界内的 项目中使用 Artifact Registry 和 Google Kubernetes Engine 专用集群，则可以访问 服务边界内的容器映像以及 Google CloudGoogle 提供的映像。

除非添加出站规则以允许出站到托管 mirror.gcr.io 的 Artifact Registry Docker 缓存，否则存储在 mirror.gcr.io 中的缓存 Docker Hub 映像不包含在服务边界内。

如需在服务边界内使用 mirror.gcr.io，请添加以下出站规则：

- egressTo:
    operations:
    - serviceName: artifactregistry.googleapis.com
      methodSelectors:
      - method: artifactregistry.googleapis.com/DockerRead
    resources:
    - projects/342927644502
  egressFrom:
    identityType: ANY_IDENTITY

如需了解入站和出站规则，请参阅 入站和出站规则。

您可以使用默认 Google API 和服务网域的 IP 地址或以下特殊 IP 地址访问 Artifact Registry：

  • 199.36.153.4/30 (restricted.googleapis.com)
  • 199.36.153.8/30 (private.googleapis.com)

如需详细了解这些选项，请参阅配置专用 Google 访问通道。如需查看使用 199.36.153.4/30（restricted.googleapis.com）的示例 配置， 请参阅使用虚拟 IP 进行注册表访问文档。

确保需要访问 Artifact Registry 的服务（包括 Binary Authorization、Artifact Analysis、 以及 Google Kubernetes Engine 和 Cloud Run 等运行时环境）也位于 服务边界内。 Google Cloud 如需详细了解每项服务，请参阅 支持的服务列表。

如需了解如何将 Artifact Registry 添加到服务边界， 请参阅创建服务边界。

访问 gcr.io 代码库中的映像

如需访问 Artifact Registry gcr.io 代码库中的映像，请在设置入站或出站政策时使用 ANY_IDENTITY 身份类型。您无法对 gcr.io 网域中的映像使用 ANY_SERVICE_ACCOUNT 或 ANY_USER_ACCOUNT 身份类型。

搭配使用 Artifact Analysis 与 VPC Service Controls

如需了解如何将 Artifact Analysis 添加到边界， 请参阅在服务 边界内保护 Artifact Analysis。