VPC 서비스 제어는 서비스 경계를 설정하고 데이터 전송 경계를 만들 수 있는 Google Cloud 기능입니다. Eventarc에서 VPC 서비스 제어를 사용하면 서비스를 보호할 수 있습니다.
서비스 경계를 만들 때 모든 서비스를 보호하는 것이 좋습니다.
제한사항
서비스 경계로 보호되는 프로젝트에서는 다음 제한사항이 적용됩니다.
Eventarc Advanced
서비스 경계 외부의 Eventarc Advanced 버스는 경계 내 Google Cloud 프로젝트의 이벤트를 수신할 수 없습니다. 경계 내부의 Eventarc Advanced 버스는 경계 외부의 소비자에게 이벤트를 라우팅할 수 없습니다.
Eventarc Advanced 버스에 게시하려면 이벤트 소스가 버스와 동일한 서비스 경계 내에 있어야 합니다.
메시지를 소비하려면 이벤트 소비자가 버스와 동일한 서비스 경계 내에 있어야 합니다.
서비스 경계 내에서는 Eventarc Advanced 파이프라인을 만들 수 없습니다. MessageBus, GoogleApiSource, Enrollment 리소스에 대한 VPC 서비스 제어 지원을 테스트하고 인그레스에서 플랫폼 로그를 볼 수 있지만 VPC 서비스 제어 이그레스는 테스트할 수 없습니다. 이러한 리소스가 서비스 경계에 있는 경우 Eventarc Advanced를 설정하여 해당 경계 내에서 이벤트를 엔드 투 엔드로 전송할 수 없습니다.
Eventarc Standard
Eventarc Standard에는 Pub/Sub와 동일한 제한사항이 적용됩니다.
Cloud Run 대상으로 이벤트를 라우팅할 때 푸시 엔드포인트가 기본 run.app URL이 있는 Cloud Run 서비스로 설정되어 있지 않으면 새 Pub/Sub 푸시 구독을 만들 수 없습니다. 커스텀 도메인은 작동하지 않습니다.
Pub/Sub 푸시 엔드포인트가 Workflows 실행으로 설정된 Workflows 대상으로 이벤트를 라우팅하는 경우에는 Eventarc를 통해서만 새 Pub/Sub 푸시 구독을 만들 수 있습니다.
Workflows 엔드포인트의 푸시 인증에 사용되는 서비스 계정은 서비스 경계 내에 포함되어야 합니다.
VPC 서비스 제어는 내부 HTTP 엔드포인트에 대한 Eventarc 트리거 생성을 차단합니다.
이러한 대상으로 이벤트를 라우팅할 때는 VPC 서비스 제어 보호가 적용되지 않습니다.
[[["이해하기 쉬움","easyToUnderstand","thumb-up"],["문제가 해결됨","solvedMyProblem","thumb-up"],["기타","otherUp","thumb-up"]],[["이해하기 어려움","hardToUnderstand","thumb-down"],["잘못된 정보 또는 샘플 코드","incorrectInformationOrSampleCode","thumb-down"],["필요한 정보/샘플이 없음","missingTheInformationSamplesINeed","thumb-down"],["번역 문제","translationIssue","thumb-down"],["기타","otherDown","thumb-down"]],["최종 업데이트: 2025-05-30(UTC)"],[[["\u003cp\u003eVPC Service Controls can be used with Eventarc to establish a service perimeter and data transfer boundary, thereby protecting your services.\u003c/p\u003e\n"],["\u003cp\u003eEventarc Advanced has limitations within a service perimeter, including the inability for external Eventarc Advanced buses to communicate with projects inside the perimeter and no support for end-to-end event delivery within it.\u003c/p\u003e\n"],["\u003cp\u003eEventarc Standard is subject to the same constraints as Pub/Sub, particularly concerning push subscriptions to Cloud Run services with default \u003ccode\u003erun.app\u003c/code\u003e URLs and Workflows destinations.\u003c/p\u003e\n"],["\u003cp\u003eVPC Service Controls prevents the creation of Eventarc triggers for internal HTTP endpoints, and protection does not apply to events routed to these destinations.\u003c/p\u003e\n"],["\u003cp\u003eProtecting all services is recommended when creating a new service perimeter, to maintain security.\u003c/p\u003e\n"]]],[],null,["# Set up a service perimeter using VPC Service Controls\n\n[Advanced](/eventarc/advanced/docs/overview) [Standard](/eventarc/standard/docs/overview)\n\nVPC Service Controls is a Google Cloud feature that lets you set up a\nservice perimeter and create a data transfer boundary. You can use\nVPC Service Controls with Eventarc to help protect your\nservices.\n| **Note:** Eventarc Standard handles event delivery using Pub/Sub topics and push subscriptions. To access the Pub/Sub API and manage event triggers, the Eventarc API must be protected within the same VPC Service Controls service perimeter as the Pub/Sub API.\n\nWe recommend that you protect all services when creating a service perimeter.\n\nEventarc Advanced\n-----------------\n\n- An Eventarc Advanced bus outside of a service perimeter can't\n receive events from Google Cloud projects inside the perimeter. An\n Eventarc Advanced bus inside of a perimeter can't route events to\n a consumer outside of the perimeter.\n\n - To publish to an Eventarc Advanced bus, the source of an event must be inside the same service perimeter as the bus.\n - To consume a message, an event consumer must be inside the same service perimeter as the bus.\n- You can verify VPC Service Controls support for the `Enrollment`,\n `GoogleApiSource`, `MessageBus`, and `Pipeline` resources by viewing platform\n logs on ingress.\n\nEventarc Standard\n-----------------\n\n- In projects protected by a service perimeter, Eventarc Standard\n is bound by the same limitations as Pub/Sub:\n\n - When routing events to Cloud Run destinations, you can only\n create new Pub/Sub push subscriptions when the push\n endpoints are set to Cloud Run services with default\n `run.app` URLs. [Custom domains](/run/docs/mapping-custom-domains) don't\n work.\n\n - When [routing events to Workflows destinations](/workflows/docs/trigger-workflow-eventarc)\n for which the Pub/Sub push endpoint is set to a\n Workflows execution, you can only create new\n Pub/Sub push subscriptions through Eventarc.\n Note that the service account used for push authentication for the\n Workflows endpoint must be included in the service\n perimeter.\n\n- VPC Service Controls blocks the creation of Eventarc\n triggers for\n [internal HTTP endpoints](/eventarc/standard/docs/vpc-endpoints/route-vpc-internal-endpoint-events).\n VPC Service Controls protection does not apply when routing events to\n such destinations.\n\nWhat's next\n-----------\n\n- To learn more about VPC Service Controls, see the\n [overview](/vpc-service-controls/docs/overview) and\n [supported products and limitations](/vpc-service-controls/docs/supported-products).\n\n- For best practices for enabling VPC Service Controls, see\n [Best practices for enabling VPC Service Controls](/vpc-service-controls/docs/enable).\n\n- For best practices for designing service perimeters, see\n [Design and architect service perimeters](/vpc-service-controls/docs/architect-perimeters).\n\n- To set up a service perimeter, see\n [Create a service perimeter](/vpc-service-controls/docs/create-service-perimeters)."]]
