מכסות ומגבלות

במאמר הזה מפורטות המכסות והמגבלות שחלות על VPC Service Controls. המכסות והמגבלות שמפורטות במאמר הזה עשויות להשתנות.

החישוב של ניצול המכסה מבוסס על סכום הניצול במצב האכיפה ובמצב ההרצה היבשה. לדוגמה, אם גבולות גזרה לשירות מגן על חמישה משאבים במצב אכיפה ועל שבעה משאבים במצב פרימטר לבדיקות, המערכת תבדוק אם הסכום של שניהם, כלומר 12, חורג מהמגבלה המתאימה. בנוסף, כל רשומה נספרת פעם אחת, גם אם היא מופיעה במקום אחר במדיניות. לדוגמה, אם פרויקט נכלל בהיקף רגיל אחד ובחמישה היקפים של גשרים, כל ששת המקרים נספרים ולא מתבצעת דה-דופליקציה.

עם זאת, ב-VPC Service Controls המגבלות של גבולות הגזרה לשירות מחושבות באופן שונה. מידע נוסף מופיע בקטע מגבלות על גבולות גזרה לשירות במסמך הזה.

הצגה של מכסות במסוף Google Cloud

1. בתפריט הניווט של מסוף Google Cloud , לוחצים על Security ואז על VPC Service Controls.

   מעבר אל VPC Service Controls

2. אם מוצגת בקשה, בוחרים את הארגון, התיקייה או הפרויקט.

3. בדף VPC Service Controls, בוחרים את מדיניות הגישה שרוצים לראות את המכסות שלה.

4. לוחצים על View Quota (הצגת המכסה).

   בדף Quota מוצגים מדדי השימוש במגבלות הבאות של מדיניות הגישה, שחלות באופן מצטבר על כל גבולות הגזרה לשירות במדיניות גישה נתונה:

   • גבולות גזרה לשירות
   • משאבים מוגנים
   • רמות גישה
   • מאפייני תעבורת נתונים נכנסת ויוצאת כוללת

מגבלות על גבולות הגזרה לשירות

המגבלה הבאה חלה על כל הגדרה של גבולות גזרה לשירות. כלומר, המגבלה הזו חלה בנפרד על הגדרות של הרצה לניסיון ועל הגדרות שנאכפות בהיקף:

סוג	הגבלה	הערות
מאפיינים	‫6,000	המגבלה הזו חלה על המספר הכולל של המאפיינים שצוינו בכללים לתעבורת נתונים נכנסת ויוצאת. מגבלת המאפיינים כוללת את ההפניות לפרויקטים, לרשתות VPC, לרמות גישה, לסלקטורים של שיטות, לזהויות ולתפקידים בכללים האלה. מספר המאפיינים הכולל כולל גם את השימוש בתווים כלליים לחיפוש, *, במאפייני השיטות, השירותים והפרויקטים.
נקודות קצה של Private Service Connect	500	המגבלה הזו חלה על המספר הכולל של נקודות הקצה של Private Service Connect שאפשר לציין בכל הכללים לתעבורת נתונים נכנסת ויוצאת בגבולות גזרה יחידים לשירות.

שיקולים לגבי מגבלות על מאפיינים

‫VPC Service Controls סופר כל ערך בשדות הכללים הבאים של תעבורת נתונים נכנסת (ingress) ותעבורת נתונים יוצאת (egress) כמאפיין אחד:

בלוק כללים	שדות
ingressFrom	sources identities
ingressTo	resources methodSelectors roles
egressFrom	sources identities
egressTo	resources methodSelectors externalResources roles

למידע נוסף על השדות האלה, ראו הפניית כללי תעבורת נתונים נכנסת והפניית כללי תעבורת נתונים יוצאת.

כדי לבדוק אם היקף מסוים חורג ממגבלת המאפיינים, ב-VPC Service Controls נלקחים בחשבון הכללים הבאים:

• כל שדה בכלל תעבורת נתונים נכנסת ויוצאת יכול להכיל כמה רשומות, וכל רשומה נספרת במגבלה.

  לדוגמה, אם מציינים חשבון שירות וחשבון משתמש בשדה identities של בלוק כללים egressFrom, VPC Service Controls סופר שני מאפיינים לקראת המגבלה.

