Ce document répertorie les quotas et limites qui s'appliquent à Google Cloud Armor.
Un quota limite la quantité d'une ressource Google Cloud partagée particulière que votre projet Google Cloud peut utiliser, y compris les composants matériels, logiciels et réseau. Par conséquent, les quotas font partie d'un système qui effectue les opérations suivantes :
- Surveille votre utilisation ou votre consommation des produits et services Google Cloud
- Limite la consommation de ces ressources pour des raisons telles que l'équité et la réduction des pics d'utilisation.
- Gère des configurations qui appliquent automatiquement des restrictions recommandées.
- Fournit un moyen de demander ou d'effectuer des modifications de quota.
Dans la plupart des cas, lorsqu'un quota est dépassé, le système bloque immédiatement l'accès à la ressource Google concernée et la tâche que vous essayez d'effectuer échoue. Dans la plupart des cas, les quotas s'appliquent à chaque projet Google Cloud. Ils sont partagés entre toutes les applications et adresses IP qui utilisent ce projet.
Des limites s'appliquent également aux ressources Google Cloud Armor. Ces limites ne sont pas liées au système de quotas. Sauf indication contraire, les limites ne peuvent pas être modifiées.
Quotas
Les quotas de ressources Google Cloud Armor sont organisés selon deux critères:
- Champ d'application du quota :
- interprétabilité globale
- régional
- Type de stratégie de sécurité Google Cloud Armor :
- stratégie de sécurité du backend
- stratégie de sécurité périphérique
- stratégie de sécurité de périphérie de réseau
Stratégies de sécurité de backend globales et règles de sécurité périphérique globales
Les stratégies de sécurité de backend globales et les stratégies de sécurité périphérique mondiales utilisent les quotas suivants:
| Ressource | Quota | Description |
|---|---|---|
| Règles de sécurité globales | Quota | La limite de ce quota définit le nombre maximal de règles de sécurité de backend globales et de règles de sécurité périphérique globales pour un projet. Nom du quota : Métriques disponibles :
|
| Règles de stratégie de sécurité globales | Quota | La limite de ce quota définit le nombre total maximal de règles pour les stratégies de sécurité de backend globales et les stratégies de sécurité périphérique globales dans un projet. L'utilisation de ce quota comptabilise chaque règle parmi toutes les règles de sécurité globales d'un projet, qu'une règle utilise des conditions de correspondance de base ou avancées. Nom du quota : Métriques disponibles :
|
| Règles de stratégie de sécurité globales avec des conditions de correspondance avancées | Quota | La limite de ce quota définit le nombre total maximal de règles avec des conditions de correspondance avancées pour les stratégies de sécurité de backend globales et les stratégies de sécurité périphérique globales, dans un projet. Les règles de stratégie de sécurité globales avec des conditions de correspondance avancées contribuent également à l'utilisation du quota de règles de stratégie de sécurité globales décrit à la ligne précédente. Nom du quota : Métriques disponibles :
|
Stratégies de sécurité backend régionales
Les stratégies de sécurité backend régionales utilisent les quotas suivants:
| Ressource | Quota | Description |
|---|---|---|
| Stratégies de sécurité backend régionales | Quota | La limite de ce quota définit le nombre maximal de règles de sécurité de backend régionales dans chaque région d'un projet. Nom du quota : Métriques disponibles :
|
| Règles de stratégie de sécurité des backends régionaux | Quota | La limite de ce quota définit le nombre total maximal de règles pour les stratégies de sécurité de backend régionales dans chaque région d'un projet. L'utilisation de ce quota comptabilise chaque règle de chaque stratégie de sécurité de backend régionale dans une région d'un projet, qu'une règle utilise des conditions de correspondance de base ou avancées. Nom du quota : Métriques disponibles :
|
