Cloud Run を使用して安全なサーバーレスアーキテクチャをデプロイする

Last reviewed 2023-03-10 UTC

このコンテンツの最終更新日は 2023 年 3 月で、作成時点の状況を表しています。お客様の保護の継続的な改善のために、Google のセキュリティポリシーとシステムは変更される場合があります。

サーバーレスアーキテクチャでは、サーバーのプロビジョニングやメンテナンスを行うことなく、ソフトウェアやサービスを開発できます。サーバーレスアーキテクチャを使用して、幅広いサービスのアプリケーションを構築できます。

このドキュメントでは、DevOps エンジニア、セキュリティアーキテクトを対象として、Cloud Run を使用するサーバーレスアプリケーションを保護する方法に関する独自のガイダンスを提供します。このドキュメントは、以下で構成されるセキュリティブループリントの一部です。

一連の Terraform の構成とスクリプトを含む GitHub リポジトリ。
ブループリント（このドキュメント）で実施するアーキテクチャ、設計、セキュリティ管理のガイド。

このブループリントは、最初に Google Cloud エンタープライズ基盤ブループリントをデプロイせずにデプロイできますが、このドキュメントでは、Google Cloud エンタープライズ基盤ブループリントで説明する基本的なセキュリティ管理の構成が完了していることを前提としています。このドキュメントで説明するアーキテクチャを使用すると、基盤に制御を追加して、サーバーレスアプリケーションを保護できます。

サーバーレスアプリケーションに関連する重要なセキュリティ管理の定義を支援するため、Cloud Security Alliance（CSA）はサーバーレスアプリケーションの 12 の重大リスクを公開しました。このブループリントで使用されるセキュリティ管理は、このドキュメントで説明するさまざまなユースケースに関連するリスクに対処するように設計されています。

サーバーレスユースケース

このブループリントは、次のユースケースをサポートしています。

Cloud Run を使用したサーバーレスアーキテクチャのデプロイ（このドキュメント）
Cloud Functions を使用したサーバーレスアーキテクチャのデプロイ

Cloud Functions と Cloud Run の違いには、以下のような内容が含まれます。

Cloud Functions は、データベース内のデータの変更や、Pub/Sub などのメッセージングシステムからのメッセージの受信などのイベントによってトリガーされます。Cloud Run は、HTTP リクエストなどのリクエストによってトリガーされます。
Cloud Functions は、サポート対象のランタイムに制限されています。Cloud Run は任意のプログラミング言語で使用できます。
Cloud Functions はウェブサーバーや言語のランタイムを制御するコンテナやインフラストラクチャを管理するため、ユーザーはコードに集中できます。Cloud Run では、これらのサービスをユーザー自身で柔軟に実行できるので、コンテナ構成を制御できます。

Cloud Run と Cloud Functions の違いの詳細については、Google Cloud コンピューティングオプションの選択をご覧ください。

アーキテクチャ

このブループリントを使用すると、共有 VPC を使用して Cloud Run でサーバーレスアプリケーションを実行できます。すべてのネットワーキングリソースのネットワークポリシーと制御を一元管理するため、共有 VPC の使用をおすすめします。また、共有 VPC はエンタープライズ基盤ブループリントでデプロイされます。

推奨アーキテクチャ: 共有 VPC ネットワークを使用した Cloud Run

次の図は、共有 VPC ネットワークでサーバーレスアプリケーションを実行する方法を示しています。

サーバーレスブループリントのアーキテクチャ。

前の図のアーキテクチャでは、次の Google Cloud サービスと機能を組み合わせて使用しています。

外部アプリケーションロードバランサは、サーバーレスアプリケーションに必要なデータをインターネットから受信して Cloud Run に転送します。外部アプリケーションロードバランサは、レイヤ 7 ロードバランサです。
Google Cloud Armor はウェブアプリケーションファイアウォールとして機能し、サービス拒否攻撃（DoS）やウェブ攻撃からサーバーレスアプリケーションを保護します。
Cloud Run は、コンテナでのアプリケーションコードの実行を可能にし、ユーザーに代わってインフラストラクチャを管理します。このブループリントでは、内部および Cloud Load Balancing の内部の上り（内向き）設定により、Cloud Run が外部アプリケーションロードバランサからのリクエストのみを受け入れるように Cloud Run へのアクセスを制限します。
サーバーレス VPC アクセスコネクタは、サーバーレス VPC アクセスを使用して、サーバーレスアプリケーションを VPC ネットワークに接続します。サーバーレス VPC アクセスは、サーバーレスアプリケーションから VPC ネットワークへのリクエストがインターネットに公開されないようにするのに役立ちます。サーバーレス VPC アクセスを使用すると、Cloud Run は VPC Service Controls をサポートする他のサービス、ストレージシステム、リソースと通信できます。

