|
Status
|
AV
|
Mit Perimeter schützen?
|
Ja. Sie können Ihre Perimeter so konfigurieren, dass sie diesen Dienst schützen.
|
Dienstname
|
cloudsearch.googleapis.com
|
Details
|
Google Cloud Search unterstützt Virtual Private Cloud Security Controls (VPC-SC), um die Sicherheit Ihrer Daten zu erhöhen. Mit VPC-SC können Sie einen Sicherheitsbereich für Google Cloud Platform-Ressourcen festlegen, um Daten einzuschränken und die Risiken einer Daten-Exfiltration zu minimieren.
Weitere Informationen zu Google Cloud Search finden Sie in der Produktdokumentation.
|
Beschränkungen
|
Da Cloud Search-Ressourcen nicht in einem Google Cloud-Projekt gespeichert werden, müssen Sie die Cloud Search-Kundeneinstellungen mit dem VPC-Perimeter-geschützten Projekt aktualisieren. Das VPC-Projekt fungiert als virtueller Projektcontainer für alle Ihre Cloud Search-Ressourcen.
Ohne diese Zuordnung funktioniert VPC Service Controls nicht für die Cloud Search API.
Vollständige Schritte zum Aktivieren von VPC Service Controls für Google Cloud Search finden Sie unter Sicherheit für Google Cloud Search verbessern.
|
|
|
Status
|
GA: Diese Produktintegration wird von VPC Service Controls vollständig unterstützt.
|
Mit Perimeter schützen?
|
Ja. Sie können Ihre Perimeter so konfigurieren, dass sie diesen Dienst schützen.
|
Dienstname
|
networkmanagement.googleapis.com
|
Details
|
Die API für Konnektivitätstests kann durch VPC Service Controls geschützt werden und das Produkt kann innerhalb von Dienstperimetern normal verwendet werden.
Weitere Informationen zu Konnektivitätstests finden Sie in der Produktdokumentation.
|
Beschränkungen
|
Für die Integration von Konnektivitätstests in VPC Service Controls gelten keine bekannten Einschränkungen.
|
|
|
Status
|
GA: Diese Produktintegration wird von VPC Service Controls vollständig unterstützt.
|
Mit Perimeter schützen?
|
Ja. Sie können Ihre Perimeter so konfigurieren, dass sie diesen Dienst schützen.
|
Dienstname
|
ml.googleapis.com
|
Details
|
VPC Service Controls unterstützt Onlinevorhersagen, aber keine Batchvorhersagen.
Weitere Informationen zu AI Platform Prediction finden Sie in der Produktdokumentation.
|
Beschränkungen
|
Zum vollständigen Schutz von AI Platform Prediction fügen Sie dem Dienstperimeter alle folgenden APIs hinzu:
- AI Platform Training und Prediction API (
ml.googleapis.com )
- Pub/Sub API (
pubsub.googleapis.com )
- Cloud Storage API (
storage.googleapis.com )
- Google Kubernetes Engine API (
container.googleapis.com )
- Container Registry API (
containerregistry.googleapis.com )
- Cloud Logging API (
logging.googleapis.com )
Weitere Informationen finden Sie unter VPC Service Controls für AI Platform Prediction einrichten.
Batchvorhersagen werden nicht unterstützt, wenn Sie AI Platform Prediction innerhalb eines Dienstperimeters verwenden.
AI Platform Prediction und AI Platform Training verwenden beide die AI Platform Training and Prediction API. Daher müssen Sie VPC Service Controls für beide Produkte konfigurieren. Weitere Informationen finden Sie unter VPC Service Controls für AI Platform Training einrichten.
|
|
|
Status
|
GA: Diese Produktintegration wird von VPC Service Controls vollständig unterstützt.
|
Mit Perimeter schützen?
|
Ja. Sie können Ihre Perimeter so konfigurieren, dass sie diesen Dienst schützen.
|
Dienstname
|
ml.googleapis.com
|
Details
|
Die API für AI Platform Training kann durch VPC Service Controls geschützt werden und das Produkt kann innerhalb von Dienstperimetern normal verwendet werden.
Weitere Informationen zu AI Platform Training finden Sie in der Produktdokumentation.
|
Beschränkungen
|
Zum vollständigen Schutz Ihrer Trainingsjobs von AI Platform Training fügen Sie dem Dienstperimeter alle folgenden APIs hinzu:
- AI Platform Training und Prediction API (
ml.googleapis.com )
- Pub/Sub API (
pubsub.googleapis.com )
- Cloud Storage API (
storage.googleapis.com )
- Google Kubernetes Engine API (
container.googleapis.com )
- Container Registry API (
containerregistry.googleapis.com )
- Cloud Logging API (
logging.googleapis.com )
Weitere Informationen finden Sie unter VPC Service Controls für AI Platform Training einrichten.
Das Training mit TPUs wird nicht unterstützt, wenn Sie AI Platform Training innerhalb eines Dienstperimeters verwenden.
AI Platform Training und AI Platform Prediction verwenden beide die AI Platform Training and Prediction API. Daher müssen Sie VPC Service Controls für beide Produkte konfigurieren. Weitere Informationen finden Sie unter VPC Service Controls für AI Platform Prediction einrichten.
|
|
|
Status
|
GA: Diese Produktintegration wird von VPC Service Controls vollständig unterstützt.
|
Mit Perimeter schützen?
|
Ja. Sie können Ihre Perimeter so konfigurieren, dass sie diesen Dienst schützen.
|
Dienstname
|
alloydb.googleapis.com
|
Details
|
VPC Service Controls-Perimeter schützen die AlloyDB API.
Weitere Informationen zu AlloyDB für PostgreSQL finden Sie in der Produktdokumentation.
|
Beschränkungen
|
- Bevor Sie VPC Service Controls für AlloyDB für PostgreSQL konfigurieren, aktivieren Sie die Service Networking API.
- Wenn Sie AlloyDB für PostgreSQL mit freigegebener VPC und VPC Service Controls verwenden, müssen sich Hostprojekt und Dienstprojekt im selben VPC Service Controls-Dienstperimeter befinden.
|
|
|
Status
|
GA: Diese Produktintegration wird von VPC Service Controls vollständig unterstützt.
|
Mit Perimeter schützen?
|
Ja. Sie können Ihre Perimeter so konfigurieren, dass sie diesen Dienst schützen.
|
Dienstname
|
notebooks.googleapis.com
|
Details
|
Die API für Vertex AI Workbench kann durch VPC Service Controls geschützt werden und das Produkt kann innerhalb von Dienstperimetern normal verwendet werden.
Weitere Informationen zu Vertex AI Workbench finden Sie in der Produktdokumentation.
|
Beschränkungen
|
Wenn Sie Vertex AI Workbench in einem VPC Service Controls-Dienstperimeter verwenden möchten, müssen Sie mehrere DNS-Einträge hinzufügen oder konfigurieren, um mit den folgenden Domains auf die eingeschränkte VIP zu verweisen:
*.accounts.google.com
*.accounts.youtube.com
*.googleusercontent.com
*.kernels.googleusercontent.com
*.gstatic.com
*.notebooks.cloud.google.com
Wenn Sie eine Richtlinie für eingehenden oder ausgehenden Traffic für einen Dienstperimeter angeben, können Sie ANY_SERVICE_ACCOUNT und ANY_USER_ACCOUNT nicht als Identitätstyp für alle Vertex AI Workbench-Vorgänge verwenden.
Verwenden Sie als Problemumgehung ANY_IDENTITY als Identitätstyp.
|
|
|
Status
|
GA: Diese Produktintegration wird von VPC Service Controls vollständig unterstützt.
|
Mit Perimeter schützen?
|
Ja. Sie können Ihre Perimeter so konfigurieren, dass sie diesen Dienst schützen.
|
Dienstname
|
aiplatform.googleapis.com
|
Details
|
Die API für Vertex AI kann durch VPC Service Controls geschützt werden und das Produkt kann innerhalb von Dienstperimetern normal verwendet werden.
Weitere Informationen zu Vertex AI finden Sie in der Produktdokumentation.
|
Beschränkungen
|
Weitere Informationen zu Einschränkungen finden Sie in der Vertex AI-Dokumentation unter Einschränkungen.
|
|
|
Status
|
Vorschau. Die Einbindung dieses Produkts in VPC Service Controls befindet sich in der Vorschau und ist zum Testen und Verwenden bereit. In Produktionsumgebungen wird es jedoch nicht vollständig unterstützt.
|
Mit Perimeter schützen?
|
Ja. Sie können Ihre Perimeter so konfigurieren, dass sie diesen Dienst schützen.
|
Dienstname
|
visionai.googleapis.com
|
Details
|
Die API für Vertex AI Vision kann durch VPC Service Controls geschützt werden und das Produkt kann innerhalb von Dienstperimetern normal verwendet werden.
Weitere Informationen zu Vertex AI Vision finden Sie in der Produktdokumentation.
|
Beschränkungen
|
Wenn constraints/visionai.disablePublicEndpoint aktiviert ist, wird der öffentliche Endpunkt des Clusters deaktiviert. Nutzer müssen manuell eine Verbindung zum PSC-Ziel herstellen und über das private Netzwerk auf den Dienst zugreifen. Sie können das PSC-Ziel aus der Ressource cluster abrufen.
|
|
|
Status
|
GA: Diese Produktintegration wird von VPC Service Controls vollständig unterstützt.
|
Mit Perimeter schützen?
|
Ja. Sie können Ihre Perimeter so konfigurieren, dass sie diesen Dienst schützen.
|
Dienstname
|
apigee.googleapis.com, apigeeconnect.googleapis.com
|
Details
|
Die API für Apigee und Apigee Hybrid kann durch VPC Service Controls geschützt werden und das Produkt kann innerhalb von Dienstperimetern normal verwendet werden.
Weitere Informationen zu Apigee und Apigee Hybrid finden Sie in der Produktdokumentation.
|
Beschränkungen
|
Die Einbindung von Apigee in VPC Service Controls unterliegt folgenden Einschränkungen:
- Integrierte Portale erfordern zusätzliche Schritte für die Konfiguration.
- Sie müssen Drupal-Portale innerhalb des Dienstperimeters bereitstellen.
|
|
|
Status
|
GA: Diese Produktintegration wird von VPC Service Controls vollständig unterstützt.
|
Mit Perimeter schützen?
|
Ja. Sie können Ihre Perimeter so konfigurieren, dass sie diesen Dienst schützen.
|
Dienstname
|
analyticshub.googleapis.com
|
Details
|
VPC Service Controls schützt Datenaustausche und Einträge. Verwenden Sie für den Schutz von freigegeben und verknüpften Datasets über einen Dienstperimeter die BigQuery API. Weitere Informationen finden Sie unter VPC Service Controls-Regeln für Analytics Hub.
Weitere Informationen zu Analytics Hub finden Sie in der Produktdokumentation.
|
Beschränkungen
|
Für das Einbinden von Analytics Hub in VPC Service Controls gibt es keine bekannten Einschränkungen.
|
|
|
Status
|
GA: Diese Produktintegration wird von VPC Service Controls vollständig unterstützt.
|
Mit Perimeter schützen?
|
Ja. Sie können Ihre Perimeter so konfigurieren, dass sie diesen Dienst schützen.
|
Dienstname
|
meshca.googleapis.com, meshconfig.googleapis.com
|
Details
|
Die API für Anthos Service Mesh kann durch VPC Service Controls geschützt werden und das Produkt kann innerhalb von Dienstperimetern normal verwendet werden.
Sie können mesh.googleapis.com verwenden, um die erforderlichen APIs für Anthos Service Mesh zu aktivieren.
Sie müssen mesh.googleapis.com nicht in Ihrem Perimeter einschränken, da er keine APIs bereitstellt.
Weitere Informationen zu Anthos Service Mesh finden Sie in der Produktdokumentation.
|
Beschränkungen
|
Dienstperimeter werden derzeit nicht von der verwalteten Steuerungsebene von Anthos Service Mesh unterstützt.
|
|
|
Status
|
GA: Diese Produktintegration wird von VPC Service Controls vollständig unterstützt.
|
Mit Perimeter schützen?
|
Ja. Sie können Ihre Perimeter so konfigurieren, dass sie diesen Dienst schützen.
|
Dienstname
|
artifactregistry.googleapis.com
|
Details
|
Zusätzlich zum Schutz der Artifact Registry API kann Artifact Registry auch innerhalb von Dienstperimetern mit GKE und Compute Engine verwendet werden.
Weitere Informationen zu Artifact Registry finden Sie in der Produktdokumentation.
|
Beschränkungen
|
- Da Artifact Registry die Domain
pkg.dev verwendet, müssen Sie das DNS konfigurieren, damit *.pkg.dev entweder private.googleapis.com oder restricted.googleapis.com zugeordnet wird.
Weitere Informationen finden Sie unter Repositories in einem Dienstperimeter sichern.
Neben den Artefakten innerhalb eines Perimeters, die für Artifact Registry verfügbar sind, stehen die folgenden von Google verwalteten, schreibgeschützten Container Registry-Repositories unabhängig von den Dienstperimetern für alle Projekte zur Verfügung:
gcr.io/anthos-baremetal-release
gcr.io/asci-toolchain
gcr.io/cloud-airflow-releaser
gcr.io/cloud-builders
gcr.io/cloud-dataflow
gcr.io/cloud-marketplace
gcr.io/cloud-ssa
gcr.io/cloudsql-docker
gcr.io/config-management-release
gcr.io/deeplearning-platform-release
gcr.io/foundry-dev
gcr.io/fn-img
gcr.io/gae-runtimes
gcr.io/gke-node-images
gcr.io/gke-release
gcr.io/gkeconnect
gcr.io/google-containers
gcr.io/kubeflow
gcr.io/kubeflow-images-public
gcr.io/kubernetes-helm
gcr.io/istio-release
gcr.io/ml-pipeline
gcr.io/projectcalico-org
gcr.io/rbe-containers
gcr.io/rbe-windows-test-images
gcr.io/speckle-umbrella
gcr.io/stackdriver-agents
gcr.io/tensorflow
gcr.io/vertex-ai
gcr.io/vertex-ai-restricted
gke.gcr.io
k8s.gcr.io
In allen Fällen können auch die regionalen Versionen dieser Repositories verwendet werden.
