VPC Service Controls を使用してサービス境界を設定する

VPC Service Controls は、サービス境界の設定とデータ転送の境界の作成を可能にする、Google Cloud の機能です。Eventarc で VPC Service Controls を使用すると、サービスを保護できます。

サービス境界を作成する際は、すべてのサービスを保護することをおすすめします。

制限事項

サービス境界で保護されているプロジェクトでは、次の制限が適用されます。

Eventarc Advanced

  • サービス境界外の Eventarc Advanced バスは、境界内の Google Cloud プロジェクトからイベントを受信できません。境界内の Eventarc Advanced バスは、境界外のコンシューマにイベントを転送できません。

    • Eventarc Advanced バスにパブリッシュするには、イベントのソースがバスと同じサービス境界内にある必要があります。
    • イベント コンシューマがメッセージを使用するには、バスと同じサービス境界内に存在する必要があります。

  • サービス境界内に Eventarc Advanced パイプラインを作成することはできません。MessageBus、GoogleApiSource、Enrollment リソースの VPC Service Controls サポートをテストし、上り（内向き）でプラットフォーム ログを表示できますが、VPC Service Controls の下り（外向き）はテストできません。これらのリソースのいずれかがサービス境界内にある場合、その境界内でイベントをエンドツーエンドで配信するように Eventarc Advanced を設定することはできません。

Eventarc Standard

  • Eventarc Standard には、Pub/Sub と同じ制限が適用されます。

    • イベントを Cloud Run の宛先に転送する場合、push エンドポイントがデフォルトの run.app URL に設定されていると、新しい Pub/Sub push サブスクリプションしか作成できません。カスタム ドメインは動作しません。

    • Pub/Sub push エンドポイントが Workflows 実行に設定されている Workflows の宛先にイベントを転送する場合、新しい Pub/Sub push サブスクリプションは Eventarc 経由でのみ作成できます。Workflows エンドポイントの push 認証に使用するサービス アカウントは、サービス境界内に配置する必要があります。

  • VPC Service Controls は、内部 HTTP エンドポイントの Eventarc トリガーの作成をブロックします。このような宛先にイベントをルーティングする場合、VPC Service Controls の保護は適用されません。

次のステップ