デフォルトでは、サーバーレス VPC アクセスコネクタをサービスプロジェクトに作成します。ホストプロジェクトでサーバーレス VPC アクセスコネクタを作成するには、セキュア Cloud Run ネットワークモジュールの実行時に connector_on_host_project 入力変数に true を指定します。詳細については、構成方法の比較をご覧ください。
Virtual Private Cloud（VPC）ファイアウォールルールは、Compute Engine でホストされている会社サーバーや Cloud Storage に保存された会社のデータなど、リソースをホストするサブネットへのデータフローを制御します。
VPC Service Controls は、承認、アクセス制御、安全なデータ交換を設定して、Cloud Run のサービスとリソースを分離するセキュリティ境界を作成します。この境界は、受信コンテンツを保護し、追加のアクセス制御とモニタリングを設定してアプリケーションを分離して、Google Cloud のガバナンスをアプリケーションから分離するように設計されています。ガバナンスには鍵管理とロギングが含まれます。
共有 VPC を使用すると、サービスプロジェクトのサーバーレス VPC アクセスコネクタをホストプロジェクトに接続できます。
Cloud Key Management Service（Cloud KMS）には、サーバーレスアプリケーション、Artifact Registry、Cloud Run など、このブループリントのサービスで使用される顧客管理の暗号鍵（CMEK）が保存されます。
Identity and Access Management（IAM）と Resource Manager は、アクセスを制限してリソースを分離するのに役立ちます。アクセス制御とリソース階層は、最小権限の原則に従います。

代替アーキテクチャ: 共有 VPC ネットワークを使用しない Cloud Run

共有 VPC ネットワークを使用していない場合は、共有 VPC ネットワークのない VPC Service Control 境界に Cloud Run とサーバーレスアプリケーションをデプロイできます。ハブアンドスポークトポロジを使用している場合は、この代替アーキテクチャを実装できます。

次の図は、共有 VPC を使用せずにサーバーレスアプリケーションを実行する方法を示しています。

サーバーレスブループリントの代替アーキテクチャ。

上の図に示すアーキテクチャでは、前のセクションの推奨アーキテクチャ: 共有 VPC を使用した Cloud Run のセクションで説明した Google Cloud サービスと機能の組み合わせを使用します。

組織構造

リソースをグループ化して管理できるようにし、開発環境とテスト環境を本番環境から分離します。Resource Manager を使用すると、プロジェクト、フォルダ、組織ごとに論理的にリソースをグループ化できます。

次の図に、ブートストラップ、共通、本番、非本番（テスト）、開発などのさまざまな環境を表すフォルダを持つリソース階層を示します。このリソース階層は、エンタープライズ基盤ブループリントで説明されている階層に基づいています。ブループリントで指定されたプロジェクトを Common、Production、Non-production、Dev のフォルダにデプロイします。

サーバーレスブループリントの組織構造。

以下のセクションでは、この図について詳しく説明します。

フォルダ

フォルダを使用して、本番環境とガバナンスサービスを非本番環境やテスト環境から分離します。次の表に、このブループリントで使用されるエンタープライズ基盤ブループリントのフォルダを示します。

フォルダ	説明
`Bootstrap`	エンタープライズ基盤ブループリントをデプロイするために必要なリソースが含まれています。
`Common`	セキュリティプロジェクトなど、組織の一元化されたサービスが含まれています。
`Production`	テスト済みの、お客様による使用が可能なクラウドリソースを含むプロジェクトが含まれています。このブループリントでは、`Production` フォルダにサービスプロジェクトとホストプロジェクトが含まれています。
`Non-production`	テストとリリースのステージングが現在行われているクラウドリソースがあるプロジェクトが含まれます。このブループリントでは、`Non-production` フォルダにサービスプロジェクトとホストプロジェクトが含まれています。
`Dev`	現在開発されているクラウドリソースがあるプロジェクトが含まれています。このブループリントでは、`Dev` フォルダにサービスプロジェクトとホストプロジェクトが含まれています。

