VPC Service Controls 可讓您更有效地降低他人透過 Google Cloud 服務竊取資料的風險。您可以使用 VPC Service Controls 建立 service perimeter，保護您明確指定的服務資源和資料。
如要將 Looker (Google Cloud Core) 服務新增至 VPC Service Controls service perimeter，請按照「建立 service perimeter」說明文件頁面的操作說明建立 service perimeter，並在「指定要限制的服務」對話方塊中選取「Looker (Google Cloud Core) API」。如要進一步瞭解如何使用 VPC Service Controls，請參閱「VPC Service Controls 總覽」說明文件頁面。
VPC Service Controls 支援符合下列兩項條件的 Looker (Google Cloud Core) 執行個體：
必要的角色
如要瞭解設定 VPC Service Controls 時需具備的 IAM 角色，請參閱 VPC Service Controls 說明文件的「使用 IAM 進行存取權控管」頁面。
移除預設路徑
在位於 VPC Service Controls 服務範圍內的專案中，或在新增至 VPC Service Controls 服務範圍的專案中建立 Looker (Google Cloud Core) 執行個體時，您必須移除連往網際網路的預設路徑。 Google Cloud
如要移除網際網路的預設路由，請選取下列任一選項：
gcloud
gcloud services vpc-peerings enable-vpc-service-controls --network=NETWORK --service=servicenetworking.googleapis.com
將 NETWORK 替換為 Looker (Google Cloud Core) 執行個體的虛擬私有雲網路。
詳情請參閱「gcloud services vpc-peerings enable-vpc-service-controls」說明文件頁面。
REST
HTTP 方法和網址：
PATCH https://servicenetworking.googleapis.com/v1/{parent=services/*}:enableVpcServiceControls
JSON 要求主體：
{
"consumerNetwork": NETWORK
}
將 NETWORK 替換為 Looker (Google Cloud Core) 執行個體的虛擬私有雲網路。
詳情請參閱「方法：services.enableVpcServiceControls」說明文件頁面。
連線至 VPC Service Controls 範圍外的資源或服務
如要連線至其他 Google Cloud 資源或服務，如果資源所在的專案位於 VPC Service Controls 範圍外，您可能需要設定輸入和輸出規則。
如要瞭解如何存取其他外部資源，請按照「使用私人服務存取權存取外部服務」或「使用 Private Service Connect 從 Looker (Google Cloud Core) 南向存取外部服務」說明文件頁面上的指示操作 (視執行個體使用私人服務存取權或 Private Service Connect 而定)。
在 perimeter 中新增 CMEK 金鑰
有時，啟用客戶自行管理的加密金鑰 (CMEK) 的 Looker (Google Cloud Core) 執行個體，其 Cloud KMS 金鑰會託管在不同的 Google Cloud 專案中。在這種情況下，啟用 VPC Service Controls 時，您必須將 KMS 金鑰代管專案新增至安全防護範圍。