Im Cache gespeicherte Images auf mirror.gcr.io sind nur verfügbar, wenn sich Container Registry auch im Perimeter befindet.
|
|
|
Status
|
GA: Diese Produktintegration wird von VPC Service Controls vollständig unterstützt.
|
Mit Perimeter schützen?
|
Ja. Sie können Ihre Perimeter so konfigurieren, dass sie diesen Dienst schützen.
|
Dienstname
|
assuredworkloads.googleapis.com
|
Details
|
Die Assured Workloads API kann durch VPC Service Controls geschützt werden und das Produkt kann innerhalb von Dienstperimetern normal verwendet werden.
Weitere Informationen zu Assured Workloads finden Sie in der Produktdokumentation.
|
Beschränkungen
|
Für die Einbindung von Assured Workloads in VPC Service Controls gelten keine bekannten Einschränkungen.
|
|
|
Status
|
GA: Diese Produktintegration wird von VPC Service Controls vollständig unterstützt.
|
Mit Perimeter schützen?
|
Ja. Sie können Ihre Perimeter so konfigurieren, dass sie diesen Dienst schützen.
|
Dienstname
|
automl.googleapis.com, eu-automl.googleapis.com
|
Details
|
Fügen Sie alle folgenden APIs in Ihren Perimeter ein, um die AutoML API vollständig zu schützen:
- AutoML API (
automl.googleapis.com )
- Cloud Storage API (
storage.googleapis.com )
- Compute Engine API (
compute.googleapis.com )
- BigQuery API (
bigquery.googleapis.com )
Weitere Informationen zu AutoML Natural Language finden Sie in der Produktdokumentation.
|
Beschränkungen
|
- Alle in VPC Service Controls eingebundenen AutoML-Produkte verwenden dieselbe Dienstadresse.
- Sie können die unterstützten regionalen Endpunkte wie
eu-automl.googleapis.com nicht der Liste der eingeschränkten Dienste in einem Perimeter hinzufügen.
Wenn Sie den Dienst automl.googleapis.com schützen, schützt der Perimeter die unterstützten regionalen Endpunkte wie eu-automl.googleapis.com .
Weitere Informationen finden Sie im Abschnitt zu den Einschränkungen für das Verwenden von AutoML-Produkten mit VPC Service Controls.
|
|
|
Status
|
Vorschau. Die Einbindung dieses Produkts in VPC Service Controls befindet sich in der Vorschau und ist zum Testen und Verwenden bereit. In Produktionsumgebungen wird es jedoch nicht vollständig unterstützt.
|
Mit Perimeter schützen?
|
Ja. Sie können Ihre Perimeter so konfigurieren, dass sie diesen Dienst schützen.
|
Dienstname
|
automl.googleapis.com, eu-automl.googleapis.com
|
Details
|
Fügen Sie alle folgenden APIs in Ihren Perimeter ein, um die AutoML API vollständig zu schützen:
- AutoML API (
automl.googleapis.com )
- Cloud Storage API (
storage.googleapis.com )
- Compute Engine API (
compute.googleapis.com )
- BigQuery API (
bigquery.googleapis.com )
Weitere Informationen zu AutoML Tables finden Sie in der Produktdokumentation.
|
Beschränkungen
|
- Alle in VPC Service Controls eingebundenen AutoML-Produkte verwenden dieselbe Dienstadresse.
- Sie können die unterstützten regionalen Endpunkte wie
eu-automl.googleapis.com nicht der Liste der eingeschränkten Dienste in einem Perimeter hinzufügen.
Wenn Sie den Dienst automl.googleapis.com schützen, schützt der Perimeter die unterstützten regionalen Endpunkte wie eu-automl.googleapis.com .
Weitere Informationen finden Sie im Abschnitt zu den Einschränkungen für das Verwenden von AutoML-Produkten mit VPC Service Controls.
|
|
|
Status
|
GA: Diese Produktintegration wird von VPC Service Controls vollständig unterstützt.
|
Mit Perimeter schützen?
|
Ja. Sie können Ihre Perimeter so konfigurieren, dass sie diesen Dienst schützen.
|
Dienstname
|
automl.googleapis.com, eu-automl.googleapis.com
|
Details
|
Fügen Sie alle folgenden APIs in Ihren Perimeter ein, um die AutoML API vollständig zu schützen:
- AutoML API (
automl.googleapis.com )
- Cloud Storage API (
storage.googleapis.com )
- Compute Engine API (
compute.googleapis.com )
- BigQuery API (
bigquery.googleapis.com )
Weitere Informationen zu AutoML Translation finden Sie in der Produktdokumentation.
|
Beschränkungen
|
- Alle in VPC Service Controls eingebundenen AutoML-Produkte verwenden dieselbe Dienstadresse.
- Sie können die unterstützten regionalen Endpunkte wie
eu-automl.googleapis.com nicht der Liste der eingeschränkten Dienste in einem Perimeter hinzufügen.
Wenn Sie den Dienst automl.googleapis.com schützen, schützt der Perimeter die unterstützten regionalen Endpunkte wie eu-automl.googleapis.com .
Weitere Informationen finden Sie im Abschnitt zu den Einschränkungen für das Verwenden von AutoML-Produkten mit VPC Service Controls.
|
|
|
Status
|
Vorschau. Die Einbindung dieses Produkts in VPC Service Controls befindet sich in der Vorschau und ist zum Testen und Verwenden bereit. In Produktionsumgebungen wird es jedoch nicht vollständig unterstützt.
|
Mit Perimeter schützen?
|
Ja. Sie können Ihre Perimeter so konfigurieren, dass sie diesen Dienst schützen.
|
Dienstname
|
automl.googleapis.com, eu-automl.googleapis.com
|
Details
|
Fügen Sie alle folgenden APIs in Ihren Perimeter ein, um die AutoML API vollständig zu schützen:
- AutoML API (
automl.googleapis.com )
- Cloud Storage API (
storage.googleapis.com )
- Compute Engine API (
compute.googleapis.com )
- BigQuery API (
bigquery.googleapis.com )
Weitere Informationen zu AutoML Video Intelligence finden Sie in der Produktdokumentation.
|
Beschränkungen
|
- Alle in VPC Service Controls eingebundenen AutoML-Produkte verwenden dieselbe Dienstadresse.
- Sie können die unterstützten regionalen Endpunkte wie
eu-automl.googleapis.com nicht der Liste der eingeschränkten Dienste in einem Perimeter hinzufügen.
Wenn Sie den Dienst automl.googleapis.com schützen, schützt der Perimeter die unterstützten regionalen Endpunkte wie eu-automl.googleapis.com .
Weitere Informationen finden Sie im Abschnitt zu den Einschränkungen für das Verwenden von AutoML-Produkten mit VPC Service Controls.
|
|
|
Status
|
GA: Diese Produktintegration wird von VPC Service Controls vollständig unterstützt.
|
Mit Perimeter schützen?
|
Ja. Sie können Ihre Perimeter so konfigurieren, dass sie diesen Dienst schützen.
|
Dienstname
|
automl.googleapis.com, eu-automl.googleapis.com
|
Details
|
Fügen Sie alle folgenden APIs in Ihren Perimeter ein, um die AutoML API vollständig zu schützen:
- AutoML API (
automl.googleapis.com )
- Cloud Storage API (
storage.googleapis.com )
- Compute Engine API (
compute.googleapis.com )
- BigQuery API (
bigquery.googleapis.com )
Weitere Informationen zu AutoML Vision finden Sie in der Produktdokumentation.
|
Beschränkungen
|
- Alle in VPC Service Controls eingebundenen AutoML-Produkte verwenden dieselbe Dienstadresse.
- Sie können die unterstützten regionalen Endpunkte wie
eu-automl.googleapis.com nicht der Liste der eingeschränkten Dienste in einem Perimeter hinzufügen.
Wenn Sie den Dienst automl.googleapis.com schützen, schützt der Perimeter die unterstützten regionalen Endpunkte wie eu-automl.googleapis.com .
Weitere Informationen finden Sie im Abschnitt zu den Einschränkungen für das Verwenden von AutoML-Produkten mit VPC Service Controls.
|
|
|
Status
|
GA: Diese Produktintegration wird von VPC Service Controls vollständig unterstützt.
|
Mit Perimeter schützen?
|
Nein. Die API für die Bare-Metal-Lösung kann nicht durch Dienstperimeter geschützt werden.
Die Bare-Metal-Lösung kann jedoch in Projekten innerhalb eines Perimeters normal verwendet werden.
|
Details
|
Die Bare Metal Solution API kann einem sicheren Perimeter hinzugefügt werden. Die VPC Service Controls-Perimeter erstrecken sich jedoch nicht auf die Bare-Metal-Lösungsumgebung in den regionalen Erweiterungen.
Weitere Informationen zur Bare-Metal-Lösung finden Sie in der Produktdokumentation.
|
Beschränkungen
|
Die Bare-Metal-Lösung unterstützt VPC Service Controls nicht. Durch das Verbinden einer VPC mit aktivierten Dienstkontrollen mit Ihrer Bare-Metal-Lösungsumgebung gelten keine Garantien für Dienstkontrollen.
Weitere Informationen zur Einschränkung von Bare-Metal-Lösungen in Bezug auf VPC Service Controls finden Sie unter Bekannte Probleme und Beschränkungen.
|
|
|
Status
|
Vorschau. Die Einbindung dieses Produkts in VPC Service Controls befindet sich in der Vorschau und ist zum Testen und Verwenden bereit. In Produktionsumgebungen wird es jedoch nicht vollständig unterstützt.
|
Mit Perimeter schützen?
|
Ja. Sie können Ihre Perimeter so konfigurieren, dass sie diesen Dienst schützen.
|
Dienstname
|
batch.googleapis.com
|
Details
|
Die API für Batch kann durch VPC Service Controls geschützt werden und das Produkt kann innerhalb von Dienstperimetern normal verwendet werden.
Weitere Informationen zu Batch finden Sie in der Produktdokumentation.
|
Beschränkungen
|
Für den vollständigen Schutz von Batch müssen Sie die folgenden APIs in Ihren Perimeter aufnehmen:
- Batch API (
batch.googleapis.com )
- Cloud Logging API (
logging.googleapis.com )
- Cloud Storage API (
storage.googleapis.com )
- Container Registry API (
containerregistry.googleapis.com )
- Artifact Registry API (
artifactregistry.googleapis.com )
- Filestore API (
file.googleapis.com )
|
|
|
Status
|
GA: Diese Produktintegration wird von VPC Service Controls vollständig unterstützt.
|
Mit Perimeter schützen?
|
Ja. Sie können Ihre Perimeter so konfigurieren, dass sie diesen Dienst schützen.
|
Dienstname
|
bigquery.googleapis.com
|
Details
|
Wenn Sie die BigQuery API mit einem Dienstperimeter schützen, ist auch die BigQuery Storage API geschützt. Sie müssen die BigQuery Storage API nicht separat der Liste der geschützten Dienste Ihres Perimeters hinzufügen.
Weitere Informationen zu BigQuery finden Sie in der Produktdokumentation.
|
Beschränkungen
|
BigQuery-Audit-Logeinträge enthalten nicht immer alle Ressourcen, die zum Erstellen einer Anfrage verwendet wurden, da der Dienst den Zugriff auf mehrere Ressourcen intern verarbeitet.
Beim Zugriff auf eine BigQuery-Instanz, die durch einen Dienstperimeter geschützt ist, muss der BigQuery-Job in einem Projekt innerhalb des Perimeters ausgeführt werden oder in einem Projekt, das durch eine Regel für ausgehenden Traffic des Perimeters erlaubt ist. Standardmäßig führen die BigQuery-Clientbibliotheken Jobs innerhalb des Dienstkontos oder des Projekts des Nutzers aus, wodurch die Abfrage von VPC Service Controls abgelehnt wird.
Die BigQuery Connection API wird nicht unterstützt.
BigQuery blockiert das Speichern von Abfrageergebnissen in Google Drive aus dem geschützten VPC Service Controls-Perimeter.
|
|
|
Status
|
GA: Diese Produktintegration wird von VPC Service Controls vollständig unterstützt.
|
Mit Perimeter schützen?
|
Ja. Sie können Ihre Perimeter so konfigurieren, dass sie diesen Dienst schützen.
|
Dienstname
|
bigquerydatapolicy.googleapis.com
|
Details
|
Die BigQuery Data Policy API kann durch VPC Service Controls geschützt werden und das Produkt kann innerhalb von Dienstperimetern normal verwendet werden.
Weitere Informationen zur BigQuery Data Policy API finden Sie in der Produktdokumentation.
|
Beschränkungen
|
Für die Einbindung der BigQuery Data Policy API in VPC Service Controls gibt es keine bekannten Einschränkungen.
|
|
|
Status
|
GA: Diese Produktintegration wird von VPC Service Controls vollständig unterstützt.
|
Mit Perimeter schützen?
|
Ja. Sie können Ihre Perimeter so konfigurieren, dass sie diesen Dienst schützen.
|
Dienstname
|
bigquerydatatransfer.googleapis.com
|
Details
|
Der Dienstperimeter schützt nur die BigQuery Data Transfer Service API. Der tatsächliche Datenschutz wird von BigQuery erzwungen. Es ist Absicht, dass Sie Daten aus verschiedenen externen Quellen außerhalb von Google Cloud, z. B. Amazon S3, Redshift, Teradata, YouTube, Google Play und Google Ads, in BigQuery-Datasets importieren können. Informationen zu den Anforderungen an VPC Service Controls zum Migrieren von Daten aus Teradata finden Sie unter Anforderungen an VPC Service Controls.