これらのフォルダの名前は、組織のフォルダ構造に合わせて変更できますが、同様の構造を維持することをおすすめします。詳細については、組織構造をご覧ください。他のフォルダ構造については、Google Cloud ランディングゾーンのリソース階層を決定するをご覧ください。

プロジェクト

プロジェクトを使用して環境内のリソースを分離します。次の表に、組織内で必要なプロジェクトを示します。これらのプロジェクトの名前は変更できますが、同様のプロジェクト構造を維持することをおすすめします。

プロジェクト	説明
ホストプロジェクト	このプロジェクトには、ファイアウォールの上り（内向き）ルールと、内部 IP アドレスを持つリソースが含まれます（VPC ネットワークへの接続を参照）。共有 VPC を使用する場合、1 つのプロジェクトをホストプロジェクトとして指定し、他のサービスプロジェクトをホストプロジェクトに接続します。 Terraform コードを適用するときに、このプロジェクトの名前を指定すると、ブループリントによってサービスがデプロイされます。
サービスプロジェクト	このプロジェクトには、サーバーレスアプリケーション、Cloud Run、サーバーレス VPC アクセスコネクタが含まれます。ホストプロジェクトにサービスプロジェクトを接続して、サービスプロジェクトが共有 VPC ネットワークに参加できるようにします。 Terraform コードを適用するときに、このプロジェクトの名前を指定します。ブループリントは、Cloud Run、Google Cloud Armor、サーバーレス VPC アクセスコネクタ、ロードバランサをデプロイします。
セキュリティプロジェクト	このプロジェクトには、Cloud KMS や Secret Manager などのセキュリティ固有のサービスが含まれています。 Terraform コードを適用するときには、このプロジェクトの名前を指定すると、ブループリントによって Cloud KMS がデプロイされます。Secure Cloud Run Harness モジュールを使用すると、Artifact Registry もデプロイされます。セキュリティ基盤ブループリントをデプロイした後にこのブループリントをデプロイする場合、このプロジェクトはエンタープライズ基盤ブループリントで作成されたシークレットのプロジェクトになります。エンタープライズ基盤ブループリントプロジェクトの詳細については、プロジェクトをご覧ください。エンタープライズ基盤ブループリントを使用せずにこのブループリントの複数のインスタンスをデプロイする場合、各インスタンスには独自のセキュリティプロジェクトがあります。

ロールとグループをプロジェクトにマッピング

組織内のさまざまなユーザーグループに、サーバーレスアーキテクチャを構成するプロジェクトへのアクセス権を付与する必要があります。次の表に、作成するプロジェクトのユーザーグループとロールの割り当てに関するブループリントの推奨事項を示します。組織の既存の構造に合わせてグループをカスタマイズできますが、同様の職掌分散とロール割り当てを維持することをおすすめします。

グループ	プロジェクト	ロール
サーバーレス管理者 grp-gcp-serverless-admin@example.com	サービスプロジェクト	`roles/run.admin` `roles/compute.networkViewer` `compute.networkUser`
サーバーレスセキュリティ管理者 grp-gcp-serverless-security-admin@example.com	セキュリティプロジェクト	`roles/run.viewer` `roles/cloudkms.viewer` `roles/artifactregistry.reader`
Cloud Run デベロッパー grp-gcp-secure-cloud-run-developer@example.com	セキュリティプロジェクト	`roles/run.developer` `roles/artifactregistry.writer` `roles/cloudkms.cryptoKeyEncrypter`
Cloud Run ユーザー grp-gcp-secure-cloud-run-user@example.com	サービスプロジェクト	`roles/run.invoker`

セキュリティ管理

このセクションでは、サーバーレスアーキテクチャの保護に使用する Google Cloud のセキュリティ管理について説明します。考慮すべき主なセキュリティ原則は次のとおりです。

最小権限の原則に沿ってアクセスを保護し、エンティティに必要な権限のみをエンティティに付与します。
セグメンテーションの設計、組織のポリシー、ファイアウォールポリシーによってネットワーク接続を保護できます。
各サービスの構成を保護します。
サーバーレスワークロードをホストする環境のリスクレベルとセキュリティ要件を理解します。
検出、調査、レスポンスを許可する十分なモニタリングとロギングを構成します。