| Règles de stratégie de sécurité des backends régionaux avec des conditions de correspondance avancées | Quota | La limite de ce quota définit le nombre total maximal de règles avec des conditions de correspondance avancées pour les stratégies de sécurité backend régionales dans chaque région d'un projet. Les règles de stratégie de sécurité des backends régionaux avec des conditions de correspondance avancées contribuent également à l'utilisation du quota de règles de stratégie de sécurité du backend régional décrit à la ligne précédente. Nom du quota : Métriques disponibles :
|
Règles de sécurité régionales en périphérie du réseau
Les stratégies de sécurité régionales en périphérie du réseau utilisent les quotas suivants:
| Ressource | Quota | Description |
|---|---|---|
| Règles de sécurité régionales en périphérie du réseau | Quota | La limite de ce quota définit le nombre maximal de règles de sécurité régionales en périphérie du réseau dans chaque région d'un projet. Nom du quota : Métriques disponibles :
|
| Règles de la stratégie de sécurité périphérique du réseau régional | Quota | La limite de ce quota définit le nombre total maximal de règles pour les stratégies de sécurité régionales en périphérie du réseau dans chaque région d'un projet. Nom du quota : Métriques disponibles :
|
| Valeurs de correspondance des règles de stratégie de sécurité périphérique du réseau régional | Quota | La limite de ce quota définit le nombre total maximal d'attributs dans les règles pour les stratégies de sécurité régionales en périphérie du réseau dans chaque région d'un projet. L'utilisation de ce quota correspond à la somme des attributs Nom du quota : Métriques disponibles :
|
Groupes d'adresses
Les groupes d'adresses Google Cloud Armor utilisent les quotas suivants:
| Ressource | Quota | Description |
|---|---|---|
| Capacité cumulée par organisation | Quota | Capacité maximale par organisation dans tous les groupes d'adresses de l'organisation, y compris les plages d'adresses IP IPv4 et IPv6.
Considérez cette limite comme étant de 150 000 plages, dans lesquelles une plage d'adresses IPv4 compte pour une plage et une plage d'adresses IP IPv6 compte pour trois plages.Par exemple, si vous disposez de 40 000 plages d'adresses IP |
| Capacité cumulée par projet | Quota | Capacité maximale par projet dans tous les groupes d'adresses du projet, y compris les plages d'adresses IP IPv4 et IPv6.
Considérez cette limite comme étant de 150 000 plages, dans lesquelles une plage d'adresses IPv4 compte pour une plage et une plage d'adresses IP IPv6 compte pour trois plages.Par exemple, si vous disposez de 40 000 plages d'adresses IP |
Outre les quotas de Google Cloud Armor, les produits qui utilisent Google Cloud Armor disposent de leurs propres quotas. Par exemple, consultez la page Quotas et limites de Cloud Load Balancing.
Google Cloud impose des quotas sur l'utilisation des ressources pour de nombreuses raisons, par exemple pour préserver la communauté des utilisateurs de Google Cloud en empêchant les pics d'utilisation imprévus. Google Cloud propose également des quotas d'essai gratuit qui offrent un accès limité aux projets dont le seul but est d'explorer Google Cloud à titre d'essai gratuit.
Tous les projets ne sont pas soumis aux mêmes quotas. À mesure que votre utilisation de Google Cloud s'accroît, les quotas peuvent augmenter en conséquence. Si vous prévoyez une augmentation notable de l'utilisation, vous pouvez anticiper cette évolution en demandant des ajustements de quota sur la page Quotas de Google Cloud Console.
Pour demander des quotas supplémentaires, vous devez disposer de l'autorisation serviceusage.quotas.update. Elle est incluse par défaut pour les rôles prédéfinis suivants : propriétaire, éditeur et administrateur de quotas. Effectuez votre demande de ressources supplémentaires au moins une semaine à l'avance pour que le temps de traitement soit suffisant. Pour demander un quota supplémentaire, consultez la section Demander un quota supplémentaire.