Weitere Informationen zum BigQuery Data Transfer Service finden Sie in der Produktdokumentation.
|
Beschränkungen
|
- Der BigQuery Data Transfer Service unterstützt nicht den Export von Daten aus einem BigQuery-Dataset. Weitere Informationen hierzu finden Sie unter Tabellendaten exportieren.
- Zum Übertragen von Daten zwischen Projekten muss sich das Zielprojekt entweder im selben Perimeter wie das Quellprojekt befinden oder eine Regel für ausgehenden Traffic muss die Übertragung von Daten aus dem Perimeter zulassen.
- Der BigQuery Data Transfer Service unterstützt Drittanbieter-Datenquellen nicht zum Transfer von durch Dienstperimeter geschützten Daten.
|
|
|
Status
|
GA: Diese Produktintegration wird von VPC Service Controls vollständig unterstützt.
|
Mit Perimeter schützen?
|
Ja. Sie können Ihre Perimeter so konfigurieren, dass sie diesen Dienst schützen.
|
Dienstname
|
bigquerymigration.googleapis.com
|
Details
|
Die BigQuery Migration API kann durch VPC Service Controls geschützt werden und das Produkt kann innerhalb von Dienstperimetern normal verwendet werden.
Weitere Informationen zur BigQuery Migration API finden Sie in der Produktdokumentation.
|
Beschränkungen
|
Für die Einbindung der BigQuery Migration API in VPC Service Controls gelten keine bekannten Einschränkungen.
|
|
|
Status
|
Vorschau. Die Einbindung dieses Produkts in VPC Service Controls befindet sich in der Vorschau und ist zum Testen und Verwenden bereit. In Produktionsumgebungen wird es jedoch nicht vollständig unterstützt.
|
Mit Perimeter schützen?
|
Ja. Sie können Ihre Perimeter so konfigurieren, dass sie diesen Dienst schützen.
|
Dienstname
|
bigqueryreservation.googleapis.com
|
Details
|
Ein Dienstperimeter schränkt den Zugriff auf BigQuery-Reservierungen, -Zusicherungen und -Zuweisungen innerhalb von Verwaltungsprojekten ein, die im Perimeter angegeben sind.
Weitere Informationen zur BigQuery Reservation API finden Sie in der Produktdokumentation.
|
Beschränkungen
|
Wenn Sie einer Reservierung ein Projekt zuweisen, prüfen Sie, ob eine der folgenden Bedingungen erfüllt ist:
Das zugewiesene Projekt und das Reservierungsverwaltungsprojekt befinden sich im selben Dienstperimeter.
Der Zugriff zwischen dem zugewiesenen Projekt und dem Reservierungsverwaltungsprojekt wird mithilfe von Regeln für eingehenden und ausgehenden Traffic zugelassen.
|
|
|
Status
|
GA: Diese Produktintegration wird von VPC Service Controls vollständig unterstützt.
|
Mit Perimeter schützen?
|
Ja. Sie können Ihre Perimeter so konfigurieren, dass sie diesen Dienst schützen.
|
Dienstname
|
bigtable.googleapis.com, bigtableadmin.googleapis.com
|
Details
|
Die Dienste bigtable.googleapis.com und bigtableadmin.googleapis.com werden gebündelt. Wenn Sie den Dienst bigtable.googleapis.com in einem Perimeter einschränken, beschränkt der Perimeter standardmäßig den Dienst bigtableadmin.googleapis.com . Sie können den Dienst bigtableadmin.googleapis.com nicht zur Liste der eingeschränkten Dienste in einem Perimeter hinzufügen, da er mit bigtable.googleapis.com gebündelt ist.
Weitere Informationen zu Cloud Bigtable finden Sie in der Produktdokumentation.
|
Beschränkungen
|
Für das Einbinden von Cloud Bigtable in VPC Service Controls gelten keine bekannten Einschränkungen.
|
|
|
Status
|
GA: Diese Produktintegration wird von VPC Service Controls vollständig unterstützt.
|
Mit Perimeter schützen?
|
Ja. Sie können Ihre Perimeter so konfigurieren, dass sie diesen Dienst schützen.
|
Dienstname
|
binaryauthorization.googleapis.com
|
Details
|
Wenn Sie mehrere Projekte mit Binärautorisierung verwenden, muss jedes Projekt im VPC Service Controls-Perimeter enthalten sein. Weitere Informationen zu diesem Anwendungsfall finden Sie unter Mehrere Projekte einrichten.
Mit der Binärautorisierung können Sie Container Analysis verwenden, um Attestierer und Attestierungen jeweils als Hinweise und Vorkommen zu speichern. In diesem Fall muss Container Analysis auch im VPC Service Controls-Perimeter enthalten sein.
Weitere Informationen finden Sie im VPC Service Controls-Leitfaden für Container Analysis.
Weitere Informationen zur Binärautorisierung finden Sie in der Produktdokumentation.
|
Beschränkungen
|
Für das Einbinden der Binärautorisierung in VPC Service Controls gelten keine bekannten Einschränkungen.
|
|
|
Status
|
GA: Diese Produktintegration wird von VPC Service Controls vollständig unterstützt.
|
Mit Perimeter schützen?
|
Ja. Sie können Ihre Perimeter so konfigurieren, dass sie diesen Dienst schützen.
|
Dienstname
|
privateca.googleapis.com
|
Details
|
Die API für den Certificate Authority Service kann durch VPC Service Controls geschützt werden und das Produkt kann innerhalb von Dienstperimetern normal verwendet werden.
Weitere Informationen zum Certificate Authority Service finden Sie in der Produktdokumentation.
|
Beschränkungen
|
|
|
|
Status
|
GA: Diese Produktintegration wird von VPC Service Controls vollständig unterstützt.
|
Mit Perimeter schützen?
|
Ja. Sie können Ihre Perimeter so konfigurieren, dass sie diesen Dienst schützen.
|
Dienstname
|
krmapihosting.googleapis.com
|
Details
|
Damit Sie Config Controller mit VPC Service Controls verwenden können, müssen Sie die folgenden APIs in Ihrem Perimeter aktivieren:
- Cloud Monitoring API (
monitoring.googleapis.com )
- Container Registry API (
containerregistry.googleapis.com )
- Operations-Suite von Google Cloud API (
logging.googleapis.com )
- Security Token Service API (
sts.googleapis.com )
- Cloud Storage API (
storage.googleapis.com )
Wenn Sie Ressourcen mit Config Controller bereitstellen, müssen Sie die API für diese Ressourcen in Ihrem Dienstperimeter aktivieren. Wenn Sie beispielsweise ein IAM-Dienstkonto hinzufügen möchten, müssen Sie die IAM API (iam.googleapis.com ) hinzufügen.
Weitere Informationen zu Config Controller finden Sie in der Produktdokumentation.
|
Beschränkungen
|
Für die Einbindung von Config Controller in VPC Service Controls gibt es keine bekannten Einschränkungen.
|
|
|
Status
|
GA: Diese Produktintegration wird von VPC Service Controls vollständig unterstützt.
|
Mit Perimeter schützen?
|
Ja. Sie können Ihre Perimeter so konfigurieren, dass sie diesen Dienst schützen.
|
Dienstname
|
datacatalog.googleapis.com
|
Details
|
Data Catalog berücksichtigt automatisch Perimeter bei anderen Google Cloud-Diensten.
Weitere Informationen zu Data Catalog finden Sie in der Produktdokumentation.
|
Beschränkungen
|
Für das Einbinden von Data Catalog in VPC Service Controls gelten keine bekannten Einschränkungen.
|
|
|
Status
|
GA: Diese Produktintegration wird von VPC Service Controls vollständig unterstützt.
|
Mit Perimeter schützen?
|
Ja. Sie können Ihre Perimeter so konfigurieren, dass sie diesen Dienst schützen.
|
Dienstname
|
datafusion.googleapis.com
|
Details
|
Cloud Data Fusion erfordert spezielle Schritte für den Schutz mit VPC Service Controls.
Weitere Informationen zu Cloud Data Fusion finden Sie in der Produktdokumentation.
|
Beschränkungen
|
Richten Sie den VPC Service Controls-Sicherheitsperimeter ein, bevor Sie Ihre private Cloud Data Fusion-Instanz erstellen. Der Perimeterschutz für Instanzen, die vor dem Einrichten von VPC Service Controls erstellt wurden, wird nicht unterstützt.
Derzeit unterstützt die Cloud Data Fusion-Datenebenen-UI nicht die identitätsbasierte Zugriffssteuerung mithilfe von Regeln für eingehenden Traffic oder Zugriffsebenen.
|
|
|
Status
|
Vorschau. Die Einbindung dieses Produkts in VPC Service Controls befindet sich in der Vorschau und ist zum Testen und Verwenden bereit. In Produktionsumgebungen wird es jedoch nicht vollständig unterstützt.
|
Mit Perimeter schützen?
|
Ja. Sie können Ihre Perimeter so konfigurieren, dass sie diesen Dienst schützen.
|
Dienstname
|
datalineage.googleapis.com
|
Details
|
Die API für die Data Lineage API kann durch VPC Service Controls geschützt werden und das Produkt kann innerhalb von Dienstperimetern normal verwendet werden.
Weitere Informationen zur Data Lineage API finden Sie in der Produktdokumentation.
|
Beschränkungen
|
Für das Einbinden der Data Lineage API in VPC Service Controls gelten keine bekannten Einschränkungen.
|
|
|
Status
|
GA: Diese Produktintegration wird von VPC Service Controls vollständig unterstützt.
|
Mit Perimeter schützen?
|
Ja. Sie können Ihre Perimeter so konfigurieren, dass sie diesen Dienst schützen.
|
Dienstname
|
compute.googleapis.com
|
Details
|
Die Unterstützung von VPC Service Controls für Compute Engine bietet die folgenden Sicherheitsvorteile:
- Zugriff auf vertrauliche API-Vorgänge wird eingeschränkt
- Snapshots von nichtflüchtigen Speichern und benutzerdefinierten Images sind auf einen Perimeter beschränkt
- Zugriff auf Instanzmetadaten wird eingeschränkt
Durch die Unterstützung von VPC Service Controls für Compute Engine können Sie auch Virtual Private Cloud-Netzwerke und private Cluster von Google Kubernetes Engine innerhalb von Dienstperimetern verwenden.
Weitere Informationen zu Compute Engine finden Sie in der Produktdokumentation.
|
Beschränkungen
|
Hierarchische Firewalls sind von Dienstperimetern nicht betroffen.
Von VPC-Peering-Prozessen werden keine Einschränkungen für VPC-Dienstperimeter erzwungen.
Von der API-Methode projects.ListXpnHosts für freigegebene VPC werden keine Dienstperimetereinschränkungen für zurückgegebene Projekte erzwungen.
Wenn Sie die Erstellung eines Compute Engine-Images aus einer Cloud Storage-Instanz zulassen möchten, die sich in einem durch einen Dienstperimeter geschützten Projekt befindet, sollten Sie den Nutzer, der das Image erstellt, vorübergehend einer Regel für eingehenden Traffic für den Perimeter hinzufügen.
VPC Service Controls unterstützt nicht das Verwenden der Open Source-Version von Kubernetes auf Compute Engine-VMs innerhalb eines Dienstperimeters.
Die interaktive serielle Konsole unterstützt die eingeschränkte VIP nicht. Wenn Sie Probleme mit der Instanz mithilfe der seriellen Konsole beheben müssen, konfigurieren Sie die lokale DNS-Auflösung so, dass Ihre Befehle über das Internet an ssh-serialport.googleapis.com gesendet werden.
|
|
|
Status
|
GA: Diese Produktintegration wird von VPC Service Controls vollständig unterstützt.
|
Mit Perimeter schützen?
|
Ja. Sie können Ihre Perimeter so konfigurieren, dass sie diesen Dienst schützen.
|
Dienstname
|
contactcenterinsights.googleapis.com
|
Details
|
Für die Verwendung von Contact Center AI Insights mit VPC Service Controls benötigen Sie je nach Integration die folgenden zusätzlichen APIs in Ihrem Perimeter.
Fügen Sie die Cloud Storage API zu Ihrem Dienstperimeter hinzu, um Daten in Contact Center AI Insights zu laden.
Um den Export zu verwenden, fügen Sie Ihrem Dienstperimeter die BigQuery API hinzu.
Wenn Sie mehrere CCAI-Produkte integrieren möchten, fügen Sie Ihrem Dienstperimeter die Vertex AI API hinzu.
Weitere Informationen zu Contact Center AI Insights finden Sie in der Produktdokumentation.
|
Beschränkungen
|
Für die Einbindung von Contact Center AI Insights in VPC Service Controls gelten keine bekannten Einschränkungen.
|
|
|
Status
|
GA: Diese Produktintegration wird von VPC Service Controls vollständig unterstützt.
|
Mit Perimeter schützen?
|
Ja. Sie können Ihre Perimeter so konfigurieren, dass sie diesen Dienst schützen.
|
Dienstname
|
dataflow.googleapis.com
|
Details
|
Dataflow unterstützt eine Reihe von Speicherdienst-Connectors. Die folgenden Connectors wurden auf ihre Funktionsfähigkeit bei Verwendung mit Dataflow innerhalb eines Dienstperimeters geprüft:
Weitere Informationen zu Dataflow finden Sie in der Produktdokumentation.
|
Beschränkungen
|
Benutzerdefiniertes BIND wird bei Verwendung von Dataflow nicht unterstützt. Wenn Sie die DNS-Auflösung bei Verwendung von Dataflow mit VPC Service Controls anpassen möchten, nutzen Sie private Zonen von Cloud DNS anstelle benutzerdefinierter BIND-Server. Zur Verwendung einer eigenen lokalen DNS-Auflösung können Sie eine lokale DNS-Weiterleitungsmethode von Google Cloud verwenden.
VPC Service Controls wird vom vertikalen Autoscaling nicht unterstützt.