サーバーレスアプリケーションのセキュリティ管理

ネットワーク上のトラフィックを保護し、アクセスを制御して、データを暗号化する設定を使用すると、サーバーレスアプリケーションを保護できます。

ビルドシステム制御

サーバーレスアプリケーションをデプロイする場合は、Artifact Registry を使用して、コンテナイメージとバイナリを保存します。Artifact Registry では CMEK をサポートしているため、独自の暗号鍵を使用してリポジトリを暗号化できます。

SSL トラフィック

サーバーレスアプリケーションへの HTTPS トラフィックをサポートするには、外部アプリケーションロードバランサ用の SSL 証明書を構成します。デフォルトでは、自己署名証明書を使用します。この証明書は、Terraform コードの適用後にマネージド証明書に変更できます。マネージド証明書のインストールと使用の詳細については、Google マネージド SSL 証明書の使用をご覧ください。

ネットワークとファイアウォールのルール

Virtual Private Cloud（VPC）ファイアウォールルールによって、境界へのデータフローが制御されます。restricted.googleapis.com の特別なドメイン名からの特定の TCP ポート 443 接続を除き、すべての下り（外向き）を拒否するファイアウォールルールを作成します。restricted.googleapis.com ドメインを使用するメリットとしては、次のようなものが挙げられます。

ワークロードが Google API およびサービスと通信する際に限定公開の Google アクセスを使用することで、ネットワーク攻撃の可能性を低減できます。
これにより、VPC Service Controls をサポートするサービスのみを使用できます。

詳細については、限定公開の Google アクセスの構成をご覧ください。

境界制御

推奨アーキテクチャ図に示すように、サーバーレスアプリケーションのリソースを個別の境界に配置します。この境界は、意図しないアクセスやデータの引き出しからサーバーレスアプリケーションを保護します。

アクセスポリシー

特定の ID（ユーザーまたはサービス）のみがリソースとデータにアクセスできるようにするには、IAM のグループとロールを有効にします。

特定のリソースのみがプロジェクトにアクセスできるように、Google 組織でアクセスポリシーを有効にします。詳しくは、アクセスレベル属性をご覧ください。

Identity and Access Proxy

環境に Identity and Access Proxy（IAP）がすでに存在する場合は、IAP を使用してサーバーレスアプリケーションのトラフィックを承認するように外部アプリケーションロードバランサを構成できます。IAP を使用すると、サーバーレスアプリケーションの一元的な承認レイヤを確立できるため、ネットワークレベルのファイアウォール依存せずに、アプリケーションレベルのアクセス制御を使用できます。

アプリケーションで IAP を有効にするには、loadbalancer.tf ファイルで iap_config.enable を true に設定します。

IAP の詳細については、Identity-Aware Proxy の概要をご覧ください。

サービスアカウントとアクセス制御

サービスアカウントは、Google Cloud がユーザーに代わって API リクエストを実行するために使用できる ID です。職掌分散を実装するには、特定の目的のために異なるロールを持つサービスアカウントを作成します。サービスアカウントは次のとおりです。

次のロールを持つ Cloud Run サービスアカウント（cloud_run_sa）。
- roles/run.invoker
- roles/secretmanager.secretAccessor
詳細については、Cloud Run にシークレットへのアクセスを許可するをご覧ください。
roles/compute.networkUser ロールを持つサーバーレス VPC アクセスコネクタアカウント（gcp_sa_vpcaccess）。
roles/compute.networkUser ロールを持つ 2 番目のサーバーレス VPC アクセスコネクタアカウント（cloud_services）。

サーバーレス VPC アクセスコネクタのこれらのサービスアカウントは、コネクタがホストプロジェクトで上り（内向き）および下り（外向き）のファイアウォールルールを作成できるようにするために必要です。詳細については、サービスプロジェクトのサービスアカウントに権限を付与するをご覧ください。
roles/vpcaccess.user ロールを持つ Cloud Run（run_identity_services）を実行するサービス ID。
roles/editor ロールを持つ Google API のサービスエージェント（cloud_services_sa）。このサービスアカウントを使用すると、Cloud Run がサーバーレス VPC アクセスコネクタと通信できます。
roles/artifactregistry.reader ロールを持つ Cloud Run（serverless_sa）のサービス ID。このサービスアカウントは、Artifact Registry、CMEK 暗号鍵、復号鍵にアクセスできます。

