割り当てと上限

このドキュメントでは、 Network Security Integration に適用される割り当てとシステムの上限を示します。

  • 割り当てにはデフォルト値がありますが、通常は 調整をリクエストできます。
  • システムの上限は固定値で、変更できません。

Google Cloud では、割り当てを使用して公平性を確保し、リソースの使用量と可用性の急増を抑えます。割り当ては、 Google Cloud プロジェクトで使用できるGoogle Cloud リソースの量を制限します。割り当ては、ハードウェア、ソフトウェア、ネットワーク コンポーネントなど、さまざまなリソースタイプに適用されます。たとえば、割り当てによって、サービスへの API 呼び出しの数、プロジェクトで同時に使用されるロードバランサの数、作成可能なプロジェクトの数を制限できます。割り当てを適用することで、サービスの過負荷を防ぎ、Google Cloud ユーザーのコミュニティを保護します。割り当ては、自組織で使用している Google Cloud リソースの管理にも役立ちます。

Cloud Quotas システムは次のことを行います。

ほとんどの場合、割り当ての許容量を超えるリソースを消費しようとすると、システムによってリソースへのアクセスがブロックされ、実行しようとしているタスクは失敗します。

割り当ては通常、 Google Cloud プロジェクト レベルで適用されます。あるプロジェクトでリソースを使用しても、別のプロジェクトで使用可能な割り当てに影響することはありません。 Google Cloud プロジェクト内では、すべてのアプリケーションと IP アドレスで割り当てが共有されます。

詳細については、 Cloud Quotas の概要をご覧ください。

Network Security Integration リソースにもシステムの上限があります。 システムの上限は変更できません。

割り当て

このセクションでは、Network Security Integration に適用される割り当てを示します。

Cloud Monitoring を使用するプロジェクトごとの割り当てをモニタリングするには、Consumer Quota リソースタイプで指標 serviceruntime.googleapis.com/quota/allocation/usage のモニタリングを設定します。割り当てタイプに到達するように、追加のラベルフィルタ（service、quota_metric）を設定します。割り当て指標のモニタリングの詳細については、割り当て指標をグラフ化してモニタリングするをご覧ください。各割り当てには上限と使用量の値があります。

特に明記されていない限り、割り当てを変更するには、より大きな割り当てをリクエストするをご覧ください。

プロジェクト単位

次の表に、プロジェクトごとの Network Security Integration の割り当てを示します。

Quota デフォルトの割り当て 説明
グローバル ネットワーク ファイアウォール ポリシー プロジェクト内のグローバル ネットワーク ファイアウォール ポリシーの数。各ポリシーに関連付けられている VPC ネットワークの数は関係ありません。
プロジェクトのゾーンあたりのミラーリング デプロイ 5 プロジェクトのゾーンごとに作成できるミラーリング デプロイの数。
プロジェクトのゾーンあたりのインターセプト デプロイ 5 プロジェクトのゾーンごとに作成できるインターセプト デプロイの数。
プロジェクトあたりのミラーリング用構成グループ 20 プロジェクトごとに作成できるミラーリング用構成の数。
プロジェクトあたりのインターセプト デプロイ グループ 20 プロジェクトごとに作成できるインターセプト デプロイ グループの数。
プロジェクトあたりのミラーリング エンドポイント グループ（[プレビュー](https://cloud.google.com/products#product-launch-stages)） 5 プロジェクトごとに作成できる `broker` タイプのミラーリング エンドポイント グループの数。

組織単位

次の表に、組織ごとの Network Security Integration の割り当てを示します。組織レベルの割り当てを変更するには、サポートケースを登録 してください。

Quota 説明
組織内の関連付けられていない階層型ファイアウォール ポリシー フォルダまたは組織リソースに関連付けられていない、組織内の 階層型ファイアウォール ポリシーの数。リソースに関連付けられている、組織内の階層型ファイアウォール ポリシーの数に制限はありません。

ファイアウォール ポリシー単位

次の表に、ファイアウォール ポリシー リソースごとの Network Security Integration の割り当てを示します。

Quota 説明
階層型ファイアウォール ポリシー
階層型ファイアウォール ポリシーごとのルール属性 階層型 ファイアウォール ポリシーにおけるすべてのルールのルール属性の合計。詳細については、 ルール属性の数 の詳細をご覧ください。