Wenn Sie Dataflow Prime aktivieren und einen neuen Job in einem VPC Service Controls-Perimeter starten, verwendet der Job Dataflow Prime ohne vertikales Autoscaling.
Vertikales Autoscaling wird von VPC Service Controls nicht unterstützt.
Nicht alle Speicherdienst-Connectors wurden auf ihre Funktionsfähigkeit bei Verwendung mit Dataflow innerhalb eines Dienstperimeters geprüft. Eine Liste der bestätigten Connectors finden Sie im vorherigen Abschnitt unter „Details“.
Bei Einsatz von Python 3.5 mit Apache Beam SDK 2.20.0-2.22.0 schlagen Dataflow-Jobs beim Start fehl, wenn die Worker nur private IP-Adressen haben, z. B. wenn VPC Service Controls zum Schutz der Ressourcen verwendet wird.
Wenn Dataflow-Worker nur private IP-Adressen haben können, z. B. wenn VPC Service Controls zum Schutz der Ressourcen verwendet wird, verwenden Sie Python 3.5 nicht mit Apache Beam SDK 2.20.0-2.22.0. Diese Kombination führt dazu, dass Jobs beim Start fehlschlagen.
|
|
|
Status
|
GA: Diese Produktintegration wird von VPC Service Controls vollständig unterstützt.
|
Mit Perimeter schützen?
|
Ja. Sie können Ihre Perimeter so konfigurieren, dass sie diesen Dienst schützen.
|
Dienstname
|
dataproc.googleapis.com
|
Details
|
Dataproc erfordert besondere Schritte für den Schutz mit VPC Service Controls.
Weitere Informationen zu Dataproc finden Sie in der Produktdokumentation.
|
Beschränkungen
|
- Wenn Sie einen Dataproc-Cluster mit einem Dienstperimeter schützen möchten, müssen Sie die Schritte zum Einrichten privater Verbindungen ausführen, damit der Cluster innerhalb des Perimeters funktionieren kann.
|
|
|
Status
|
GA: Diese Produktintegration wird von VPC Service Controls vollständig unterstützt.
|
Mit Perimeter schützen?
|
Ja. Sie können Ihre Perimeter so konfigurieren, dass sie diesen Dienst schützen.
|
Dienstname
|
metastore.googleapis.com
|
Details
|
Die API für Dataproc Metastore kann durch VPC Service Controls geschützt werden und das Produkt kann innerhalb von Dienstperimetern normal verwendet werden.
Weitere Informationen zu Dataproc Metastore finden Sie in der Produktdokumentation.
|
Beschränkungen
|
Für das Einbinden von Dataproc Metastore in VPC Service Controls gelten keine bekannten Einschränkungen.
|
|
|
Status
|
GA: Diese Produktintegration wird von VPC Service Controls vollständig unterstützt.
|
Mit Perimeter schützen?
|
Ja. Sie können Ihre Perimeter so konfigurieren, dass sie diesen Dienst schützen.
|
Dienstname
|
datastream.googleapis.com
|
Details
|
Die Datastream API kann durch VPC Service Controls geschützt werden und das Produkt kann innerhalb von Dienstperimetern normal verwendet werden.
Weitere Informationen zu Datastream finden Sie in der Produktdokumentation.
|
Beschränkungen
|
Für die Einbindung von Datastream in VPC Service Controls gelten keine bekannten Einschränkungen.
|
|
|
Status
|
GA: Diese Produktintegration wird von VPC Service Controls vollständig unterstützt.
|
Mit Perimeter schützen?
|
Ja. Sie können Ihre Perimeter so konfigurieren, dass sie diesen Dienst schützen.
|
Dienstname
|
datamigration.googleapis.com
|
Details
|
Die API für Database Migration Service kann durch VPC Service Controls geschützt werden und das Produkt kann innerhalb von Dienstperimetern normal verwendet werden.
Weitere Informationen zu Database Migration Service finden Sie in der Produktdokumentation.
|
Beschränkungen
|
- Dienstperimeter schützen nur die Database Migration Service Admin API. Sie schützen nicht den IP-basierten Datenzugriff auf zugrunde liegende Datenbanken (z. B. Cloud SQL-Instanzen). Verwenden Sie eine Einschränkung der Organisationsrichtlinie, um den Zugriff auf Cloud SQL-Instanzen über öffentliche IP-Adressen einzuschränken.
- Wenn Sie eine Cloud Storage-Datei in der ersten Dump-Phase der Migration verwenden, fügen Sie den Cloud Storage-Bucket dem gleichen Dienstperimeter hinzu.
- Wenn Sie einen vom Kunden verwalteten Verschlüsselungsschlüssel (CMEK) in der Zieldatenbank verwenden, muss sich der CMEK im selben Dienstperimeter befinden wie das Verbindungsprofil, das den Schlüssel enthält.
|
|
|
Status
|
GA: Diese Produktintegration wird von VPC Service Controls vollständig unterstützt.
|
Mit Perimeter schützen?
|
Ja. Sie können Ihre Perimeter so konfigurieren, dass sie diesen Dienst schützen.
|
Dienstname
|
dialogflow.googleapis.com
|
Details
|
Die API für Dialogflow kann durch VPC Service Controls geschützt werden und das Produkt kann innerhalb von Dienstperimetern normal verwendet werden.
Weitere Informationen zu Dialogflow finden Sie in der Produktdokumentation.
|
Beschränkungen
|
|
|
|
Status
|
GA: Diese Produktintegration wird von VPC Service Controls vollständig unterstützt.
|
Mit Perimeter schützen?
|
Ja. Sie können Ihre Perimeter so konfigurieren, dass sie diesen Dienst schützen.
|
Dienstname
|
dlp.googleapis.com
|
Details
|
Die API für Cloud Data Loss Prevention kann durch VPC Service Controls geschützt werden und das Produkt kann innerhalb von Dienstperimetern normal verwendet werden.
Weitere Informationen zu Cloud Data Loss Prevention finden Sie in der Produktdokumentation.
|
Beschränkungen
|
Da VPC Service Controls derzeit keine Ordner- und Organisationsressourcen unterstützt, geben DLP-Aufrufe bei dem Versuch, auf Ressourcen auf Organisationsebene zuzugreifen, die Antwort 403 zurück. Zum Verwalten von DLP-Berechtigungen auf Ordner- und Organisationsebene empfehlen wir IAM.
|
|
|
Status
|
GA: Diese Produktintegration wird von VPC Service Controls vollständig unterstützt.
|
Mit Perimeter schützen?
|
Ja. Sie können Ihre Perimeter so konfigurieren, dass sie diesen Dienst schützen.
|
Dienstname
|
dns.googleapis.com
|
Details
|
Die API für Cloud DNS kann durch VPC Service Controls geschützt werden und das Produkt kann innerhalb von Dienstperimetern normal verwendet werden.
Weitere Informationen zu Cloud DNS finden Sie in der Produktdokumentation.
|
Beschränkungen
|
|
|
|
Status
|
GA: Diese Produktintegration wird von VPC Service Controls vollständig unterstützt.
|
Mit Perimeter schützen?
|
Ja. Sie können Ihre Perimeter so konfigurieren, dass sie diesen Dienst schützen.
|
Dienstname
|
documentai.googleapis.com
|
Details
|
Die API für Document AI kann durch VPC Service Controls geschützt werden und das Produkt kann innerhalb von Dienstperimetern normal verwendet werden.
Weitere Informationen zu Document AI finden Sie in der Produktdokumentation.
|
Beschränkungen
|
Für die Einbindung von Document AI in VPC Service Controls gibt es keine bekannten Einschränkungen.
|
|
|
Status
|
GA: Diese Produktintegration wird von VPC Service Controls vollständig unterstützt.
|
Mit Perimeter schützen?
|
Ja. Sie können Ihre Perimeter so konfigurieren, dass sie diesen Dienst schützen.
|
Dienstname
|
contentwarehouse.googleapis.com
|
Details
|
Die API für Document AI Warehouse kann durch VPC Service Controls geschützt werden und das Produkt kann innerhalb von Dienstperimetern normal verwendet werden.
Weitere Informationen zu Document AI Warehouse finden Sie in der Produktdokumentation.
|
Beschränkungen
|
Für die Einbindung von Document AI Warehouse in VPC Service Controls gibt es keine bekannten Einschränkungen.
|
|
|
Status
|
GA: Diese Produktintegration wird von VPC Service Controls vollständig unterstützt.
|
Mit Perimeter schützen?
|
Ja. Sie können Ihre Perimeter so konfigurieren, dass sie diesen Dienst schützen.
|
Dienstname
|
domains.googleapis.com
|
Details
|
Die API für Cloud Domains kann durch VPC Service Controls geschützt werden und das Produkt kann innerhalb von Dienstperimetern normal verwendet werden.
Weitere Informationen zu Cloud Domains finden Sie in der Produktdokumentation.
|
Beschränkungen
|
|
|
|
Status
|
GA: Diese Produktintegration wird von VPC Service Controls vollständig unterstützt.
|
Mit Perimeter schützen?
|
Ja. Sie können Ihre Perimeter so konfigurieren, dass sie diesen Dienst schützen.
|
Dienstname
|
eventarc.googleapis.com
|
Details
|
Eventarc übernimmt die Ereignisübermittlung mithilfe von Pub/Sub-Themen und Push-Abos. Damit Sie auf die Pub/Sub API zugreifen und Ereignistrigger verwalten können, muss die Eventarc API im selben VPC Service Controls-Dienstperimeter geschützt sein wie die Pub/Sub API.
Weitere Informationen zu Eventarc finden Sie in der Produktdokumentation.
|
Beschränkungen
|
In Projekten, die durch einen Dienstperimeter geschützt sind, unterliegt Eventarc den gleichen Einschränkungen wie Pub/Sub:
- Beim Routing von Ereignissen an Cloud Run-Ziele können neue Pub/Sub-Push-Abos nur erstellt werden, wenn die Push-Endpunkte auf Cloud Run-Dienste mit standardmäßigen
run.app -URLs festgelegt sind (benutzerdefinierte Domains funktionieren nicht).
- Wenn Sie Ereignisse an Workflows-Ziele weiterleiten, für die der Pub/Sub-Push-Endpunkt auf eine Workflow-Ausführung festgelegt ist, können Sie neue Pub/Sub-Push-Abos nur über Eventarc erstellen.
Lesen Sie in diesem Dokument die Pub/Sub-Einschränkungen.
|
|
|
Status
|
GA: Diese Produktintegration wird von VPC Service Controls vollständig unterstützt.
|
Mit Perimeter schützen?
|
Ja. Sie können Ihre Perimeter so konfigurieren, dass sie diesen Dienst schützen.
|
Dienstname
|
firebaseappcheck.googleapis.com
|
Details
|
Wenn Sie Firebase App Check-Tokens konfigurieren und austauschen, schützt VPC Service Controls nur den Firebase App Check-Dienst. Zum Schutz von Diensten, die auf Firebase App Check basieren, müssen Sie Dienstperimeter für diese Dienste einrichten.
Weitere Informationen zu Firebase App Check finden Sie in der Produktdokumentation.
|
Beschränkungen
|
Für die Einbindung von Firebase App Check in VPC Service Controls gelten keine bekannten Einschränkungen.
|
|
|
Status
|
GA: Diese Produktintegration wird von VPC Service Controls vollständig unterstützt.
|
Mit Perimeter schützen?
|
Ja. Sie können Ihre Perimeter so konfigurieren, dass sie diesen Dienst schützen.
|
Dienstname
|
firebaserules.googleapis.com
|
Details
|
Wenn Sie Richtlinien für Firebase-Sicherheitsregeln verwalten, schützt VPC Service Controls nur den Dienst für Firebase-Sicherheitsregeln. Zum Schutz von Diensten, die auf Firebase-Sicherheitsregeln beruhen, müssen Sie Dienstperimeter für diese Dienste einrichten.
Weitere Informationen zu Firebase-Sicherheitsregeln finden Sie in der Produktdokumentation.
|
Beschränkungen
|
Für die Einbindung von Firebase-Sicherheitsregeln in VPC Service Controls gelten keine bekannten Einschränkungen.
|
|
|
Status
|
GA: Diese Produktintegration wird von VPC Service Controls vollständig unterstützt.
|
Mit Perimeter schützen?
|
Ja. Sie können Ihre Perimeter so konfigurieren, dass sie diesen Dienst schützen.
|
Dienstname
|
cloudfunctions.googleapis.com
|
Details
|
Informationen zur Einrichtung finden Sie in der Cloud Functions-Dokumentation. Der Schutz von VPC Service Controls gilt nicht für die Build-Phase, wenn Cloud Functions-Funktionen mit Cloud Build erstellt werden. Der Schutz von VPC Service Controls gilt für alle Funktionstrigger mit Ausnahme von Firebase Realtime Database-Triggern und Firebase Crashlytics-Triggern. Weitere Informationen finden Sie unter den bekannten Einschränkungen.
Weitere Informationen zu Cloud Functions finden Sie in der Produktdokumentation.
|
Beschränkungen
|
Cloud Functions verwendet Cloud Build, Container Registry und Cloud Storage, um Ihren Quellcode in einem ausführbaren Container zu erstellen und zu verwalten. Wenn einer dieser Dienste durch den Dienstperimeter eingeschränkt ist, blockiert VPC Service Controls den Cloud Functions-Build, selbst wenn Cloud Functions nicht als eingeschränkter Dienst zum Perimeter hinzugefügt wird. Um Cloud Functions innerhalb eines Dienstperimeters zu verwenden, müssen Sie eine Regel für eingehenden Traffic für das Cloud Build-Dienstkonto in Ihrem Dienstperimeter konfigurieren.