鍵管理

CMEK 鍵は、Artifact Registry と Cloud Run のデータの保護に使用します。次の暗号鍵を使用します。

サーバーレスアプリケーションのコードを証明するための Artifact Registry のソフトウェアキー。
Cloud Run によってデプロイされるコンテナイメージを暗号化する暗号鍵。

Terraform 構成を適用するときに、鍵が保存されている地理的なロケーションを決定する CMEK ロケーションを指定します。CMEK 鍵がリソースと同じリージョンに存在するようにする必要があります。デフォルトでは、CMEK 鍵は 30 日ごとにローテーションされます。

シークレット管理

Cloud Run は、サーバーレスアプリケーションに必要なシークレットを格納する Secret Manager をサポートしています。これらのシークレットには、API キーとデータベースのユーザー名とパスワードを含めることができます。シークレットをマウントされたボリュームとして公開するには、メインモジュールの volume_mounts 変数と volumes 変数を使用します。

エンタープライズ基盤ブループリントを使用してこのブループリントをデプロイする場合は、Terraform コードを適用する前にシークレットプロジェクトにシークレットを追加する必要があります。このブループリントは、Secret Manager のシークレットアクセサーロールを Cloud Run サービスアカウントに付与します。詳細については、シークレットを使用するをご覧ください。

組織のポリシー

このブループリントは、組織のポリシーの制約に制約を追加します。エンタープライズ基盤ブループリントで使用する制約の詳細については、組織のポリシーの制約をご覧ください。

次の表は、このブループリントの Secure Cloud Run Security モジュールで定義されているその他の組織のポリシーの制約を示しています。

ポリシーの制約	説明	推奨値
`constraints/run.allowedIngress`	内部サービスまたは外部アプリケーションロードバランサからの上り（内向き）トラフィックのみを許可します。	`internal-and-cloud-load-balancing`
`constraints/run.allowedVPCEgress`	Cloud Run サービスのリビジョンでサーバーレス VPC アクセスコネクタを使用するように要求し、リビジョンの VPC 下り（外向き）設定がプライベート範囲のみを許可するように設定されていることを確認します。	`private-ranges-only`

運用管理機能

ロギングと、Security Command Center のプレミアムティアの機能（Security Health Analytics、脅威の検出など）を有効にできます。こうした制御により、次のことを実現できます。

データにアクセスするユーザーをモニタリングする。
適切な監査を確実に実施する。
発生する可能性のある問題への、インシデント管理チームと運用チームの対応能力をサポートする。

ロギング

監査要件を満たしてプロジェクトの分析情報を得るには、追跡するサービスのデータログを使用して、Google Cloud Observability を構成します。Terraform コードを適用する前にプロジェクトに Cloud Logging をデプロイして、ブループリントがファイアウォール、ロードバランサ、VPC ネットワークのロギングを構成できるようにします。

ブループリントをデプロイした後、以下を構成することをおすすめします。

すべてのプロジェクトにまたがる集約ログシンクの作成を行う。
ログを保存する適切なリージョンを選択する。
CMEK 鍵をログシンクに追加する。

プロジェクト内のすべてのサービスのログにデータの読み取りと書き込みに関する情報が含まれていることを確認し、管理者が何にアクセスするかに関する情報を含めてください。ロギングのベストプラクティスについて詳しくは、検出制御をご覧ください。

モニタリングとアラート

ブループリントをデプロイした後、セキュリティインシデントが発生している可能性があることをセキュリティオペレーションセンター（SOC）に通知するアラートを設定できます。たとえば、アラートを使用して、IAM ロールの権限が変更されたときにセキュリティアナリストに通知できます。Security Command Center のアラートの構成の詳細については、検出通知の設定をご覧ください。

サンプルダッシュボードライブラリの一部である Cloud Run Monitoring ダッシュボードには、次の情報が表示されます。

リクエスト数
リクエストのレイテンシ
課金対象インスタンス時間
コンテナの CPU 割り当て
コンテナのメモリ割り当て
コンテナ CPU 使用率
コンテナメモリ使用率

ダッシュボードをインポートする手順については、サンプルダッシュボードをインストールするをご覧ください。アラートをエクスポートするには、次のドキュメントをご覧ください。

