本指南說明如何為 Universal Ledger 設定 VPC Service Controls，強化安全性並降低資料竊取風險。
VPC Service Controls 可為 Google Cloud服務提供 Identity and Access Management (IAM) 以外的另一層防護。設定 service perimeter 後，您就能限制 Universal Ledger API 的存取權，只允許授權要求，例如來自虛擬私有雲網路或使用受限 VIP 的授權 IP 位址。
使用 service perimeter 保護 Universal Ledger
如要使用 VPC Service Controls 保護 Universal Ledger 資源，請按照下列步驟操作：
將 API 新增至 perimeter：將 Universal Ledger API (
universalledger.googleapis.com) 新增至 service perimeter 內的受限制服務清單。如需操作說明，請參閱「建立 service perimeter」或「更新 service perimeter」。透過受限 VIP 轉送要求：設定私人連線，將傳送至
universalledger.googleapis.com的要求轉送至受限 VIP (restricted.googleapis.com)。如要進一步瞭解如何設定 DNS 記錄和路由，請參閱「設定私人連線」。
限制和安全性考量
下列各節說明搭配使用 VPC Service Controls 與 Universal Ledger 時的限制和安全性考量。
共用帳本和交易資料
Universal Ledger API 在共用的多租戶網路上運作，提交至總帳的資料會歸類為「交易資料」。根據服務專屬條款，交易資料 (包括交易酬載、公開金鑰和加密編譯簽章) 明確排除在客戶資料的定義之外。
由於帳本網路具有共用性質，提交至帳本的交易資料可供所有授權帳本參與者存取。因此，個別組織的 VPC Service Controls 邊界設定無法限制或包含這類資料。
防範資料竊取
雖然 VPC Service Controls 會保護 API 輸入和輸出流量，但不會在交易提交至共用總帳後強制執行資料瀏覽權限。
為防止資料竊取，請使用 IAM 拒絕政策，限制修改或發布資料的方法，例如 universalledger.endpoints.submitTransaction。這種做法可防止未經授權的使用者從 perimeter 內部發布資料，同時仍允許唯讀查詢。
詳情請參閱 VPC Service Controls 支援產品和限制說明文件中的「Universal Ledger 項目」。
後續步驟
- 進一步瞭解 VPC Service Controls。
- 請遵循「啟用 VPC Service Controls 的最佳做法」一文中的最佳做法。
- 瞭解如何設計及建構 service perimeter。
- 查看 Universal Ledger 稽核記錄。