Damit Ihre Funktionen externe Abhängigkeiten wie npm-Pakete nutzen können, verfügt Cloud Build über unbegrenzten Internetzugriff. Dieser Internetzugriff kann zum Exfiltrieren von Daten genutzt werden, die zum Build-Zeitpunkt verfügbar sind, z. B. dem hochgeladenen Quellcode. Wenn Sie diesen Exfiltrationsvektor abschwächen möchten, empfehlen wir Ihnen, nur vertrauenswürdigen Entwicklern die Bereitstellung von Funktionen zu gestatten. Vergeben Sie die IAM-Rollen Cloud Functions-Inhaber, -Bearbeiter oder -Entwickler nur an vertrauenswürdige Entwickler.
Als Firebase Realtime Database-Trigger und Firebase Crashlytics-Trigger könnte ein Nutzer eine Funktion bereitstellen, die durch Änderungen an einer Firebase Realtime Database oder an Firebase Crashlytics in einem anderen Projekt außerhalb des Dienstperimeters des Projekts, in dem die Funktion bereitgestellt ist, ausgelöst wird. Wenn Sie den Exfiltrationsvektor für diese beiden Trigger abschwächen möchten, empfehlen wir Ihnen, nur vertrauenswürdigen Entwicklern die Bereitstellung von Funktionen zu gestatten. Vergeben Sie die IAM-Rollen Cloud Functions-Inhaber, -Bearbeiter oder -Entwickler nur an vertrauenswürdige Entwickler.
Wenn Sie eine Richtlinie für eingehenden oder ausgehenden Traffic für einen Dienstperimeter angeben, können Sie ANY_SERVICE_ACCOUNT und ANY_USER_ACCOUNT nicht als Identitätstyp verwenden, um Cloud Functions von einem lokalen Computer bereitzustellen.
Verwenden Sie als Problemumgehung ANY_IDENTITY als Identitätstyp.
Wenn Cloud Functions-Dienste über HTTP-Trigger aufgerufen werden, verwendet die Durchsetzung von VPC Service Controls-Richtlinien nicht die IAM-Authentifizierungsinformationen des Clients. VPC Service Controls-Richtlinien für eingehenden Traffic, die IAM-Hauptkonten verwenden, werden nicht unterstützt. Zugriffsebenen für VPC Service Controls-Perimeter, die IAM-Hauptkonten verwenden, werden nicht unterstützt.
|
|
|
Status
|
Vorschau. Die Einbindung dieses Produkts in VPC Service Controls befindet sich in der Vorschau und ist zum Testen und Verwenden bereit. In Produktionsumgebungen wird es jedoch nicht vollständig unterstützt.
|
Mit Perimeter schützen?
|
Ja. Sie können Ihre Perimeter so konfigurieren, dass sie diesen Dienst schützen.
|
Dienstname
|
iam.googleapis.com
|
Details
|
Wenn Sie IAM mit einem Perimeter einschränken, sind nur Aktionen eingeschränkt, die die IAM API verwenden. Zu diesen Aktionen gehören die Verwaltung von benutzerdefinierten IAM-Rollen, die Verwaltung von Arbeitslast-Identitätspools und die Verwaltung von Dienstkonten und Schlüsseln. Der Perimeter schränkt keine Aktionen von Personalpools ein, da diese Pools Ressourcen auf Organisationsebene sind. Außerdem werden keine Aktionen eingeschränkt, die andere APIs verwenden, darunter:
- IAM Policy Simulator API
- IAM Policy Troubleshooter API
- Security Token Service API
- Service Account Credentials API (einschließlich der Legacy-Methoden
signBlob und signJwt in der IAM API)
Der Perimeter um IAM beschränkt nicht das Abrufen oder Festlegen von IAM-Richtlinien für Ressourcen, die anderen Diensten wie Compute Engine-VM-Instanzen gehören. Um das Abrufen und Festlegen von IAM-Richtlinien für diese Ressourcen zu beschränken, erstellen Sie einen Perimeter, der den Dienst beschränkt, der die Ressourcen besitzt. Eine Liste der Ressourcen, die IAM-Richtlinien annehmen, und der Dienste, die sie besitzen, finden Sie unter Ressourcentypen, die IAM-Richtlinien annehmen.
Weitere Informationen zur Identitäts- und Zugriffsverwaltung finden Sie in der Produktdokumentation.
|
Beschränkungen
|
Wenn Sie sich im Perimeter befinden, können Sie die Methode roles.list mit einem leeren String aufrufen, um vordefinierte IAM-Rollen aufzulisten. Informationen zum Aufrufen vordefinierter Rollen finden Sie in der Dokumentation zu IAM-Rollen.
|
|
|
Status
|
Vorschau. Die Einbindung dieses Produkts in VPC Service Controls befindet sich in der Vorschau und ist zum Testen und Verwenden bereit. In Produktionsumgebungen wird es jedoch nicht vollständig unterstützt.
|
Mit Perimeter schützen?
|
Ja. Sie können Ihre Perimeter so konfigurieren, dass sie diesen Dienst schützen.
|
Dienstname
|
iap.googleapis.com
|
Details
|
Mit der IAP Admin API können Nutzer IAP konfigurieren.
Weitere Informationen zur IAP Admin API finden Sie in der Produktdokumentation.
|
Beschränkungen
|
Für die Einbindung der IAP Admin API in VPC Service Controls gelten keine bekannten Einschränkungen.
|
|
|
Status
|
Vorschau. Die Einbindung dieses Produkts in VPC Service Controls befindet sich in der Vorschau und ist zum Testen und Verwenden bereit. In Produktionsumgebungen wird es jedoch nicht vollständig unterstützt.
|
Mit Perimeter schützen?
|
Ja. Sie können Ihre Perimeter so konfigurieren, dass sie diesen Dienst schützen.
|
Dienstname
|
kmsinventory.googleapis.com
|
Details
|
Die Cloud KMS Inventory API kann durch VPC Service Controls geschützt werden und das Produkt kann innerhalb von Dienstperimetern normal verwendet werden.
Weitere Informationen zur Cloud KMS Inventory API finden Sie in der Produktdokumentation.
|
Beschränkungen
|
Von der SearchProtectedResources API-Methode werden keine Dienstperimeter-Einschränkungen für zurückgegebene Projekte erzwungen.
|
|
|
Status
|
GA: Diese Produktintegration wird von VPC Service Controls vollständig unterstützt.
|
Mit Perimeter schützen?
|
Ja. Sie können Ihre Perimeter so konfigurieren, dass sie diesen Dienst schützen.
|
Dienstname
|
iamcredentials.googleapis.com
|
Details
|
Die API für Dienstkonto-Anmeldedaten kann durch VPC Service Controls geschützt werden und das Produkt kann innerhalb von Dienstperimetern normal verwendet werden.
Weitere Informationen zu Dienstkonto-Anmeldedaten finden Sie in der Produktdokumentation.
|
Beschränkungen
|
Für die Integration von Dienstkonto-Anmeldedaten in VPC Service Controls gelten keine bekannten Einschränkungen.
|
|
|
Status
|
GA: Diese Produktintegration wird von VPC Service Controls vollständig unterstützt.
|
Mit Perimeter schützen?
|
Ja. Sie können Ihre Perimeter so konfigurieren, dass sie diesen Dienst schützen.
|
Dienstname
|
cloud.googleapis.com
|
Details
|
Die Service Metadata API kann durch VPC Service Controls geschützt werden und das Produkt kann innerhalb von Dienstperimetern normal verwendet werden.
Weitere Informationen zur Service Metadata API finden Sie in der Produktdokumentation.
|
Beschränkungen
|
Für die Einbindung der Service Metadata API in VPC Service Controls gibt es keine bekannten Einschränkungen.
|
|
|
Status
|
GA: Diese Produktintegration wird von VPC Service Controls vollständig unterstützt.
|
Mit Perimeter schützen?
|
Ja. Sie können Ihre Perimeter so konfigurieren, dass sie diesen Dienst schützen.
|
Dienstname
|
vpcaccess.googleapis.com
|
Details
|
Die API für serverlosen VPC-Zugriff kann durch VPC Service Controls geschützt werden und das Produkt kann in Dienstperimetern normal genutzt werden.
Weitere Informationen zum serverlosen VPC-Zugriff finden Sie in der Produktdokumentation.
|
Beschränkungen
|
Für die Einbindung von serverlosem VPC-Zugriff in VPC Service Controls gelten keine bekannten Einschränkungen.
|
|
|
Status
|
GA: Diese Produktintegration wird von VPC Service Controls vollständig unterstützt.
|
Mit Perimeter schützen?
|
Ja. Sie können Ihre Perimeter so konfigurieren, dass sie diesen Dienst schützen.
|
Dienstname
|
cloudkms.googleapis.com
|
Details
|
Die Cloud KMS API kann durch VPC Service Controls geschützt werden und das Produkt kann innerhalb von Dienstperimetern verwendet werden. Der Zugriff auf Cloud HSM-Dienste ist auch durch VPC Service Controls geschützt und kann innerhalb von Dienstperimetern verwendet werden.
Weitere Informationen zum Cloud Key Management Service finden Sie in der Produktdokumentation.
|
Beschränkungen
|
Für das Einbinden des Cloud Key Management Service in VPC Service Controls gelten keine bekannten Einschränkungen.
|
|
|
Status
|
GA: Diese Produktintegration wird von VPC Service Controls vollständig unterstützt.
|
Mit Perimeter schützen?
|
Ja. Sie können Ihre Perimeter so konfigurieren, dass sie diesen Dienst schützen.
|
Dienstname
|
gameservices.googleapis.com
|
Details
|
Die API für Game Servers kann durch VPC Service Controls geschützt werden und das Produkt kann innerhalb von Dienstperimetern normal verwendet werden.
Weitere Informationen zu Game Servers finden Sie in der Produktdokumentation.
|
Beschränkungen
|
Für das Einbinden von Game Servers in VPC Service Controls gelten keine bekannten Einschränkungen.
|
|
|
Status
|
GA: Diese Produktintegration wird von VPC Service Controls vollständig unterstützt.
|
Mit Perimeter schützen?
|
Ja. Sie können Ihre Perimeter so konfigurieren, dass sie diesen Dienst schützen.
|
Dienstname
|
iaptunnel.googleapis.com
|
Details
|
Die API für Identity-Aware Proxy for TCP kann durch VPC Service Controls geschützt werden und das Produkt kann innerhalb von Dienstperimetern normal verwendet werden.
Weitere Informationen zum Identity-Aware Proxy for TCP finden Sie in der Produktdokumentation.
|
Beschränkungen
|
Nur die Nutzungs-API von IAP für TCP kann durch einen Perimeter geschützt werden.
Die administrative API kann nicht durch einen Perimeter geschützt werden.
Um IAP for TCP innerhalb eines VPC Service Controls-Dienstperimeters zu verwenden, müssen Sie einige DNS-Einträge hinzufügen oder konfigurieren, um folgende Domains auf die eingeschränkte VIP zu verweisen:
- tunnel.cloudproxy.app
- *.tunnel.cloudproxy.app
|
|
|
Status
|
Vorschau. Die Einbindung dieses Produkts in VPC Service Controls befindet sich in der Vorschau und ist zum Testen und Verwenden bereit. In Produktionsumgebungen wird es jedoch nicht vollständig unterstützt.
|
Mit Perimeter schützen?
|
Ja. Sie können Ihre Perimeter so konfigurieren, dass sie diesen Dienst schützen.
|
Dienstname
|
lifesciences.googleapis.com
|
Details
|
Die API für Cloud Life Sciences kann durch VPC Service Controls geschützt werden und das Produkt kann innerhalb von Dienstperimetern normal verwendet werden.
Weitere Informationen zu Cloud Life Sciences finden Sie in der Produktdokumentation.
|
Beschränkungen
|
Für das Einbinden von Cloud Life Sciences in VPC Service Controls gelten keine bekannten Einschränkungen.
|
|
|
Status
|
GA: Diese Produktintegration wird von VPC Service Controls vollständig unterstützt.
|
Mit Perimeter schützen?
|
Ja. Sie können Ihre Perimeter so konfigurieren, dass sie diesen Dienst schützen.
|
Dienstname
|
managedidentities.googleapis.com
|
Details
|
Zusätzliche Konfiguration erforderlich für:
Weitere Informationen zu Managed Service for Microsoft Active Directory finden Sie in der Produktdokumentation.
|
Beschränkungen
|
Für das Einbinden des Managed Service for Microsoft Active Directory in VPC Service Controls gelten keine bekannten Einschränkungen.
|
|
|
Status
|
GA: Diese Produktintegration wird von VPC Service Controls vollständig unterstützt.
|
Mit Perimeter schützen?
|
Ja. Sie können Ihre Perimeter so konfigurieren, dass sie diesen Dienst schützen.
|
Dienstname
|
recaptchaenterprise.googleapis.com
|
Details
|
Die API für reCAPTCHA Enterprise kann durch VPC Service Controls geschützt werden und das Produkt kann innerhalb von Dienstperimetern normal verwendet werden.
Weitere Informationen zu reCAPTCHA Enterprise finden Sie in der Produktdokumentation.
|
Beschränkungen
|
Für die reCAPTCHA Enterprise-Integration in VPC Service Controls gelten keine bekannten Einschränkungen.
|
|
|
Status
|
GA: Diese Produktintegration wird von VPC Service Controls vollständig unterstützt.
|
Mit Perimeter schützen?
|
Ja. Sie können Ihre Perimeter so konfigurieren, dass sie diesen Dienst schützen.
|
Dienstname
|
webrisk.googleapis.com
|
Details
|
Die Web Risk API kann durch VPC Service Controls geschützt werden und das Produkt kann innerhalb von Dienstperimetern normal verwendet werden.
Weitere Informationen zu Web Risk finden Sie in der Produktdokumentation.
|
Beschränkungen
|
Die Evaluate API und die Submission API werden von VPC Service Controls nicht unterstützt.
|
|
|
Status
|
GA: Diese Produktintegration wird von VPC Service Controls vollständig unterstützt.
|
Mit Perimeter schützen?
|
Ja. Sie können Ihre Perimeter so konfigurieren, dass sie diesen Dienst schützen.
|
Dienstname
|
recommender.googleapis.com
|
Details
|
Die API für Recommender kann durch VPC Service Controls geschützt werden und das Produkt kann innerhalb von Dienstperimetern normal verwendet werden.
