輸出控制

事前準備

如要控管輸出，您必須具備必要的身分和存取權角色：

  • 專案編輯者：可管理及刪除專案。請要求 IAM 機構組織管理員授予您專案編輯者 (project-editor) 角色。

強制執行無輸出流量政策

根據預設，建立新專案時，系統會強制執行無輸出流量政策。您可以在建立專案時，確保這項政策已強制執行。

控制台

如要強制執行禁止輸出流量政策，請在建立專案時按照下列步驟操作：

  1. 在 GDC 控制台中，前往「Projects」(專案)。
  2. 按一下「 新增專案」按鈕，建立專案。
  3. 在「專案名稱」和「連結叢集」頁面中，填寫專案的必要資訊。
  4. 在「網路」頁面的「輸出控制項」部分，確認已勾選「強制執行無輸出流量政策」核取方塊。
  5. 點選「下一步」。
  6. 查看「Review」(審查) 頁面上的詳細資料。
  7. 點選「建立」。

API

使用 API 建立專案時，如要明確強制執行禁止輸出流量政策，請將標籤新增至專案中繼資料，並設為 "false"。

apiVersion: resourcemanager.global.gdc.goog/v1
kind: Project
metadata:
  name: PROJECT_NAME
  namespace: platform
  labels:
    networking.gdc.goog/enable-default-egress-allow-to-outside-the-org: "false"

允許輸出流量

根據預設，專案會強制執行無輸出流量政策。以下是強制執行無輸出流量政策的專案預設政策：

  • 僅允許來自相同專案的傳入流量。其他流量都會遭到拒絕。
  • 允許傳出流量傳送至同一組織內的所有目的地。其他流量都會遭到拒絕，也就是說，組織外部的流量會遭到拒絕。

強制執行禁止輸出流量政策時，系統會封鎖從專案傳出至組織外部任何目的地的所有輸出流量。這會覆寫任何可能允許輸出流量的專案網路政策 (PNP)。

如果您在 GDC 控制台清除專案的對應核取方塊，允許輸出流量，則專案的預設政策如下：

  • 僅允許來自相同專案的傳入流量。其他流量都會遭到拒絕。

  • 允許傳出流量前往所有目的地，包括其他組織的外部專案。

控制台

請按照下列步驟，允許專案的輸出流量：

  1. 在 GDC 控制台的導覽選單中，前往「Projects」(專案)。
  2. 按一下要允許輸出流量的專案名稱。
  3. 按一下「輸出控制項」欄位中的「 編輯」。
  4. 在「Edit Egress Control」(編輯輸出控制項) 頁面，取消勾選「Enforce no-egress traffic policy」(強制執行無輸出流量政策) 核取方塊。
  5. 按一下 [儲存]。「Egress Control」(輸出控管) 欄位會顯示政策已停用。

API

如要允許輸出流量，請確認專案中存在 networking.gdc.goog/enable-default-egress-allow-to-outside-the-org 標籤，且設為 "true"。

apiVersion: resourcemanager.global.gdc.goog/v1
kind: Project
metadata:
  name: PROJECT_NAME
  namespace: platform
  labels:
    networking.gdc.goog/enable-default-egress-allow-to-outside-the-org: "true"

您必須為專案建立 ProjectNetworkPolicy 輸出政策，限制傳出流量。詳情請參閱「設定專案網路政策」。