この割り当ては、ファイアウォール ポリシー ルールとミラーリング ルールで共有されます。 したがって、階層型ファイアウォール ポリシーにファイアウォール ポリシー ルールとミラーリング ルールの両方が含まれている場合、両方のルールタイプのルール属性がこの割り当てに寄与します。
グローバル ネットワーク ファイアウォール ポリシー
グローバル ネットワーク ファイアウォール ポリシーごとのルール属性 グローバル ネットワーク ファイアウォール ポリシーにおけるすべてのルールのルール属性の合計。詳細については、 ルール属性の数 の詳細をご覧ください。

この割り当ては、ファイアウォール ポリシー ルールとミラーリング ルールで共有されます。 したがって、グローバル ネットワーク ファイアウォール ポリシーに ファイアウォール ポリシー ルールとミラーリング ルールの両方が含まれている場合、 両方のルールタイプのルール属性がこの割り当てに寄与します。

ルール属性の数の詳細

各ファイアウォール ポリシーは、ルール属性の最大合計数をサポートします。ファイアウォール ポリシーのルール属性の数は、そのファイアウォール ルールとミラーリング ルールのルール属性の合計です。

次のルールの例は、ルール ポリシー ルールごとのルール属性の Google Cloud カウント方法を示しています。

ポリシー ルールの例 ルール属性の合計数 説明
次の 2 つのルールを含むグローバル ネットワーク ファイアウォール ポリシー。
  • 送信元 IP アドレス範囲が 10.100.0.1/32、tcp プロトコル、および 5000-6000 ポート範囲の上り（内向き）許可ファイアウォール ポリシー ルール。
  • 宛先 IP 範囲が 100.64.0.7/32、プロトコルが tcp、ポートが 53-63 の上り（内向き）ミラーリング ルール
 6
  • ファイアウォール ポリシー ルールのルール属性の数: 送信元範囲 1 つ、プロトコル 1 つ、ポート範囲 1 つ
  • ミラーリング ルールのルール属性の数: 宛先範囲 1 つ、プロトコル 1 つ、ポート範囲 1 つ

デプロイ グループ単位

デプロイ グループには次の上限が適用されます。

Quota デフォルトの割り当て 説明
ミラーリング用構成あたりのミラーリング エンドポイント グループ 10 ミラーリング用構成に関連付けることができるミラーリング エンドポイント グループの最大数。
インターセプト デプロイ グループあたりのインターセプト エンドポイント グループ 10 インターセプト デプロイ グループに関連付けることができるインターセプト エンドポイント グループの最大数。

エンドポイント グループ単位

エンドポイント グループには次の割り当てが適用されます。

Quota デフォルトの割り当て 説明
ミラーリング エンドポイント グループあたりのミラーリング用構成（[プレビュー](https://cloud.google.com/products#product-launch-stages)） 5 broker タイプのミラーリング エンドポイント グループに関連付けることができるミラーリング用構成の最大数。
ミラーリング エンドポイント グループあたりのセキュリティ プロファイル グループ 40 ミラーリング エンドポイント グループを参照するセキュリティ プロファイルを含むセキュリティ プロファイル グループの最大数。
インターセプト エンドポイント グループあたりのセキュリティ プロファイル グループ 40 インターセプト エンドポイント グループを参照するセキュリティ プロファイルを含むセキュリティ プロファイル グループの最大数。
エンドポイント グループあたりのインターセプト エンドポイント グループの関連付け 30 インターセプト エンドポイント グループを参照できるインターセプト エンドポイント グループの関連付けの最大数。

上限

具体的に注記がある場合を除き、通常、上限を引き上げることはできません。

組織単位

組織には次の上限が適用されます。

項目 上限 注
組織あたりのセキュリティ プロファイル グループ数 40 組織ごとに作成できるセキュリティ プロファイル グループの最大数。
組織あたりのミラーリング エンドポイント グループ 1 組織ごとに作成できるミラーリング エンドポイント グループの最大数。この上限を更新するには、 サポートケースを登録してください。

ネットワーク単位

VPC ネットワークには次の上限が適用されます。

項目 上限 注
ネットワークあたりの最大グローバル ネットワーク ファイアウォール ポリシー 1 VPC ネットワークに関連付けることができる、グローバル ネットワーク ファイアウォール ポリシーの最大数。

ルール単位

VPC ファイアウォール ルール、ファイアウォール ポリシー ルール、ミラーリング ルールには次の上限が適用されます。

項目 上限 注
ファイアウォール ルールあたりの送信元 IP アドレス範囲の最大数 5,000 VPC ファイアウォール ルール、ファイアウォール ポリシー ルール、ミラーリング ルールで指定できる送信元 IP アドレス範囲の最大数。IP アドレス範囲は、IPv4 のみ、または IPv6 のみです。 この上限を引き上げることはできません。
ファイアウォール ルールあたりの宛先 IP アドレス範囲の最大数 5,000 VPC ファイアウォール ルール、ファイアウォール ポリシー ルール、ミラーリング ルールで指定できる宛先 IP アドレス範囲の最大数。IP アドレス範囲は、IPv4 のみ、または IPv6 のみです。この上限を引き上げることはできません。