Weitere Informationen zu Recommender finden Sie in der Produktdokumentation.
|
Beschränkungen
|
|
|
|
Status
|
GA: Diese Produktintegration wird von VPC Service Controls vollständig unterstützt.
|
Mit Perimeter schützen?
|
Ja. Sie können Ihre Perimeter so konfigurieren, dass sie diesen Dienst schützen.
|
Dienstname
|
secretmanager.googleapis.com
|
Details
|
Die API für Secret Manager kann durch VPC Service Controls geschützt werden und das Produkt kann innerhalb von Dienstperimetern normal verwendet werden.
Weitere Informationen zu Secret Manager finden Sie in der Produktdokumentation.
|
Beschränkungen
|
Für die Einbindung von Secret Manager in VPC Service Controls gelten keine bekannten Einschränkungen.
|
|
|
Status
|
GA: Diese Produktintegration wird von VPC Service Controls vollständig unterstützt.
|
Mit Perimeter schützen?
|
Ja. Sie können Ihre Perimeter so konfigurieren, dass sie diesen Dienst schützen.
|
Dienstname
|
pubsub.googleapis.com
|
Details
|
Der Schutz von VPC Service Controls gilt für alle Administrator-, Publisher- und Abonnentenvorgänge (mit Ausnahme von vorhandenen Push-Abos).
Weitere Informationen zu Pub/Sub finden Sie in der Produktdokumentation.
|
Beschränkungen
|
Für Projekte, die durch einen Dienstperimeter geschützt sind, gelten die folgenden Einschränkungen:
- Neue Push-Abos können nur erstellt werden, wenn die Push-Endpunkte auf Cloud Run-Dienste mit
run.app -Standard-URLs festgelegt sind (benutzerdefinierte Domains funktionieren nicht). Weitere Informationen zur Einbindung in Cloud Run finden Sie unter VPC Service Controls verwenden.
- Sie müssen ein Abo im selben Perimeter wie das Thema erstellen oder Regeln für ausgehenden Traffic aktivieren, um den Zugriff vom Thema auf das Abo zu ermöglichen.
- Wenn Sie Ereignisse über Eventarc zu Workflow-Zielen weiterleiten, für die der Push-Endpunkt auf eine Workflow-Ausführung festgelegt ist, können Sie neue Push-Abos nur über Eventarc erstellen.
- Pub/Sub-Push-Abos, die vor dem Dienstperimeter erstellt wurden, werden nicht blockiert.
|
|
|
Status
|
GA: Diese Produktintegration wird von VPC Service Controls vollständig unterstützt.
|
Mit Perimeter schützen?
|
Ja. Sie können Ihre Perimeter so konfigurieren, dass sie diesen Dienst schützen.
|
Dienstname
|
pubsublite.googleapis.com
|
Details
|
Der Schutz von VPC Service Controls gilt für alle Abonnentenvorgänge.
Weitere Informationen zu Pub/Sub Lite finden Sie in der Produktdokumentation.
|
Beschränkungen
|
Für die Einbindung von Pub/Sub Lite in VPC Service Controls gelten keine bekannten Einschränkungen.
|
|
|
Status
|
GA: Diese Produktintegration wird von VPC Service Controls vollständig unterstützt.
|
Mit Perimeter schützen?
|
Ja. Sie können Ihre Perimeter so konfigurieren, dass sie diesen Dienst schützen.
|
Dienstname
|
cloudbuild.googleapis.com
|
Details
|
Verwenden Sie VPC Service Controls mit privaten Cloud Build-Pools, um die Sicherheit Ihrer Builds zu erhöhen.
Weitere Informationen zu Cloud Build finden Sie in der Produktdokumentation.
|
Beschränkungen
|
Der Schutz von VPC Service Controls ist nur für Builds verfügbar, die in privaten Pools ausgeführt werden.
|
|
|
Status
|
GA: Diese Produktintegration wird von VPC Service Controls vollständig unterstützt.
|
Mit Perimeter schützen?
|
Ja. Sie können Ihre Perimeter so konfigurieren, dass sie diesen Dienst schützen.
|
Dienstname
|
clouddeploy.googleapis.com
|
Details
|
Die API für Google Cloud Deploy kann durch VPC Service Controls geschützt werden und das Produkt kann innerhalb von Dienstperimetern normal verwendet werden.
Weitere Informationen zu Google Cloud Deploy finden Sie in der Produktdokumentation.
|
Beschränkungen
|
Wenn Sie Google Cloud Deploy in einem Perimeter verwenden möchten, müssen Sie einen privaten Cloud Build-Pool für die Ausführungsumgebungen des Ziels verwenden.
Verwenden Sie nicht den Standard-Worker-Pool (Cloud Build) und keinen Hybrid-Pool.
|
|
|
Status
|
AV
|
Mit Perimeter schützen?
|
Ja. Sie können Ihre Perimeter so konfigurieren, dass sie diesen Dienst schützen.
|
Dienstname
|
composer.googleapis.com
|
Details
|
Composer für die Verwendung mit VPC Service Controls konfigurieren
Weitere Informationen zu Cloud Composer finden Sie in der Produktdokumentation.
|
Beschränkungen
|
Durch Aktivieren der DAG-Serialisierung wird verhindert, dass Airflow eine gerenderte Vorlage mit Funktionen in der Web-UI anzeigt.
Das Flag async_dagbag_loader kann nicht auf True gesetzt werden, wenn die DAG-Serialisierung aktiviert ist.
Durch Aktivieren der DAG-Serialisierung werden alle Airflow-Webserver-Plug-ins deaktiviert, da sie die Sicherheit des VPC-Netzwerks beeinträchtigen können, in dem Cloud Composer bereitgestellt wird. Dies wirkt sich nicht auf das Verhalten von Planer- oder Worker-Plug-ins, einschließlich Airflow-Operatoren und Sensoren, aus.
Wenn Cloud Composer innerhalb eines Perimeters ausgeführt wird, ist der Zugriff auf öffentliche PyPI-Repositories eingeschränkt. Informationen zum Installieren von PyPi-Modulen im privaten IP-Modus finden Sie in der Cloud Composer-Dokumentation unter Python-Abhängigkeiten installieren.
|
|
|
Status
|
GA: Diese Produktintegration wird von VPC Service Controls vollständig unterstützt.
|
Mit Perimeter schützen?
|
Ja. Sie können Ihre Perimeter so konfigurieren, dass sie diesen Dienst schützen.
|
Dienstname
|
run.googleapis.com
|
Details
|
Für Cloud Run ist eine zusätzliche Einrichtung erforderlich. Folgen Sie der Anleitung auf der Dokumentationsseite VPC Service Controls für Cloud Run.
Weitere Informationen zu Cloud Run finden Sie in der Produktdokumentation.
|
Beschränkungen
|
- Bei Artifact Registry und Container Registry muss sich die Registry, in der Sie den Container speichern, im selben VPC Service Controls-Perimeter wie das Projekt befinden, in dem Sie die Bereitstellung durchführen. Der erstellte Code muss sich im selben VPC Service Controls-Perimeter befinden wie die Registry, in die der Container übertragen wird.
- Die Cloud Run-Funktion Kontinuierliche Bereitstellung ist für Projekte in einem VPC Service Controls-Perimeter nicht verfügbar.
|
|
|
Status
|
GA: Diese Produktintegration wird von VPC Service Controls vollständig unterstützt.
|
Mit Perimeter schützen?
|
Ja. Sie können Ihre Perimeter so konfigurieren, dass sie diesen Dienst schützen.
|
Dienstname
|
cloudscheduler.googleapis.com
|
Details
|
Die API für Cloud Scheduler kann durch VPC Service Controls geschützt werden und das Produkt kann innerhalb von Dienstperimetern normal verwendet werden.
Weitere Informationen zu Cloud Scheduler finden Sie in der Produktdokumentation.
|
Beschränkungen
|
VPC Service Controls unterstützt keine Cloud Scheduler-Jobs mit den folgenden Zielen:
|
|
|
Status
|
GA: Diese Produktintegration wird von VPC Service Controls vollständig unterstützt.
|
Mit Perimeter schützen?
|
Ja. Sie können Ihre Perimeter so konfigurieren, dass sie diesen Dienst schützen.
|
Dienstname
|
spanner.googleapis.com
|
Details
|
Die API für Cloud Spanner kann durch VPC Service Controls geschützt werden und das Produkt kann innerhalb von Dienstperimetern normal verwendet werden.
Weitere Informationen zu Cloud Spanner finden Sie in der Produktdokumentation.
|
Beschränkungen
|
Für das Einbinden von Cloud Spanner in VPC Service Controls gelten keine bekannten Einschränkungen.
|
|
|
Status
|
GA: Diese Produktintegration wird von VPC Service Controls vollständig unterstützt.
|
Mit Perimeter schützen?
|
Ja. Sie können Ihre Perimeter so konfigurieren, dass sie diesen Dienst schützen.
|
Dienstname
|
speakerid.googleapis.com
|
Details
|
Die Speaker ID API kann durch VPC Service Controls geschützt werden und das Produkt kann innerhalb von Dienstperimetern normal verwendet werden.
Weitere Informationen zu Speaker ID finden Sie in der Produktdokumentation.
|
Beschränkungen
|
Für die Einbindung der Speaker ID in VPC Service Controls gibt es keine bekannten Einschränkungen.
|
|
|
Status
|
GA: Diese Produktintegration wird von VPC Service Controls vollständig unterstützt.
|
Mit Perimeter schützen?
|
Ja. Sie können Ihre Perimeter so konfigurieren, dass sie diesen Dienst schützen.
|
Dienstname
|
storage.googleapis.com
|
Details
|
Die API für Cloud Storage kann durch VPC Service Controls geschützt werden und das Produkt kann innerhalb von Dienstperimetern normal verwendet werden.
Weitere Informationen zu Cloud Storage finden Sie in der Produktdokumentation.
|
Beschränkungen
|
Wenn Sie das Feature „Anforderer bezahlt“ mit einem Storage-Bucket innerhalb eines Dienstperimeters verwenden, der den Cloud Storage-Dienst schützt, können Sie kein zu bezahlendes Projekt außerhalb des Perimeters identifizieren. Das Zielprojekt muss sich im selben Perimeter wie der Storage-Bucket oder in einer Perimeter-Bridge mit dem Projekt des Buckets befinden.
Weitere Informationen zum Feature „Anforderer bezahlt“ finden Sie im Artikel „Anforderer bezahlt“ unter Anforderungen für Zugriff und Verwendung.
Bei Projekten in einem Dienstperimeter kann nicht auf die Cloud Storage-Seite in der Google Cloud Console zugegriffen werden, wenn die Cloud Storage API durch diesen Perimeter geschützt ist. Wenn Sie Zugriff auf die Seite gewähren möchten, müssen Sie eine Regel für eingehenden Traffic und/oder eine Zugriffsebene erstellen, die die Nutzerkonten und/oder den öffentlichen IP-Bereich enthält, für die Sie den Zugriff auf die Cloud Storage API zulassen möchten.
Das Feld resourceName in Audit-Logeinträgen bezieht sich nicht auf das Projekt, das einen Bucket besitzt. Das Projekt muss separat ermittelt werden.
In Audit-Logeinträgen ist der Wert für methodName nicht immer korrekt. Wir empfehlen, Cloud Storage-Audit-Logeinträge nicht nach methodName zu filtern.
In bestimmten Fällen können Legacy-Bucket-Logs von Cloud Storage in Ziele außerhalb eines Dienstperimeters geschrieben werden, selbst wenn der Zugriff verweigert wird.
Wenn Sie versuchen, gsutil zum ersten Mal in einem neuen Projekt zu verwenden, werden Sie möglicherweise aufgefordert, den storage-api.googleapis.com -Dienst zu aktivieren. Sie können zwar storage-api.googleapis.com nicht direkt schützen, aber wenn Sie die Cloud Storage API mit einem Dienstperimeter schützen, sind gsutil -Vorgänge ebenfalls geschützt.
- In bestimmten Fällen sind öffentliche Cloud Storage-Objekte auch dann zugänglich, wenn Sie VPC Service Controls für die Objekte aktiviert haben. Die Objekte sind zugänglich, bis sie aus den integrierten Caches und anderen Upstream-Caches im Netzwerk zwischen dem Endnutzer und Cloud Storage ablaufen. Cloud Storage speichert öffentlich zugängliche Daten standardmäßig im Cloud Storage-Netzwerk.
Weitere Informationen zum Zwischenspeichern von Cloud Storage-Objekten finden Sie unter Cloud Storage. Informationen zur Aufbewahrungsdauer von Objekten im Cache finden Sie unter Cache-Control-Metadaten:
Wenn Sie eine Richtlinie für eingehenden oder ausgehenden Traffic für einen Dienstperimeter angeben, können Sie ANY_SERVICE_ACCOUNT und ANY_USER_ACCOUNT nicht als Identitätstyp für alle Cloud Storage-Vorgänge mit signierten URLs verwenden.
Verwenden Sie als Problemumgehung ANY_IDENTITY als Identitätstyp.
|
|
|
Status
|
GA: Diese Produktintegration wird von VPC Service Controls vollständig unterstützt.
|
Mit Perimeter schützen?
|
Ja. Sie können Ihre Perimeter so konfigurieren, dass sie diesen Dienst schützen.
|
Dienstname
|
cloudtasks.googleapis.com
|
Details
|
Die API für Cloud Tasks kann durch VPC Service Controls geschützt werden und das Produkt kann innerhalb von Dienstperimetern normal verwendet werden.
HTTP-Anfragen von Cloud Tasks-Ausführungen werden so unterstützt:
- Authentifizierte Anfragen an VPC Service Controls-kompatible Cloud Functions-Funktionen (1. Generation) und Cloud Run-Endpunkte sind zulässig.
