本页面介绍如何使用 VPC Service Controls 违规分析器来了解和诊断 VPC Service Controls 记录的问题。
VPC Service Controls 日志包含有关对受保护资源的请求的详细信息，以及 VPC Service Controls 拒绝该请求的原因。但是，这些详细信息有时并不明显，您可能需要花大量时间去理解日志。您可以使用 VPC Service Controls 违规分析器诊断来自服务边界的拒绝。如需了解违规原因，请参阅调试被 VPC Service Controls 阻止的请求。
您还可以使用违规分析器诊断来自使用试运行配置的服务边界的拒绝。
准备工作
如需排查 VPC Service Controls 违规问题，请确保您在组织级层具有 VPC Service Controls Troubleshooter Viewer 角色 (roles/accesscontextmanager.vpcScTroubleshooterViewer)。此角色不允许您修改边界或访问权限级别。
访问违规分析器
违规分析器仅在 Google Cloud 控制台中提供。 您可以使用 Logs Explorer 或 VPC Service Controls 页面访问违规分析器。
使用日志浏览器
使用日志浏览器，您可以直接从 VPC Service Controls 被拒问题的日志条目转到违规分析器。
如需从日志条目访问违规分析器，请执行以下操作：
在 Google Cloud 控制台中，前往 Logs Explorer 页面。
在 Logs Explorer 页面中，使用被拒问题的唯一 ID 来访问日志条目。
在查询结果框中，在要排查的被拒问题所在的行中，点击 VPC Service Controls，然后点击排查被拒问题。
使用 VPC Service Controls 页面
在 VPC Service Controls 页面中，您可以使用唯一 ID 排查被拒问题。
在开始之前，请为您要排查的被拒问题获取唯一 ID。
如需从 VPC Service Controls 页面访问违规分析器，请执行以下操作：
在 Google Cloud 控制台导航菜单中，点击安全，然后点击 VPC Service Controls。
如果收到提示，请选择您的组织。 您只能在组织级层访问 VPC Service Controls 页面。
在 VPC Service Controls 页面上，点击违规分析器。
在违规分析器页面的问题排查令牌（或唯一 ID）字段中，输入您要排查的被拒问题的唯一 ID。
点击继续。
如果您想使用问题排查令牌诊断访问遭拒事件（预览版），请点击问题排查结果页面中的分析完整详情。
后续步骤
- 了解 VPC Service Controls 审核日志
- 了解 VPC Service Controls 唯一标识符如何帮助排查与服务边界相关的问题。
- 使用违规分析器中的问题排查令牌诊断访问权限拒绝问题（预览版）。