VPC Service Controls 會使用輸入和輸出規則，控管對 service perimeter 內資源和用戶端的存取權，以及從這些資源和用戶端存取資料。如要進一步調整存取權，您可以在輸入和輸出規則中指定支援的身分。
本頁面列出 VPC Service Controls 支援的身分，以及這些身分的 ID 格式。
支援的 ID
VPC Service Controls 支援下列身分 (來自允許政策的主體 ID，使用 IAM v1 API)：
| 身分類型 | 主體類型 | ID |
|---|---|---|
| 單一主體 | 使用者帳戶 | user:USER_EMAIL_ADDRESS |
| 服務帳戶 | serviceAccount:SA_EMAIL_ADDRESS |
|
| 身分群組和第三方身分 | 群組 | group:GROUP_EMAIL_ADDRESS |
| 工作團隊身分集區中的單一身分 | principal://iam.googleapis.com/locations/global/workforcePools/POOL_ID/subject/SUBJECT_ATTRIBUTE_VALUE |
|
| 群組中的所有員工身分 | principalSet://iam.googleapis.com/locations/global/workforcePools/POOL_ID/group/GROUP_ID |
|
| 具有特定屬性值的所有員工身分 | principalSet://iam.googleapis.com/locations/global/workforcePools/POOL_ID/attribute.ATTRIBUTE_NAME/ATTRIBUTE_VALUE |
|
| 員工身分集區中的所有身分 | principalSet://iam.googleapis.com/locations/global/workforcePools/POOL_ID/* |
|
| workload identity pool 中的單一身分 | principal://iam.googleapis.com/projects/PROJECT_NUMBER/locations/global/workloadIdentityPools/POOL_ID/subject/SUBJECT_ATTRIBUTE_VALUE |
|
| workload identity pool 群組 | principalSet://iam.googleapis.com/projects/PROJECT_NUMBER/locations/global/workloadIdentityPools/POOL_ID/group/GROUP_ID |
|
| 具有特定屬性的 workload identity pool 中的所有身分 | principalSet://iam.googleapis.com/projects/PROJECT_NUMBER/locations/global/workloadIdentityPools/POOL_ID/attribute.ATTRIBUTE_NAME/ATTRIBUTE_VALUE |
|
| 特定 workload identity pool 中的所有身分 | principalSet://iam.googleapis.com/projects/PROJECT_NUMBER/locations/global/workloadIdentityPools/POOL_ID/* |
|
| 代理身分 | 代理身分 | principal://TRUST_DOMAIN/AGENT_UNIQUE_IDENTIFIER |
| 具有特定屬性的信任網域中的所有代理身分 | principalSet://TRUST_DOMAIN/attribute.ATTRIBUTE_NAME/ATTRIBUTE_VALUE |
|
| 信任網域中的所有代理程式身分 | principalSet://TRUST_DOMAIN/* |
如要進一步瞭解這些身分，請參閱「允許政策的主體 ID」。
VPC Service Controls 也支援下列 SPIFFE 格式，適用於第三方工作人員和工作負載身分：
| 身分類型 | 主體類型 | ID |
|---|---|---|
| SPIFFE 格式的員工身分 | 工作團隊身分集區中的單一身分 | principal://POOL_ID.global.workforce.id.goog/SUBJECT_ATTRIBUTE_VALUE |
| 具有特定屬性的員工身分集區中的所有身分，做為信任網域 | principalSet://POOL_ID.global.workforce.id.goog/attribute.ATTRIBUTE_NAME/ATTRIBUTE_VALUE |
|
| 員工身分集區中的所有身分 (做為信任網域) | principalSet://POOL_ID.global.workforce.id.goog/* |
|
| SPIFFE 格式的工作負載身分 | workload identity pool 中的單一身分 | principal://POOL_ID.global.ORGANIZATION_ID.workload.id.goog/SUBJECT_ATTRIBUTE_VALUE |
| 具有特定屬性的 workload identity pool 中的所有身分 (做為信任網域) | principalSet://POOL_ID.global.ORGANIZATION_ID.workload.id.goog/attribute.ATTRIBUTE_NAME/ATTRIBUTE_VALUE |
|
| 信任網域中 workload identity pool 的所有身分 | principalSet://POOL_ID.global.ORGANIZATION_ID.workload.id.goog/* |