- Anfragen an Nicht-Cloud Functions- und Nicht-Cloud Run-Endpunkte werden blockiert.
- Anfragen an nicht VPC Service Controls-konforme Cloud Functions- und Cloud Run-Endpunkte werden blockiert.
Weitere Informationen zu Cloud Tasks finden Sie in der Produktdokumentation.
|
Beschränkungen
|
Für das Einbinden von Cloud Tasks in VPC Service Controls gibt es keine bekannten Einschränkungen.
|
|
|
Status
|
GA: Diese Produktintegration wird von VPC Service Controls vollständig unterstützt.
|
Mit Perimeter schützen?
|
Ja. Sie können Ihre Perimeter so konfigurieren, dass sie diesen Dienst schützen.
|
Dienstname
|
sqladmin.googleapis.com
|
Details
|
VPC Service Controls-Perimeter schützen die Cloud SQL Admin API.
Weitere Informationen zu Cloud SQL finden Sie in der Produktdokumentation.
|
Beschränkungen
|
|
|
|
Status
|
GA: Diese Produktintegration wird von VPC Service Controls vollständig unterstützt.
|
Mit Perimeter schützen?
|
Ja. Sie können Ihre Perimeter so konfigurieren, dass sie diesen Dienst schützen.
|
Dienstname
|
videointelligence.googleapis.com
|
Details
|
Die API für die Video Intelligence API kann durch VPC Service Controls geschützt werden und das Produkt kann innerhalb von Dienstperimetern normal verwendet werden.
Weitere Informationen zur Video Intelligence API finden Sie in der Produktdokumentation.
|
Beschränkungen
|
Für das Einbinden der Video Intelligence API in VPC Service Controls gelten keine bekannten Einschränkungen.
|
|
|
Status
|
GA: Diese Produktintegration wird von VPC Service Controls vollständig unterstützt.
|
Mit Perimeter schützen?
|
Ja. Sie können Ihre Perimeter so konfigurieren, dass sie diesen Dienst schützen.
|
Dienstname
|
vision.googleapis.com
|
Details
|
Die Cloud Vision API kann durch VPC Service Controls geschützt werden und das Produkt kann innerhalb von Dienstperimetern normal verwendet werden.
Weitere Informationen zur Cloud Vision API finden Sie in der Produktdokumentation.
|
Beschränkungen
|
Auch wenn Sie eine Regel für ausgehenden Traffic erstellen, um Aufrufe von öffentlichen URLs aus VPC Service Controls-Perimetern zuzulassen, blockiert die Cloud Vision API Aufrufe von öffentlichen URLs.
|
|
|
Status
|
GA: Diese Produktintegration wird von VPC Service Controls vollständig unterstützt.
|
Mit Perimeter schützen?
|
Ja. Sie können Ihre Perimeter so konfigurieren, dass sie diesen Dienst schützen.
|
Dienstname
|
containeranalysis.googleapis.com
|
Details
|
Damit Sie Container Analysis mit VPC Service Controls verwenden können, müssen Sie dem VPC-Perimeter möglicherweise weitere Dienste hinzufügen:
Da die Container Scanning API eine API ohne Oberfläche ist, die die Ergebnisse in Container Analysis speichert, müssen Sie die API nicht mit einem Dienstperimeter schützen.
Weitere Informationen zu Container Analysis finden Sie in der Produktdokumentation.
|
Beschränkungen
|
Für das Einbinden von Container Analysis in VPC Service Controls gelten keine bekannten Einschränkungen.
|
|
|
Status
|
GA: Diese Produktintegration wird von VPC Service Controls vollständig unterstützt.
|
Mit Perimeter schützen?
|
Ja. Sie können Ihre Perimeter so konfigurieren, dass sie diesen Dienst schützen.
|
Dienstname
|
containerregistry.googleapis.com
|
Details
|
Neben dem Schutz der Container Registry API kann Container Registry auch innerhalb eines Dienstperimeters mit GKE und Compute Engine verwendet werden.
Weitere Informationen zu Container Registry finden Sie in der Produktdokumentation.
|
Beschränkungen
|
Wenn Sie eine Richtlinie für eingehenden oder ausgehenden Traffic für einen Dienstperimeter angeben, können Sie ANY_SERVICE_ACCOUNT und ANY_USER_ACCOUNT nicht als Identitätstyp für alle Container Registry-Vorgänge verwenden.
Verwenden Sie als Problemumgehung ANY_IDENTITY als Identitätstyp.
Da Container Registry die Domain gcr.io verwendet, müssen Sie das DNS konfigurieren, damit *.gcr.io entweder private.googleapis.com oder restricted.googleapis.com zugeordnet wird.
Weitere Informationen finden Sie unter Container Registry in einem Dienstperimeter sichern.
Neben den Containern innerhalb eines Perimeters, die für Container Registry verfügbar sind, stehen die folgenden von Google verwalteten, schreibgeschützten Repositories unabhängig von den durch Dienstperimeter durchgesetzten Einschränkungen für alle Projekte zur Verfügung:
gcr.io/anthos-baremetal-release
gcr.io/asci-toolchain
gcr.io/cloud-airflow-releaser
gcr.io/cloud-builders
gcr.io/cloud-dataflow
gcr.io/cloud-marketplace
gcr.io/cloud-ssa
gcr.io/cloudsql-docker
gcr.io/config-management-release
gcr.io/deeplearning-platform-release
gcr.io/foundry-dev
gcr.io/fn-img
gcr.io/gae-runtimes
gcr.io/gke-node-images
gcr.io/gke-release
gcr.io/gkeconnect
gcr.io/google-containers
gcr.io/kubeflow
gcr.io/kubeflow-images-public
gcr.io/kubernetes-helm
gcr.io/istio-release
gcr.io/ml-pipeline
gcr.io/projectcalico-org
gcr.io/rbe-containers
gcr.io/rbe-windows-test-images
gcr.io/speckle-umbrella
gcr.io/stackdriver-agents
gcr.io/tensorflow
gcr.io/vertex-ai
gcr.io/vertex-ai-restricted
gke.gcr.io
k8s.gcr.io
mirror.gcr.io
In allen Fällen können auch die regionalen Versionen dieser Repositories verwendet werden.
|
|
|
Status
|
GA: Diese Produktintegration wird von VPC Service Controls vollständig unterstützt.
|
Mit Perimeter schützen?
|
Ja. Sie können Ihre Perimeter so konfigurieren, dass sie diesen Dienst schützen.
|
Dienstname
|
container.googleapis.com
|
Details
|
Die API für Google Kubernetes Engine kann durch VPC Service Controls geschützt werden und das Produkt kann innerhalb von Dienstperimetern normal verwendet werden.
Weitere Informationen zu Google Kubernetes Engine finden Sie in der Produktdokumentation.
|
Beschränkungen
|
- Nur private Cluster können durch VPC Service Controls geschützt werden. Cluster mit öffentlichen IP-Adressen werden von VPC Service Controls nicht unterstützt.
|
|
|
Status
|
Vorschau. Die Einbindung dieses Produkts in VPC Service Controls befindet sich in der Vorschau und ist zum Testen und Verwenden bereit. In Produktionsumgebungen wird es jedoch nicht vollständig unterstützt.
|
Mit Perimeter schützen?
|
Ja. Sie können Ihre Perimeter so konfigurieren, dass sie diesen Dienst schützen.
|
Dienstname
|
containerfilesystem.googleapis.com
|
Details
|
Image-Streaming ist eine GKE-Funktion zum Datenstreaming, die kürzere Pull-Zeiten für Container-Images für in Artifact Registry gespeicherte Images bietet.
Wenn VPC Service Controls Ihre Container-Images schützt und Sie Image-Streaming verwenden, müssen Sie auch die Image-Streaming-API in den Dienstperimeter aufnehmen.
Weitere Informationen zum Image-Streaming finden Sie in der Produktdokumentation.
|
Beschränkungen
|
Für das Einbinden von Image-Streaming in VPC Service Controls gelten keine bekannten Einschränkungen.
|
|
|
Status
|
GA: Diese Produktintegration wird von VPC Service Controls vollständig unterstützt.
|
Mit Perimeter schützen?
|
Ja. Sie können Ihre Perimeter so konfigurieren, dass sie diesen Dienst schützen.
|
Dienstname
|
gkeconnect.googleapis.com, gkehub.googleapis.com, connectgateway.googleapis.com
|
Details
|
Flottenverwaltungs-APIs, einschließlich des Connect Gateways, können mit VPC Service Controls geschützt werden und Funktionen zur Flottenverwaltung können innerhalb von Dienstperimetern normal verwendet werden.
Hier finden Sie weitere Informationen:
Weitere Informationen zu Flotten finden Sie in der Produktdokumentation.
|
Beschränkungen
|
Für die Einbindung von Flotten in VPC Service Controls gelten keine bekannten Einschränkungen.
|
|
|
Status
|
Vorschau. Die Einbindung dieses Produkts in VPC Service Controls befindet sich in der Vorschau und ist zum Testen und Verwenden bereit. In Produktionsumgebungen wird es jedoch nicht vollständig unterstützt.
|
Mit Perimeter schützen?
|
Ja. Sie können Ihre Perimeter so konfigurieren, dass sie diesen Dienst schützen.
|
Dienstname
|
cloudresourcemanager.googleapis.com
beta
|
Details
|
Nur die Resource Manager-Methoden v1 project.setIAMPolicy und v1beta1 project.setIAMPolicy können durch VPC Service Controls geschützt werden.
Weitere Informationen zu Resource Manager finden Sie in der Produktdokumentation.
|
Beschränkungen
|
- Die Resource Manager API-Methoden zum Erstellen und Verwalten von Tags können nicht durch VPC Service Controls geschützt werden.
- Die Zuweisung der Inhaberrolle für ein Projekt über die Google Cloud Console wird jetzt von VPC Service Controls unterstützt. Sie können außerhalb von Dienstperimetern keine Inhabereinladung senden und keine Einladung annehmen. Wenn Sie versuchen, eine Einladung von außerhalb des Perimeters zu akzeptieren, erhalten Sie nicht die Inhaberrolle und es wird keine Fehler- oder Warnmeldung angezeigt.
|
|
|
Status
|
GA: Diese Produktintegration wird von VPC Service Controls vollständig unterstützt.
|
Mit Perimeter schützen?
|
Ja. Sie können Ihre Perimeter so konfigurieren, dass sie diesen Dienst schützen.
|
Dienstname
|
logging.googleapis.com
|
Details
|
Die API für Cloud Logging kann durch VPC Service Controls geschützt werden und das Produkt kann innerhalb von Dienstperimetern normal verwendet werden.
Weitere Informationen zu Cloud Logging finden Sie in der Produktdokumentation.
|
Beschränkungen
|
Aggregierte Logsenken (Ordner- oder Organisationssenken, wobei includeChildren den Wert true hat) können auf Daten von Projekten innerhalb eines Dienstperimeters zugreifen. Wenn Sie verhindern möchten, dass aggregierte Logsenken auf Daten innerhalb eines Perimeters zugreifen, verwenden Sie IAM, um Logging-Berechtigungen für die aggregierten Log-Senken auf Ordner- oder Organisationsebene zu verwalten.
VPC Service Controls unterstützt das Hinzufügen von Ordner- oder Organisationsressourcen zu Dienstperimetern nicht. Daher können Sie VPC Service Controls nicht zum Schutz von Logs auf Ordner- und Organisationsebene verwenden, einschließlich aggregierter Logs. Zum Verwalten von Logging-Berechtigungen auf Ordner- oder Organisationsebene empfehlen wir die Verwendung von IAM.
Wenn Sie Logs mithilfe einer Logsenke auf Organisationsebene oder Ordnerebene an eine Ressource weiterleiten, die durch einen Dienstperimeter geschützt wird, müssen Sie dem Dienstperimeter eine Regel für eingehenden Traffic hinzufügen. Die Regel für eingehenden Traffic muss den Zugriff auf die Ressource über das Dienstkonto zulassen, das von der Logsenke verwendet wird. Dieser Schritt ist für Senken auf Projektebene nicht erforderlich.
Weitere Informationen finden Sie auf den folgenden Seiten:
Wenn Sie eine Richtlinie für eingehenden oder ausgehenden Traffic für einen Dienstperimeter angeben, können Sie ANY_SERVICE_ACCOUNT und ANY_USER_ACCOUNT nicht als Identitätstyp verwenden, um Logs aus einer Cloud Logging-Senke in eine Cloud Storage-Ressource zu exportieren.
Verwenden Sie als Problemumgehung ANY_IDENTITY als Identitätstyp.
|
|
|
Status
|
GA: Diese Produktintegration wird von VPC Service Controls vollständig unterstützt.
|
Mit Perimeter schützen?
|
Ja. Sie können Ihre Perimeter so konfigurieren, dass sie diesen Dienst schützen.
|
Dienstname
|
monitoring.googleapis.com
|
Details
|
Die API für Cloud Monitoring kann durch VPC Service Controls geschützt werden und das Produkt kann innerhalb von Dienstperimetern normal verwendet werden.
Weitere Informationen zu Cloud Monitoring finden Sie in der Produktdokumentation.
|
Beschränkungen
|
Benachrichtigungskanäle, Benachrichtigungsrichtlinien und benutzerdefinierte Messwerte können zusammen zur Exfiltration von Daten und Metadaten verwendet werden. Derzeit kann ein Monitoring-Nutzer einen Benachrichtigungskanal einrichten, der auf eine Entität außerhalb der Organisation verweist, z. B. "baduser@badcompany.com". Der Nutzer richtet dann benutzerdefinierte Messwerte und entsprechende Benachrichtigungsrichtlinien ein, die den Benachrichtigungskanal nutzen. Durch Änderung der benutzerdefinierten Messwerte kann der Nutzer daher Warnungen auslösen und Benachrichtigungen zum Auslösen von Warnungen senden. Dabei werden sensible Daten außerhalb des VPC Service Controls-Perimeters an baduser@badcompany.com exfiltriert.
