保護服務範圍內的存放區

VPC Service Controls 可協助您在Google Cloud代管服務周圍設定安全 perimeter，防止資料遭到未經授權的複製或移轉。您可以控管構件在安全防護範圍邊界間的移動、使用私人 IP 位址存取存放區，以及為連線服務設定輸入和輸出規則。

搭配使用 Artifact Registry 和 VPC Service Controls

如果您在 service perimeter 內的專案中使用 Artifact Registry 和 Google Kubernetes Engine 私人叢集，則可存取 service perimeter 內的容器映像檔，以及 Google Cloud提供的映像檔。

除非新增輸出規則，允許輸出至託管 mirror.gcr.io 的 Artifact Registry Docker 快取，否則儲存在 mirror.gcr.io 的快取 Docker Hub 映像檔不會納入 service perimeter。

如要在 service perimeter 內使用 mirror.gcr.io，請新增下列輸出規則：

- egressTo:
    operations:
    - serviceName: artifactregistry.googleapis.com
      methodSelectors:
      - method: artifactregistry.googleapis.com/DockerRead
    resources:
    - projects/342927644502
  egressFrom:
    identityType: ANY_IDENTITY

如要瞭解輸入和輸出規則，請參閱「輸入和輸出規則」。

您可以透過預設 Google API 和服務網域的 IP 位址存取 Artifact Registry，也可以使用下列特殊 IP 位址：

  • 199.36.153.4/30 (restricted.googleapis.com)
  • 199.36.153.8/30 (private.googleapis.com)

如要進一步瞭解這些選項，請參閱「設定 Private Google Access」。如需使用 199.36.153.4/30 (restricted.googleapis.com) 的設定範例，請參閱使用虛擬 IP 存取登錄檔的說明文件。

確認需要存取 Artifact Registry 的服務也位於服務安全防護範圍內，包括二進位授權、構件分析，以及 Google Kubernetes Engine 和 Cloud Run 等執行階段環境。 Google Cloud 如要進一步瞭解各項服務，請參閱支援的服務清單。

如需將 Artifact Registry 新增至 service perimeter 的一般操作說明，請參閱「建立 service perimeter」。

存取 gcr.io 存放區中的圖片

如要存取 Artifact Registry gcr.io 存放區中的映像檔，請在設定輸入或輸出政策時，使用 ANY_IDENTITY 身分類型。您無法在 gcr.io 網域的圖片中使用 ANY_SERVICE_ACCOUNT 或 ANY_USER_ACCOUNT 身分類型。

將 Artifact Analysis 與 VPC Service Controls 搭配使用

如要瞭解如何將 Artifact Analysis 新增至 perimeter，請參閱「在 service perimeter 中保護 Artifact Analysis」。