Configurar um perímetro de serviço usando o VPC Service Controls

O VPC Service Controls é um recurso do Google Cloud que permite configurar um perímetro de serviço e definir um limite de transferência de dados. É possível usar o VPC Service Controls com o Eventarc para ajudar a proteger seus serviços.

Recomendamos que você proteja todos os serviços ao criar um perímetro de serviço.

Eventarc Advanced

As limitações a seguir se aplicam ao suporte do VPC Service Controls para o Eventarc Advanced.

Para verificar a compatibilidade do VPC Service Controls com os recursos Enrollment, GoogleApiSource, MessageBus e Pipeline, consulte os registros da plataforma na entrada.

Barramentos

Para publicar em um barramento do Eventarc Advanced, a origem de um evento precisa estar no mesmo perímetro de serviço que o barramento. Por exemplo, um barramento fora de um perímetro de serviço não pode receber eventos de projetos do Google Cloud dentro do perímetro.

Para consumir uma mensagem de evento, um consumidor de eventos precisa estar no mesmo perímetro de serviço que o barramento do Eventarc Advanced. Por exemplo, um barramento dentro de um perímetro não pode rotear eventos para um consumidor fora dele.

Pipelines

Ao criar ou atualizar um pipeline do Eventarc Advanced, a validação de destino é aplicada de forma rigorosa. A aplicação não é retroativa. Qualquer pipeline criado antes de você configurar o perímetro de serviço continua em execução. Não é possível criar ou atualizar um pipeline com um destino sem suporte.

A tabela a seguir lista os destinos compatíveis e não compatíveis para a integração do Eventarc Advanced com o VPC Service Controls:

Destinos possíveis
  • Cloud Run (*.run.app) e Cloud Run functions (*.cloudfunctions.net)
  • APIs próprias do Google (*.googleapis.com) compatíveis com o VPC Service Controls, incluindo endpoints regionais, como *.rep.googleapis.com, LOCATION.SERVICE.googleapis.com e REGION-SERVICE.googleapis.com, e endpoints mTLS (*.mtls.googleapis.com)
  • Barramentos do Eventarc Advanced, tópicos do Pub/Sub e fluxos de trabalho do Workflows
  • Qualquer destino HTTP, se configurado com um anexo de rede
Destinos não aceitos
  • Endpoints HTTP externos, incluindo domínios personalizados do Cloud Run e do Cloud Run functions, bloqueados com um código de status HTTP 403.
  • URLs do Cloud Run nos domínios *.cloud.run e *.ai.studio: bloqueados com um código de status HTTP 403 porque apenas URLs *.run.app são aceitos
  • APIs próprias do Google que não são compatíveis com o VPC Service Controls (por exemplo, serviços no Alpha): bloqueadas com um código de status HTTP 403.

Eventarc Standard

As limitações a seguir se aplicam ao suporte do VPC Service Controls para o Eventarc Standard.

  • Em projetos protegidos por um perímetro de serviço, o Eventarc Standard está vinculado às mesmas limitações do Pub/Sub:

    • Ao rotear eventos para destinos do Cloud Run, só é possível criar novas assinaturas por push do Pub/Sub quando os endpoints de push estão configurados para serviços do Cloud Run com URLs run.app padrão. Domínios personalizados não funcionam.

    • Ao rotear eventos para destinos do Workflows em que o endpoint de push do Pub/Sub está definido como uma execução do Workflows, só é possível criar assinaturas por push do Pub/Sub por meio do Eventarc Standard. A conta de serviço usada na autenticação por push do endpoint do Workflows precisa ser incluída no perímetro de serviço.

  • Como o VPC Service Controls impede que gatilhos do Eventarc Standard sejam criados para endpoints HTTP internos, não é possível rotear eventos para esses endpoints em um perímetro de serviço do VPC Service Controls.

A seguir