• ב-VPC Service Controls, כל מופע של משאב בכללים נספר בנפרד, גם אם חוזרים על אותו משאב בכמה כללים.

  לדוגמה, אם אתם מאזכרים פרויקט, project-1, בשני כללים שונים של תעבורת נתונים נכנסת או יוצאת, rule-1 ו-rule-2, ‏VPC Service Controls סופר שני מאפיינים במגבלה.

• לכל גבולות גזרה לשירות יכולה להיות הגדרה לאכיפה והגדרה להרצת בדיקה. ב-VPC Service Controls, מגבלת המאפיינים חלה בנפרד על כל הגדרה.

  לדוגמה, אם המספר הכולל של המאפיינים בהגדרות האכיפה וההרצה הניסיונית של היקף מסוים הוא 3,500 ו-3,000 מאפיינים, בהתאמה, ב-VPC Service Controls ההיקף עדיין נחשב בטווח מגבלת המאפיינים.

מגבלות על מדיניות הגישה

המגבלות הבאות של מדיניות הגישה חלות באופן מצטבר על כל גבולות הגזרה לשירות במדיניות גישה נתונה:

סוג	הגבלה	הערות
גבולות גזרה לשירות	10,000	גבולות גזרה מגושרים לשירות נכללים במגבלה הזו.
משאבים מוגנים	40,000	פרויקטים שמוזכרים רק במדיניות של תעבורת נתונים נכנסת ותעבורת נתונים יוצאת לא נכללים במגבלה הזו. כדי למנוע מצב שבו בקשות לשינוי מדיניות לא יתבצעו בגלל זמן קצוב לתפוגה, צריך להוסיף משאבים מוגנים למדיניות רק בקבוצות של 10,000 משאבים או פחות. מומלץ להמתין 30 שניות לפני השינוי הבא במדיניות.
קבוצות של זהויות	1,000	המגבלה הזו חלה על מספר קבוצות הזהויות שמוגדרות בכללים לתעבורת נתונים נכנסת ויוצאת.
זהויות של סוכנים	1,000	המגבלה הזו חלה על מספר זהויות הסוכנים שמוגדרות בכללים לתעבורת נתונים נכנסת ויוצאת.
זהויות שנמחקו (גרסת טרום-השקה (Preview))	500	המגבלה הזו חלה על מספר הזהויות שנמחקו ומוגדרות במדיניות הגישה.
איחוד זהויות של עומסי עבודה ל-GKE (גרסת טרום-השקה (Preview))	1,000	המספר המקסימלי של ישויות מורשות של איחוד זהויות של עומסי עבודה ל-GKE שאפשר להגדיר בכללי תעבורת נתונים נכנסת ותעבורת נתונים יוצאת.
רשתות VPC	500	המגבלה הזו חלה על מספר רשתות ה-VPC שאליהן מפנים במצב אכיפה, במצב פרימטר לבדיקות ובכללי תעבורת נתונים נכנסת (ingress).
האורך הכולל של כל שמות הכללים	240,000	האורך הכולל של כל הכותרות של כללי התעבורה הנכנסת והיוצאת לא יכול לחרוג מהמגבלה הזו. גם תווים של רווחים בשמות הכללים נכללים במגבלה הזו. עם זאת, כל כלל שלא נתתם לו שם לא נכלל במגבלה הזו.

המגבלות הבאות של מדיניות הגישה חלות באופן מצטבר על כל רמות הגישה במדיניות גישה נתונה:

סוג	הגבלה	הערות
רשתות VPC	500	המגבלה הזו חלה על מספר רשתות ה-VPC שאליהן יש הפניה ברמות הגישה.

מגבלות על הארגון

המגבלות הבאות חלות על כל כללי מדיניות הגישה בארגון נתון:

סוג	הגבלה
מדיניות גישה ברמת הארגון	1
כללי מדיניות גישה ברמת התיקייה והפרויקט	50

מכסות ומגבלות ב-Access Context Manager

אתם גם כפופים למכסות ולמגבלות של Access Context Manager, כי VPC Service Controls משתמש בממשקי ה-API של Access Context Manager.