Controlli di servizio VPC

Per convalidare il token di attestazione, Confidential Space deve scaricare i certificati dai bucket Cloud Storage. Se questi bucket si trovano al di fuori del tuo perimetro, devi configurare la seguente regola di uscita:

- egressTo:
    operations:
      - serviceName: storage.googleapis.com
        methodSelectors:
          - method: google.storage.objects.get
    resources:
      - projects/870449385679
      - projects/180376494128
  egressFrom:
    identityType: ANY_IDENTITY

La tabella seguente elenca i progetti contenenti i certificati necessari:

ID progetto	Numero progetto	Descrizione
cloud-shielded-ca-prod	870449385679	Progetto contenente i certificati di attestazione
cloud-shielded-ca-prod-root	180376494128	Progetto contenente i certificati radice

Se l'API Compute Engine è limitata dal perimetro di servizio, devi creare la seguente regola di uscita:

- egressTo:
    operations:
      - serviceName: compute.googleapis.com
        methodSelectors:
          - method: InstancesService.Insert
    resources:
      - projects/30229352718
  egressFrom:
    identityType: ANY_IDENTITY

La tabella seguente elenca il progetto necessario per recuperare le immagini VM di Confidential Space:

ID progetto	Numero progetto	Descrizione
confidential-space-images	30229352718	Progetto contenente le immagini VM di Confidential Space