此页面由 Cloud Translation API 翻译。

使用 VPC Service Controls 帮助保护 Policy Intelligence API

借助 VPC Service Controls，您可以为您的 Google Cloud 资源创建边界。然后，您可以定义安全政策，以防止从边界外访问受支持的服务。如需详细了解 VPC Service Controls，请参阅 VPC Service Controls 概览。

您可以使用 VPC Service Controls 来帮助保护以下 Policy Intelligence API：

帮助保护 Policy Troubleshooter API

您可以使用 VPC Service Controls 帮助保护政策问题排查。

如果您通过边界限制 Policy Troubleshooter API，则只有在请求中涉及的所有资源都位于同一边界内时，主账号才能排查 IAM 政策问题。问题排查请求通常涉及两个资源：

您要排查其访问权限问题的资源。此资源可为任何类型。您需要在排查 IAM 政策问题时明确指定此资源。
您用于排查访问权限问题的资源。此资源必须是项目、文件夹或组织。在 Google Cloud 控制台和 gcloud CLI 中，系统会根据您选择的项目、文件夹或组织推断此资源。在 REST API 中，您可以使用 x-goog-user-project 标头指定此资源。

此资源可以与您要排查其访问权限问题的资源相同，但这不是必需的。

如果这些资源不在同一边界内，则请求将失败。

如需详细了解 VPC Service Controls 如何与政策问题排查工具搭配使用，请参阅 VPC Service Controls 支持的产品表格中的政策问题排查工具条目。

如果您通过边界限制 Policy Simulator API，则只有模拟中涉及的特定资源位于同一边界内时，主账号才能模拟允许政策。模拟中涉及多个资源：

您要模拟其允许政策的资源。此资源也称为目标资源。在 Google Cloud 控制台中，此资源是您要修改其允许政策的资源。在 gcloud CLI 和 REST API 中，您需要在模拟允许政策时明确指定此资源。
创建和运行模拟的项目、文件夹或组织。 此资源也称为主机资源。在 Google Cloud 控制台和 gcloud CLI 中，系统会根据您选择的项目、文件夹或组织推断此资源。在 REST API 中，您可以使用 x-goog-user-project 标头指定此资源。

此资源可以与目标资源相同，但这不是必需的。
提供模拟的访问日志的资源。在模拟中，始终有一个提供模拟的访问日志的资源。此资源因目标资源类型而异：
- 如果您要模拟项目或组织的允许政策，Policy Simulator 会检索该项目或组织的访问日志。
- 如果您要模拟其他类型的资源的允许政策，Policy Simulator 会检索该资源的父级项目或组织的访问日志。
- 如果您要同时模拟多个资源的允许政策，Policy Simulator 会检索这些资源最近的常见项目或组织的访问日志。
所有具有相关允许政策的受支持资源。Policy Simulator 运行模拟时，会考虑可能影响用户访问权限的所有允许政策，包括针对目标资源的祖先资源和后代资源的允许政策。因此，模拟中也会涉及这些祖先资源和后代资源。

如果目标资源和主机资源不在同一边界内，则请求会失败。

如果目标资源与提供模拟的访问日志的资源不在同一边界内，则请求会失败。

如果目标资源和一些具有相关允许政策的受支持资源不在同一边界内，请求会成功，但结果可能不完整。例如，如果您要模拟边界内项目的政策，则结果将不包含该项目的父级组织的允许政策，因为组织始终位于 VPC Service Controls 边界之外。如需获取更完整的结果，您可以为边界配置入站和出站规则。

如需详细了解 VPC Service Controls 如何与 Policy Simulator 搭配使用，请参阅 VPC Service Controls 支持的产品表格中的 Policy Simulator 条目。