Limites
Les limites suivantes s'appliquent à Google Cloud Armor :
| Élément | Limites |
|---|---|
| Nombre d'adresses IP ou de plages d'adresses IP par règle | 10 |
| Nombre de sous-expressions pour chaque règle avec une expression personnalisée | 5 |
| Nombre de caractères pour chaque sous-expression d'une expression personnalisée | 1 024 |
| Nombre de caractères d'une expression personnalisée | 2 048 |
| Nombre de correspondances d'expressions régulières pour chaque expression personnalisée | 1 |
Nombre de requêtes par seconde et par projet dans l'ensemble des backends dotés d'une stratégie de sécurité Google Cloud Armor Cette limite n'est pas appliquée. Google se réserve le droit de limiter le volume de trafic pouvant être traité par toutes les règles de sécurité pour chaque projet. Adressez vos demandes d'augmentation de RPS à l'équipe de gestion du compte. |
20 000 |
| Nombre de services de sécurité de périphérie de réseau par région et par projet | 1 |
Groupes d'adresses
Les limites suivantes s'appliquent aux groupes d'adresses Google Cloud Armor:
| Version du protocole Internet | Capacité maximale d'un groupe d'adresses | Nombre maximal d'adresses modifiées par une commande d'API (par exemple, add-items) |
|---|---|---|
| IPv4 | 150 000 plages d'adresses IP IPv4 |
50 000 plages d'adresses IP IPv4 |
| IPv6 | 50 000 plages d'adresses IP IPv6 |
20 000 plages d'adresses IP IPv6 |
Gérer les quotas
Google Cloud Armor impose des quotas sur l'utilisation des ressources pour différentes raisons. Il s'agit, par exemple, de préserver la communauté des utilisateurs Google Cloud en empêchant les pics d'utilisation imprévus. Les quotas aident également les utilisateurs qui explorent Google Cloud avec la version gratuite à ne pas dépasser les limites de leur version d'essai.
Tous les projets débutent avec les mêmes quotas, que vous pouvez modifier en demandant un quota supplémentaire. Certains quotas peuvent augmenter automatiquement en fonction de votre utilisation d'un produit.
Autorisations
Pour afficher les quotas ou demander des augmentations de quotas, les entités principales IAM (gestion de l'authentification et des accès) doivent disposer de l'un des rôles suivants :
| Tâche | Rôle requis |
|---|---|
| Vérifier les quotas d'un projet | Choisissez l'une des options suivantes :
|
| Modifier les quotas, demander un quota supplémentaire | Choisissez l'une des options suivantes :
|
Vérifier les quotas
Console
- Dans Google Cloud Console, accédez à la page Quotas.
- Pour rechercher le quota à mettre à jour, utilisez l'option Filtrer le tableau. Si vous ne connaissez pas le nom du quota, utilisez les liens disponibles sur cette page à la place.
gcloud
À l'aide de Google Cloud CLI, exécutez la commande suivante pour vérifier vos quotas. Remplacez PROJECT_ID par votre ID de projet :
gcloud compute project-info describe --project PROJECT_ID
Pour vérifier le quota que vous avez déjà consommé dans une région, exécutez la commande suivante :
gcloud compute regions describe example-region
Erreurs lors du dépassement de votre quota
Si vous dépassez un quota avec une commande gcloud, gcloud génère un message d'erreur quota exceeded et renvoie le code de sortie 1.
Si vous dépassez un quota avec une requête API, Google Cloud renvoie le code d'état HTTP suivant : 413 Request Entity Too Large.
Demander un quota supplémentaire
Pour demander une augmentation ou une diminution de la plupart des quotas, vous pouvez utiliser Google Cloud Console. Pour en savoir plus, consultez Demander une augmentation de quota.
Console
- Dans Google Cloud Console, accédez à la page Quotas.
- Sur la page Quotas, sélectionnez les quotas à modifier.
- En haut de la page, cliquez sur Modifier les quotas.
- Dans le champ Name (Nom), saisissez votre nom.
- Facultatif: Dans le champ Téléphone, saisissez un numéro de téléphone.
- Envoyez la demande. Le traitement des demandes de quotas nécessite un délai de 24 à 48 heures.
Disponibilité des ressources
Chaque quota représente le nombre maximal de ressources que vous pouvez créer pour un type de ressource donné, sous réserve de disponibilité. Il est important de noter que les quotas ne garantissent pas la disponibilité des ressources. Même si vous disposez d'un quota, vous ne pouvez pas créer une ressource si celle-ci n'est pas disponible.
Par exemple, vous pouvez disposer d'un quota suffisant pour créer une adresse IP régionale externe dans la région us-central1. Toutefois, cela n'est pas possible si aucune adresse IP externe n'est disponible dans cette région. La disponibilité des ressources par zone peut également avoir une incidence sur votre capacité à créer des ressources.
Les situations dans lesquelles des ressources sont indisponibles dans une région entière sont rares. Toutefois, les ressources d'une zone peuvent parfois être épuisées de temps en temps, ce qui n'a généralement pas d'incidence sur le contrat de niveau de service pour le type de ressource. Pour plus d'informations, consultez le contrat de niveau de service correspondant à la ressource.