Configura un perímetro de servicio con los Controles del servicio de VPC

Los Controles del servicio de VPC son una función de Google Cloud que te permite configurar un perímetro de servicio y definir un límite de transferencia de datos. Puedes usar los Controles del servicio de VPC con Eventarc para ayudar a proteger tus servicios.

Te recomendamos que protejas todos los servicios cuando crees un perímetro de servicio.

Eventarc Advanced

Las siguientes limitaciones se aplican a la compatibilidad de los Controles del servicio de VPC con Eventarc Advanced.

Puedes verificar la compatibilidad de los Controles del servicio de VPC con los recursos Enrollment, GoogleApiSource, MessageBus y Pipeline. Para ello, consulta los registros de la plataforma en la entrada.

Buses

Para publicar en un bus de Eventarc Advanced, la fuente de un evento debe estar dentro del mismo perímetro de servicio que el bus. Por ejemplo, un bus fuera de un perímetro de servicio no puede recibir eventos de proyectos de Google Cloud dentro del perímetro.

Para consumir un mensaje de evento, un consumidor de eventos debe estar dentro del mismo perímetro de servicio que el bus de Eventarc Advanced. Por ejemplo, un bus dentro de un perímetro no puede enrutar eventos a un consumidor fuera del perímetro.

Canalizaciones

Cuando creas o actualizas una canalización de Eventarc Advanced, se aplica de forma estricta la validación del destino. La aplicación de medidas por incumplimiento no es retroactiva. Cualquier canalización que se haya creado antes de configurar el perímetro de servicio seguirá ejecutándose. No puedes crear ni actualizar una canalización con un destino no compatible.

En la siguiente tabla, se enumeran los destinos compatibles y no compatibles para la integración de Eventarc Advanced con los Controles del servicio de VPC:

Destinos admitidos
  • Cloud Run (*.run.app) y Cloud Run Functions (*.cloudfunctions.net)
  • APIs de Google propias (*.googleapis.com) que admiten los Controles del servicio de VPC, incluidos los extremos regionales, como *.rep.googleapis.com, LOCATION.SERVICE.googleapis.com y REGION-SERVICE.googleapis.com, y los extremos de mTLS (*.mtls.googleapis.com)
  • Buses de Eventarc Advanced, temas de Pub/Sub y flujos de trabajo de Workflows
  • Cualquier destino HTTP, si se configura con un adjunto de red
Destinos no admitidos
  • Extremos HTTP externos, incluidos los dominios personalizados de Cloud Run y Cloud Run Functions: bloqueados con un código de estado HTTP 403
  • URLs de Cloud Run en los dominios *.cloud.run y *.ai.studio: Se bloquean con un código de estado HTTP 403 porque solo se admiten las URLs *.run.app
  • Las APIs de Google propias que no son compatibles con los Controles del servicio de VPC (por ejemplo, los servicios en versión alfa) se bloquean con un código de estado HTTP 403.

Eventarc Standard

Las siguientes limitaciones se aplican a la compatibilidad de los Controles del servicio de VPC con Eventarc Standard.

  • En los proyectos protegidos por un perímetro de servicio, Eventarc Standard tiene las mismas limitaciones que Pub/Sub:

    • Cuando enrutas eventos a destinos de Cloud Run, puedes crear suscripciones de envío nuevas de Pub/Sub solo cuando los extremos de envío están configurados en servicios de Cloud Run con URLs run.app predeterminadas. Los dominios personalizados no funcionan.

    • Cuando enrutas eventos a destinos de Workflows para los que el extremo de envío de Pub/Sub está configurado en una ejecución de Workflows, solo puedes crear suscripciones de envío de Pub/Sub nuevas a través de Eventarc Standard. La cuenta de servicio que se usa para la autenticación de envío para el extremo de Workflows debe incluirse en el perímetro de servicio.

  • Debido a que los Controles del servicio de VPC bloquean la creación de activadores de Eventarc Standard para extremos HTTP internos, no puedes enrutar eventos a esos extremos dentro de un perímetro de servicio de los Controles del servicio de VPC.

¿Qué sigue?