此页面由 Cloud Translation API 翻译。

使用 VPC Service Controls 帮助保护 Policy Intelligence API

借助 VPC Service Controls，您可以为您的 Google Cloud 资源创建边界。perimeters然后，您可以定义安全政策，以防止从边界外访问受支持的服务。如需详细了解 VPC Service Controls，请参阅 VPC Service Controls 概览。

您可以利用 VPC Service Controls 来帮助保护以下 Policy Intelligence API：

帮助保护 Policy Troubleshooter API

您可以使用 VPC Service Controls 帮助排查政策问题。

当您通过边界限制 Policy Troubleshooter API 时，只有在请求涉及的所有资源都在同一边界内时，主账号才能对 IAM 政策进行问题排查。问题排查请求中通常涉及两种资源：

您要排查其访问权限问题的资源。此资源可以是任何类型。在排查 IAM 政策问题时，您可以明确指定此资源。
您用于排查访问权限问题的资源。此资源必须是项目、文件夹或组织。在 Google Cloud 控制台和 gcloud CLI 中，此资源是根据您选择的项目、文件夹或组织推断出来的。在 REST API 中，您可以使用 x-goog-user-project 标头指定此资源。

此资源可以与您要排查的访问权限问题的资源相同，但并非非必需。

如果这些资源不在同一边界内，则请求会失败。

如需详细了解 VPC Service Controls 如何与 Policy Troubleshooter 配合使用，请参阅 VPC Service Controls 支持的产品表中的 Policy Troubleshooter 条目。

当您通过边界限制 Policy Simulator API 时，只有在模拟中涉及的某些资源位于同一边界内时，主账号才能模拟允许政策。模拟涉及多个资源：

您要模拟其允许政策的资源。该资源也称为目标资源。在 Google Cloud 控制台中，这是您正在修改其允许政策的资源。在 gcloud CLI 和 REST API 中，您可以在模拟允许政策时明确指定此资源。
创建和运行模拟的项目、文件夹或组织。 该资源也称为“主机资源”。在 Google Cloud 控制台和 gcloud CLI 中，系统会根据您选择的项目、文件夹或组织推断此资源。在 REST API 中，您可以使用 x-goog-user-project 标头指定此资源。

此资源可以与目标资源相同，但并非必须相同。
为模拟提供访问日志的资源。在模拟中，始终有一个资源提供模拟的访问日志。此资源因目标资源类型而异：
- 如果要模拟项目或组织的允许政策，Policy Simulator 会检索该项目或组织的访问日志。
- 如果您要模拟其他类型的资源的允许政策，Policy Simulator 会检索该资源的父级项目或组织的访问日志。
- 如果要同时模拟多个资源的允许政策，Policy Simulator 会检索与资源距离最近的公共项目或组织的访问日志。
具有相关允许政策的所有受支持资源。政策模拟器运行模拟时会考虑可能影响用户访问权限的所有允许政策，包括针对目标资源的祖先和后代资源的允许政策。因此，模拟中也会涉及这些祖先资源和后代资源。

如果目标资源和主机资源不在同一边界内，请求会失败。

如果目标资源与为模拟提供访问日志的资源不在同一边界内，则请求会失败。

如果目标资源和具有相关允许政策的某些受支持资源不在同一边界内，则请求会成功，但结果可能会不完整。例如，如果您要为边界内的项目模拟政策，结果将不包含项目父级组织的允许政策，因为组织始终在 VPC Service Controls 边界之外。如需获得更完整的结果，您可以为边界配置入站和出站规则。

如需详细了解 VPC Service Controls 如何与 Policy Simulator 搭配使用，请参阅 VPC Service Controls 支持的产品表中的 Policy Simulator 条目。