VPC 서비스 제어를 사용하면 조직에서Google Cloud 리소스 주위에 경계를 정의하여 데이터 무단 반출 위험을 완화할 수 있습니다. VPC 서비스 제어를 사용하여 명시적으로 지정한 서비스의 리소스와 데이터를 보호하는 경계를 만듭니다.
번들 Firestore 서비스
다음 API는 VPC 서비스 제어에서 함께 번들로 묶입니다.
firestore.googleapis.com
datastore.googleapis.com
firestorekeyvisualizer.googleapis.com
경계에서 firestore.googleapis.com 서비스를 제한하면 경계가 datastore.googleapis.com 및 firestorekeyvisualizer.googleapis.com 서비스도 제한합니다.
datastore.googleapis.com 서비스 제한
datastore.googleapis.com 서비스는 firestore.googleapis.com 서비스 아래에 번들로 제공됩니다. datastore.googleapis.com 서비스를 제한하려면 다음과 같이 firestore.googleapis.com 서비스를 제한해야 합니다.
Google Cloud 콘솔을 사용하여 서비스 경계를 만들 때 Firestore를 제한된 서비스로 추가합니다.
Google Cloud CLI를 사용하여 서비스 경계를 만들 때 datastore.googleapis.com 대신 firestore.googleapis.com을 사용합니다.
제한된 VIP와 함께 MongoDB 호환성을 갖춘 Firestore를 사용하려면 다음 IP 주소 범위를 허용 목록에 추가해야 합니다.
IPv4의 경우: 136.124.0.0/23
IPv6의 경우: 2600:1904::/47
이러한 IP 주소 범위는 Firestore 서비스에서만 사용되며 VPC 서비스 제어를 준수합니다.
가져오기 및 내보내기 작업에 대한 이그레스 보호
MongoDB 호환성을 갖춘 Firestore는 VPC 서비스 제어를 지원하지만 가져오기 및 내보내기 작업에 대한 완전한 이그레스 보호를 받으려면 추가 구성이 필요합니다.
기본 App Engine 서비스 계정을 사용하는 대신 Firestore 서비스 에이전트를 사용하여 가져오기 및 내보내기 작업을 승인해야 합니다. 다음 안내에 따라 가져오기 및 내보내기 작업을 위한 승인 계정을 확인하고 구성합니다.
[[["이해하기 쉬움","easyToUnderstand","thumb-up"],["문제가 해결됨","solvedMyProblem","thumb-up"],["기타","otherUp","thumb-up"]],[["이해하기 어려움","hardToUnderstand","thumb-down"],["잘못된 정보 또는 샘플 코드","incorrectInformationOrSampleCode","thumb-down"],["필요한 정보/샘플이 없음","missingTheInformationSamplesINeed","thumb-down"],["번역 문제","translationIssue","thumb-down"],["기타","otherDown","thumb-down"]],["최종 업데이트: 2025-08-19(UTC)"],[],[],null,["# VPC Service Controls\n====================\n\n[VPC Service Controls](https://cloud.google.com/vpc-service-controls/) lets organizations define a perimeter around\nGoogle Cloud resources to mitigate data exfiltration risks. With\nVPC Service Controls, you create perimeters that protect the resources and data\nof services that you explicitly specify.\n\nBundled Firestore services\n--------------------------\n\nThe following APIs are bundled together in VPC Service Controls:\n\n- `firestore.googleapis.com`\n- `datastore.googleapis.com`\n- `firestorekeyvisualizer.googleapis.com`\n\nWhen you restrict the `firestore.googleapis.com` service in a perimeter,\nthe perimeter also restricts the `datastore.googleapis.com` and\n`firestorekeyvisualizer.googleapis.com` services.\n\n### Restrict the datastore.googleapis.com service\n\nThe `datastore.googleapis.com` service is bundled under the\n`firestore.googleapis.com` service. To restrict the\n`datastore.googleapis.com`\nservice, you must restrict the `firestore.googleapis.com` service\nas follows:\n\n- When creating a service perimeter using the Google Cloud console, add Firestore as the restricted service.\n- When creating a service perimeter using the Google Cloud CLI, use\n `firestore.googleapis.com` instead of `datastore.googleapis.com`.\n\n --perimeter-restricted-services=firestore.googleapis.com\n\n### App Engine legacy bundled services for Datastore\n\n[App Engine legacy bundled services for Datastore](https://cloud.google.com/appengine/docs/standard/python/bundled-services-overview)\ndon't support service perimeters. Protecting the Datastore\nservice with a service perimeter blocks traffic from\nApp Engine legacy bundled services. Legacy bundled services include:\n\n- [Java 8 Datastore with App Engine APIs](https://cloud.google.com/appengine/docs/standard/java/datastore)\n- [Python 2 NDB client library for Datastore](https://cloud.google.com/appengine/docs/standard/python/ndb/creating-entities)\n- [Go 1.11 Datastore with App Engine APIs](https://cloud.google.com/appengine/docs/standard/go111/datastore)\n\nRestricted VIP\n--------------\n\nTo use Firestore with MongoDB compatibility with restricted VIP, you must configure connectivity to\nthe VIP domain used by Firestore with MongoDB compatibility. This domain and its IP addresses are\nused only by the Firestore with MongoDB compatibility service and are VPC Service Controls\ncompliant.\n\nFor instructions, see\n[Configure Private Google Access in Firestore with MongoDB compatibility](/firestore/mongodb-compatibility/docs/configure-private-google-access).\n\nEgress protection on import and export operations\n-------------------------------------------------\n\nFirestore with MongoDB compatibility supports VPC Service Controls but requires additional\nconfiguration to get full egress protection on import and export operations.\nYou must use the Firestore service agent to authorize import and\nexport operations instead of the default App Engine service\naccount. Use the following instructions to view and configure the authorization\naccount for import and export operations."]]
