VPC Service Controls を使用してサービス境界を設定する

詳細設定 標準設定

VPC Service Controls は、サービス境界の設定とデータ転送の境界の作成を可能にする、Google Cloud の機能です。Eventarc で VPC Service Controls を使用すると、サービスを保護できます。

注: Eventarc は、Pub/Sub トピックを使用してイベント配信を処理し、サブスクリプションを push します。Pub/Sub API にアクセスしてイベント トリガーを管理するには、Eventarc API を Pub/Sub API と同じ VPC Service Controls サービス境界内で保護する必要があります。

サービス境界を作成する際は、すべてのサービスを保護することをおすすめします。

制限事項

サービス境界で保護されているプロジェクトでは、次の制限が適用されます。

Eventarc Advanced

• サービス境界外の Eventarc Advanced バスは、境界内の Google Cloud プロジェクトからイベントを受信できません。境界内の Eventarc Advanced バスは、境界外のコンシューマにイベントを転送できません。

  • Eventarc Advanced バスにパブリッシュするには、イベントのソースがバスと同じサービス境界内にある必要があります。
  • イベント コンシューマがメッセージを使用するには、バスと同じサービス境界内に存在する必要があります。

• サービス境界内に Eventarc Advanced パイプラインを作成することはできません。MessageBus、GoogleApiSource、Enrollment リソースの VPC Service Controls サポートをテストし、上り（内向き）でプラットフォーム ログを表示できますが、VPC Service Controls の下り（外向き）はテストできません。これらのリソースのいずれかがサービス境界内にある場合、その境界内でイベントをエンドツーエンドで配信するように Eventarc Advanced を設定することはできません。

Eventarc Standard

• Eventarc Standard には、Pub/Sub と同じ制限が適用されます。

  • イベントを Cloud Run の宛先に転送する場合、push エンドポイントがデフォルトの run.app URL に設定されていると、新しい Pub/Sub push サブスクリプションしか作成できません。カスタム ドメインは動作しません。

  • Pub/Sub push エンドポイントが Workflows 実行に設定されている Workflows の宛先にイベントを転送する場合、新しい Pub/Sub push サブスクリプションは Eventarc 経由でのみ作成できます。Workflows エンドポイントの push 認証に使用するサービス アカウントは、サービス境界内に配置する必要があります。

• VPC Service Controls は、内部 HTTP エンドポイントの Eventarc トリガーの作成をブロックします。このような宛先にイベントをルーティングする場合、VPC Service Controls の保護は適用されません。

次のステップ

• VPC Service Controls の詳細を確認する。概要とサポートされているプロダクトと制限事項をご覧ください。

• VPC Service Controls を有効にするためのベスト プラクティスを確認する。VPC Service Controls の有効化に関するベスト プラクティスをご覧ください。

• サービス境界を設計する際のベスト プラクティスを確認する。サービス境界の設計と構築をご覧ください。

• サービス境界を設定するには、サービス境界を作成するをご覧ください。