デプロイ グループ単位

デプロイ グループには次の上限が適用されます。

項目 上限 注
ミラーリング用構成デプロイ グループあたりのミラーリング用構成とエンドポイント グループの関連付けペア 1,000 ミラーリング用構成の最大数に、ミラーリング用構成グループあたりのミラーリング エンドポイント グループの関連付けを掛けた数。
インターセプト デプロイ グループあたりのインターセプト デプロイとインターセプト エンドポイント グループの関連付けペア 1,000 インターセプト デプロイの最大数に、インターセプト デプロイ グループあたりのインターセプト エンドポイント グループの関連付けを掛けた数。

エンドポイント グループ単位

エンドポイント グループには次の上限が適用されます。

項目 上限 説明
ゾーンあたりのミラーリング エンドポイント グループあたりのミラーリング エンドポイント（[プレビュー](https://cloud.google.com/products#product-launch-stages)） 1 単一ゾーンの broker タイプのミラーリング エンドポイント グループに関連付けることができるミラーリング エンドポイントの最大数。

割り当てを管理する

Network Security Integration では、さまざまな理由から、使用できるリソースの割り当て量に上限が設けられています。たとえば、割り当て量の上限を設定して予期しない使用量の急増を防ぐことで、 Google Cloud ユーザーのコミュニティを保護しています。割り当て量は、無料枠で Google Cloud を試しているユーザーをトライアルのレベルに留めておくのにも役立ちます。

すべてのプロジェクトは同じ割り当て量で開始しますが、追加の割り当て量をリクエストすることで変更できます。割り当ては、プロダクトの使用状況に応じて自動的に増加される場合もあります。

権限

割り当ての表示や、割り当ての増加のリクエストをするには、Identity and Access Management（IAM）のプリンシパルに以下のいずれかのロールが必要です。

タスク 必要なロール
プロジェクトの割り当て量をチェックする 次のいずれかが必要です。
割り当て量の変更、割り当て量の追加のリクエストを行う 次のいずれかが必要です。
  • プロジェクト オーナー（roles/owner）
  • プロジェクト編集者（roles/editor）
  • 割り当て管理者（roles/servicemanagement.quotaAdmin）
  • serviceusage.quotas.update 権限のあるカスタムロール

割り当て量を確認する

コンソール

  1. Google Cloud コンソールで、[割り当て] ページに移動します。

    [割り当て] に移動

  2. 更新する割り当てを検索するには、[表をフィルタリング] を使用します。割り当ての名前がわからない場合は、このページにあるリンクを使用します。

gcloud

Google Cloud CLI で次のコマンドを実行して、割り当てを確認します。PROJECT_ID は、実際のプロジェクト ID に置き換えます。

    gcloud compute project-info describe --project PROJECT_ID

ある特定のリージョンで使用済みの割り当て量を確認するには、次のコマンドを実行します。

    gcloud compute regions describe example-region

割り当て量を超えたときのエラー

gcloud コマンドで割り当て量を超えた場合、gcloud は quota exceeded エラー メッセージを出力し、終了コード 1 を返します。

API リクエストで割り当て量を超えた場合、 Google Cloud は HTTP ステータス コード 413 Request Entity Too Large を返します。

追加の割り当てをリクエスト

通常、割り当てを調整するには Google Cloud コンソールを使用します。詳細については、割り当ての調整をリクエストするをご覧ください。

リソースの可用性

各割り当て量は、リソースが利用可能な場合に作成できる特定のリソースタイプの最大数を表します。割り当て量によってリソースの可用性が保証されるわけではありません。この点は注意が必要です。割り当て量が使用可能でも、新しいリソースを使用できなければ、そのリソースを作成することはできません。

たとえば、特定のリージョンで新しいリージョンの外部 IP アドレスを作成するための割り当て量が十分にあっても、そのリージョンに使用可能な外部 IP アドレスがない場合、外部 IP アドレスは作成できません。ゾーンリソースの可用性は、新しいリソースを作成できるかにも影響を及ぼす可能性があります。

リージョン全体でリソースを使用できない状況はまれです。ただし、ゾーン内のリソースが使い果たされることはあります。通常、そのリソースタイプのサービスレベル契約（SLA）に影響はありません。詳細については、リソースに関連する SLA をご覧ください。