Configura un perimetro di servizio utilizzando i Controlli di servizio VPC

I Controlli di servizio VPC sono una funzionalità Google Cloudche ti consente di configurare un perimetro di servizio e definire un confine per il trasferimento di dati. Puoi utilizzare i Controlli di servizio VPC con Eventarc per proteggere i tuoi servizi.

Ti consigliamo di proteggere tutti i servizi quando crei un perimetro di servizio.

Eventarc Advanced

Le seguenti limitazioni si applicano al supporto dei Controlli di servizio VPC per Eventarc Advanced.

Puoi verificare il supporto dei Controlli di servizio VPC per le risorse Enrollment, GoogleApiSource, MessageBus e Pipeline visualizzando i log della piattaforma in entrata.

Bus

Per pubblicare in un bus Eventarc Advanced, l'origine di un evento deve trovarsi all'interno dello stesso perimetro di servizio del bus. Ad esempio, un bus all'esterno di un perimetro di servizio non può ricevere eventi dai progetti Google Cloud all'interno del perimetro.

Per utilizzare un messaggio di evento, un consumer di eventi deve trovarsi all'interno dello stesso perimetro di servizio del bus Eventarc Advanced. Ad esempio, un bus all'interno di un perimetro non può instradare eventi a un consumer all'esterno del perimetro.

Pipeline

Quando crei o aggiorni una pipeline Eventarc Advanced, la convalida della destinazione viene applicata rigorosamente. L'applicazione non è retroattiva. Qualsiasi pipeline creata prima della configurazione del perimetro di servizio continua a essere eseguita. Non puoi creare o aggiornare una pipeline con una destinazione non supportata.

La tabella seguente elenca le destinazioni supportate e non supportate per l'integrazione di Eventarc Advanced con i Controlli di servizio VPC:

Destinazioni supportate
  • Cloud Run (*.run.app) e Cloud Run Functions (*.cloudfunctions.net)
  • API di Google proprietarie (*.googleapis.com) supportate dai Controlli di servizio VPC, inclusi gli endpoint regionali come *.rep.googleapis.com, LOCATION.SERVICE.googleapis.com e REGION-SERVICE.googleapis.com, nonché gli endpoint mTLS (*.mtls.googleapis.com)
  • Bus Eventarc Advanced, argomenti Pub/Sub e workflow di Workflows
  • Qualsiasi destinazione HTTP, se configurata con un collegamento di rete
Destinazioni non supportate
  • Endpoint HTTP esterni, inclusi i domini personalizzati di Cloud Run e Cloud Run Functions, bloccati con un codice di stato HTTP 403
  • URL Cloud Run nei domini *.cloud.run e *.ai.studio: bloccati con un codice di stato HTTP 403 perché sono supportati solo gli URL *.run.app
  • API di Google proprietarie non supportate dai Controlli di servizio VPC (ad esempio, i servizi in versione alpha): bloccate con un codice di stato HTTP 403

Eventarc Standard

Le seguenti limitazioni si applicano al supporto dei Controlli di servizio VPC per Eventarc Standard.

  • Nei progetti protetti da un perimetro di servizio, Eventarc Standard è soggetto alle stesse limitazioni di Pub/Sub:

    • Quando esegui il routing degli eventi alle destinazioni Cloud Run, puoi creare nuove sottoscrizioni push Pub/Sub solo quando gli endpoint push sono impostati sui servizi Cloud Run con URL run.app predefiniti. I domini personalizzati non funzionano.

    • Quando instradi gli eventi alle destinazioni di Workflows per cui l'endpoint push Pub/Sub è impostato su un'esecuzione di Workflows, puoi creare nuove sottoscrizioni push Pub/Sub solo tramite Eventarc Standard. Il account di servizio utilizzato per l'autenticazione push per l'endpoint Workflows deve essere incluso nel perimetro di servizio.

  • Poiché i Controlli di servizio VPC bloccano la creazione di trigger Eventarc Standard per gli endpoint HTTP interni, non puoi instradare gli eventi a questi endpoint all'interno di un perimetro di servizio dei Controlli di servizio VPC.

Passaggi successivi