デバッグとトラブルシューティング

接続テストを実行すると、Cloud Run とサブネット内のリソースの間のネットワーク構成の問題をデバッグできます。接続テストはパケットの想定パスをシミュレートし、リソース間の接続分析など、接続の詳細を提供します。

Terraform コードでは、接続テストが有効になっていません。別途設定する必要があります。詳細については、接続テストを作成して実行するをご覧ください。

検出制御

このセクションでは、ブループリントに含まれる検出制御について説明します。

Google Cloud Armor と WAF

外部アプリケーションロードバランサと Google Cloud Armor を使用して、サーバーレスアプリケーションに分散型サービス拒否攻撃（DDoS）に対する保護を提供します。Google Cloud Armor は、Google Cloud に含まれるウェブアプリケーションファイアウォール（WAF）です。

次の表に示す Google Cloud Armor ルールを構成して、サーバーレスアプリケーションを保護します。このルールは、OWASP トップ 10 リスクの軽減に役立つように設計されています。

Google Cloud Armor ルール名	ModSecurity ルール名
リモートコード実行	`rce-v33-stable`
ローカルファイル込み	`lfi-v33-stable`
プロトコル攻撃	`protocolattack-v33-stable`
リモートファイルインクルード	`rfi-v33-stable`
スキャナ検出	`scannerdetection-v33-stable`
セッション修正攻撃	`sessionfixation-v33-stable`
SQL インジェクション	`sqli-v33-stable`
クロスサイトスクリプティング	`xss-v33-stable`

これらのルールを有効にすると、Google Cloud Armor はルールに一致するトラフィックを自動的に拒否します。

これらのルールの詳細については、Google Cloud Armor の事前構成 WAF ルールを調整するをご覧ください。

Cloud Run でのセキュリティ問題の検出

Cloud Run の潜在的なセキュリティ問題は、Recommender を使用して検出できます。Recommender は、次のようなセキュリティ問題を検出できます。

Secret Manager ではなく、環境変数に保存されている API キーまたはパスワード。
サービス ID を使用する代わりに、ハードコードされた認証情報を含むコンテナ。

Cloud Run をデプロイしてから約 1 日後に、Recommender は検出結果と推奨事項の提供を開始します。Recommender は、検出結果と推奨される解決策を Cloud Run サービスリストまたはおすすめハブに表示します。

Terraform デプロイモード

次の表に、このブループリントをデプロイする方法と、各デプロイモードに適用される Terraform モジュールを示します。

デプロイモード Terraform モジュール

デプロイモード	Terraform モジュール
エンタープライズ基盤ブループリントをデプロイした後に、このブループリントをデプロイします（推奨）。このオプションは、エンタープライズ基盤ブループリントで使用されているのと同じ VPC Service Controls の境界にこのブループリントのリソースをデプロイします。詳細については、サーバーレスデプロイを安全にするために Foundation v2.3.1 をカスタマイズする方法をご覧ください。このオプションでは、エンタープライズ基盤ブループリントをデプロイしたときに作成したシークレットプロジェクトも使用されます。	次の Terraform モジュールを使用します。 `secure-cloud-run-core` `secure-serverless-net` `secure-cloud-run-security` `secure-cloud-run`
エンタープライズ基盤ブループリントをインストールせずに、このブループリントをインストールします。このオプションを使用するには、VPC Service Controls の境界を作成する必要があります。	次の Terraform モジュールを使用します。 `secure-cloud-run-core` `secure-serverless-harness` `secure-serverless-net` `secure-cloud-run-security` `secure-cloud-run`

エンタープライズ基盤ブループリントをデプロイした後に、このブループリントをデプロイします（推奨）。

このオプションは、エンタープライズ基盤ブループリントで使用されているのと同じ VPC Service Controls の境界にこのブループリントのリソースをデプロイします。詳細については、サーバーレスデプロイを安全にするために Foundation v2.3.1 をカスタマイズする方法をご覧ください。

このオプションでは、エンタープライズ基盤ブループリントをデプロイしたときに作成したシークレットプロジェクトも使用されます。

次の Terraform モジュールを使用します。

エンタープライズ基盤ブループリントをインストールせずに、このブループリントをインストールします。

このオプションを使用するには、VPC Service Controls の境界を作成する必要があります。