Alle Compute Engine- oder AWS-VMs mit installiertem Monitoring-Agent müssen sich innerhalb des VPC Service Controls-Perimeters befinden, da Schreibvorgänge von Agent-Messwerten sonst fehlschlagen.
Alle GKE-Pods müssen sich innerhalb des VPC Service Controls-Perimeters befinden, sonst funktioniert das GKE-Monitoring nicht.
Beim Abfragen von Messwerten für einen Messwertbereich wird nur der VPC Service Controls-Perimeter des für den Messwertbereich verantwortlichen Messprojekts berücksichtigt. Die Perimeter der einzelnen überwachten Projekte im Messwertbereich werden dabei nicht berücksichtigt.
Ein Projekt kann nur als überwachtes Projekt zu einem vorhandenen Messwertbereich hinzugefügt werden, wenn sich dieses Projekt im selben VPC Service Controls-Perimeter befindet wie das für den Messwertbereich verantwortliche Messprojekt.
Für den Zugriff auf Monitoring in der Google Cloud Console für ein Hostprojekt, das durch einen Dienstperimeter geschützt ist, verwenden Sie eine Regel für eingehenden Traffic.
|
|
|
Status
|
GA: Diese Produktintegration wird von VPC Service Controls vollständig unterstützt.
|
Mit Perimeter schützen?
|
Ja. Sie können Ihre Perimeter so konfigurieren, dass sie diesen Dienst schützen.
|
Dienstname
|
cloudprofiler.googleapis.com
|
Details
|
Die API für Cloud Profiler kann durch VPC Service Controls geschützt werden und das Produkt kann innerhalb von Dienstperimetern normal verwendet werden.
Weitere Informationen zu Cloud Profiler finden Sie in der Produktdokumentation.
|
Beschränkungen
|
Für das Einbinden von Cloud Profiler in VPC Service Controls gelten keine bekannten Einschränkungen.
|
|
|
Status
|
Vorschau. Die Einbindung dieses Produkts in VPC Service Controls befindet sich in der Vorschau und ist zum Testen und Verwenden bereit. In Produktionsumgebungen wird es jedoch nicht vollständig unterstützt.
|
Mit Perimeter schützen?
|
Ja. Sie können Ihre Perimeter so konfigurieren, dass sie diesen Dienst schützen.
|
Dienstname
|
timeseriesinsights.googleapis.com
|
Details
|
Die Timeseries Insights API kann durch VPC Service Controls geschützt werden und das Produkt kann innerhalb von Dienstperimetern normal verwendet werden.
Weitere Informationen zur Timeseries Insights API finden Sie in der Produktdokumentation.
|
Beschränkungen
|
Für die Einbindung der Timeseries Insights API in VPC Service Controls gibt es keine bekannten Einschränkungen.
|
|
|
Status
|
GA: Diese Produktintegration wird von VPC Service Controls vollständig unterstützt.
|
Mit Perimeter schützen?
|
Ja. Sie können Ihre Perimeter so konfigurieren, dass sie diesen Dienst schützen.
|
Dienstname
|
cloudtrace.googleapis.com
|
Details
|
Die API für Cloud Trace kann durch VPC Service Controls geschützt werden und das Produkt kann innerhalb von Dienstperimetern normal verwendet werden.
Weitere Informationen zu Cloud Trace finden Sie in der Produktdokumentation.
|
Beschränkungen
|
Für das Einbinden von Cloud Trace in VPC Service Controls gelten keine bekannten Einschränkungen.
|
|
|
Status
|
GA: Diese Produktintegration wird von VPC Service Controls vollständig unterstützt.
|
Mit Perimeter schützen?
|
Ja. Sie können Ihre Perimeter so konfigurieren, dass sie diesen Dienst schützen.
|
Dienstname
|
tpu.googleapis.com
|
Details
|
Die API für Cloud TPU kann durch VPC Service Controls geschützt werden und das Produkt kann innerhalb von Dienstperimetern normal verwendet werden.
Weitere Informationen zu Cloud TPU finden Sie in der Produktdokumentation.
|
Beschränkungen
|
Für das Einbinden von Cloud TPU in VPC Service Controls gelten keine bekannten Einschränkungen.
|
|
|
Status
|
GA: Diese Produktintegration wird von VPC Service Controls vollständig unterstützt.
|
Mit Perimeter schützen?
|
Ja. Sie können Ihre Perimeter so konfigurieren, dass sie diesen Dienst schützen.
|
Dienstname
|
language.googleapis.com
|
Details
|
Die API für Natural Language API kann durch VPC Service Controls geschützt werden und das Produkt kann innerhalb von Dienstperimetern normal verwendet werden.
Weitere Informationen zur Natural Language API finden Sie in der Produktdokumentation.
|
Beschränkungen
|
Für das Einbinden der Natural Language API in VPC Service Controls gelten keine bekannten Einschränkungen.
|
|
|
Status
|
GA: Diese Produktintegration wird von VPC Service Controls vollständig unterstützt.
|
Mit Perimeter schützen?
|
Ja. Sie können Ihre Perimeter so konfigurieren, dass sie diesen Dienst schützen.
|
Dienstname
|
networkconnectivity.googleapis.com
|
Details
|
Die API für Network Connectivity Center kann durch VPC Service Controls geschützt werden und das Produkt kann innerhalb von Dienstperimetern normal verwendet werden.
Weitere Informationen zum Network Connectivity Center finden Sie in der Produktdokumentation.
|
Beschränkungen
|
Für die Einbindung des Network Connectivity Centers in VPC Service Controls gelten keine bekannten Einschränkungen.
|
|
|
Status
|
GA: Diese Produktintegration wird von VPC Service Controls vollständig unterstützt.
|
Mit Perimeter schützen?
|
Ja. Sie können Ihre Perimeter so konfigurieren, dass sie diesen Dienst schützen.
|
Dienstname
|
cloudasset.googleapis.com
|
Details
|
Die Cloud Asset API kann durch VPC Service Controls geschützt werden und das Produkt kann innerhalb von Dienstperimetern normal verwendet werden.
Weitere Informationen zur Cloud Asset API finden Sie in der Produktdokumentation.
|
Beschränkungen
|
- VPC Service Controls unterstützt nicht den Zugriff auf Cloud Asset API-Ressourcen auf Ordner- oder Organisationsebene durch Ressourcen und Clients innerhalb eines Dienstperimeters. VPC Service Controls schützt Cloud Asset API-Ressourcen auf Projektebene. Sie können eine Richtlinie für ausgehenden Traffic festlegen, um den Zugriff auf Cloud Asset API-Ressourcen auf Projektebene von Projekten innerhalb des Perimeters zu verhindern.
- VPC Service Controls unterstützt nicht das Hinzufügen von Cloud Asset API-Ressourcen auf Ordner- oder Organisationsebene zu einem Dienstperimeter. Sie können keinen Perimeter verwenden, um Cloud Asset API-Ressourcen auf Ordner- oder Organisationsebene zu schützen. Zum Verwalten von Cloud Asset Inventory-Berechtigungen auf Ordner- oder Organisationsebene empfehlen wir die Verwendung von IAM.
- Sie können Assets auf Ordner- oder Organisationsebene nicht in Ziele innerhalb eines Dienstperimeters exportieren.
- Sie können keine Echtzeit-Feeds für Assets auf Ordner- oder Organisationsebene mit einem Pub/Sub-Thema innerhalb eines Dienstperimeters erstellen.
|
|
|
Status
|
GA: Diese Produktintegration wird von VPC Service Controls vollständig unterstützt.
|
Mit Perimeter schützen?
|
Ja. Sie können Ihre Perimeter so konfigurieren, dass sie diesen Dienst schützen.
|
Dienstname
|
speech.googleapis.com
|
Details
|
Die API für Speech-to-Text kann durch VPC Service Controls geschützt werden und das Produkt kann innerhalb von Dienstperimetern normal verwendet werden.
Weitere Informationen zu Speech-to-Text finden Sie in der Produktdokumentation.
|
Beschränkungen
|
Für die Einbindung von Speech-to-Text in VPC Service Controls gelten keine bekannten Einschränkungen.
|
|
|
Status
|
GA: Diese Produktintegration wird von VPC Service Controls vollständig unterstützt.
|
Mit Perimeter schützen?
|
Ja. Sie können Ihre Perimeter so konfigurieren, dass sie diesen Dienst schützen.
|
Dienstname
|
texttospeech.googleapis.com
|
Details
|
Die API für Text-to-Speech kann durch VPC Service Controls geschützt werden und das Produkt kann innerhalb von Dienstperimetern normal verwendet werden.
Weitere Informationen zu Text-to-Speech finden Sie in der Produktdokumentation.
|
Beschränkungen
|
Für die Einbindung von Text-to-Speech in VPC Service Controls gelten keine bekannten Einschränkungen.
|
|
|
Status
|
GA: Diese Produktintegration wird von VPC Service Controls vollständig unterstützt.
|
Mit Perimeter schützen?
|
Ja. Sie können Ihre Perimeter so konfigurieren, dass sie diesen Dienst schützen.
|
Dienstname
|
translate.googleapis.com
|
Details
|
Die API für Translation kann durch VPC Service Controls geschützt werden und das Produkt kann innerhalb von Dienstperimetern normal verwendet werden.
Weitere Informationen zu Translation finden Sie in der Produktdokumentation.
|
Beschränkungen
|
Cloud Translation Advanced (v3) unterstützt VPC Service Controls, aber nicht Cloud Translation – Basic (v2). Sie müssen Cloud Translation Advanced (v3) verwenden, um VPC Service Controls anzuwenden. Weitere Informationen zu den verschiedenen Versionen finden Sie unter Einfache und erweiterte Versionen vergleichen.
|
|
|
Status
|
GA: Diese Produktintegration wird von VPC Service Controls vollständig unterstützt.
|
Mit Perimeter schützen?
|
Ja. Sie können Ihre Perimeter so konfigurieren, dass sie diesen Dienst schützen.
|
Dienstname
|
transcoder.googleapis.com
|
Details
|
Die API für die Transcoder API kann durch VPC Service Controls geschützt werden und das Produkt kann innerhalb von Dienstperimetern normal verwendet werden.
Weitere Informationen zur Transcoder API finden Sie in der Produktdokumentation.
|
Beschränkungen
|
Die Transcoder API-Integration in VPC Service Controls hat keine bekannten Einschränkungen.
|
|
|
Status
|
Vorschau. Die Einbindung dieses Produkts in VPC Service Controls befindet sich in der Vorschau und ist zum Testen und Verwenden bereit. In Produktionsumgebungen wird es jedoch nicht vollständig unterstützt.
|
Mit Perimeter schützen?
|
Ja. Sie können Ihre Perimeter so konfigurieren, dass sie diesen Dienst schützen.
|
Dienstname
|
videostitcher.googleapis.com
|
Details
|
Die API für Video Stitcher API kann durch VPC Service Controls geschützt werden und das Produkt kann innerhalb von Dienstperimetern normal verwendet werden.
Weitere Informationen zur Video Stitcher API findest du in der Produktdokumentation.
|
Beschränkungen
|
Für die Einbindung der Video Stitcher API in VPC Service Controls gelten keine bekannten Einschränkungen.
|
|
|
Status
|
GA: Diese Produktintegration wird von VPC Service Controls vollständig unterstützt.
|
Mit Perimeter schützen?
|
Ja. Sie können Ihre Perimeter so konfigurieren, dass sie diesen Dienst schützen.
|
Dienstname
|
accessapproval.googleapis.com
|
Details
|
Die API für die Zugriffsgenehmigung kann durch VPC Service Controls geschützt werden und das Produkt kann innerhalb von Dienstperimetern normal verwendet werden.
Weitere Informationen zur Zugriffsgenehmigung finden Sie in der Produktdokumentation.
|
Beschränkungen
|
Für das Einbinden von Access Approval in VPC Service Controls gelten keine bekannten Einschränkungen.
|
|
|
Status
|
GA: Diese Produktintegration wird von VPC Service Controls vollständig unterstützt.
|
Mit Perimeter schützen?
|
Ja. Sie können Ihre Perimeter so konfigurieren, dass sie diesen Dienst schützen.
|
Dienstname
|
healthcare.googleapis.com
|
Details
|
Die API für die Cloud Healthcare API kann durch VPC Service Controls geschützt werden und das Produkt kann innerhalb von Dienstperimetern normal verwendet werden.
Weitere Informationen zur Cloud Healthcare API finden Sie in der Produktdokumentation.
|
Beschränkungen
|
Für das Einbinden der Cloud Healthcare API in VPC Service Controls gelten keine bekannten Einschränkungen.
|
|
|
Status
|
GA: Diese Produktintegration wird von VPC Service Controls vollständig unterstützt.
|
Mit Perimeter schützen?
|
Ja. Sie können Ihre Perimeter so konfigurieren, dass sie diesen Dienst schützen.
|
Dienstname
|
storagetransfer.googleapis.com
|
Details
|
Es wird empfohlen, das STS-Projekt im selben Dienstperimeter wie Ihre Cloud Storage-Ressourcen zu platzieren. So werden sowohl Ihre Übertragung als auch Ihre Cloud Storage-Ressourcen geschützt. Der Storage Transfer Service unterstützt mithilfe einer Richtlinie für ausgehenden Traffic auch Szenarien, in denen sich das Storage Transfer Service-Projekt nicht im selben Perimeter wie Ihre Cloud Storage-Buckets befindet.
Informationen zur Einrichtung finden Sie unter Storage Transfer Service mit VPC Service Controls verwenden.
Transfer Service for On Premises Data
Weitere Informationen und Einrichtungsinformationen zu lokalen Datenübertragungen finden Sie unter Lokale Datenübertragung mit VPC Service Controls verwenden.
Weitere Informationen zum Storage Transfer Service finden Sie in der Produktdokumentation.
|
Beschränkungen
|
- Transfer Service for On Premises Data bietet keinen Schutz für die VPC Service Controls API in der Google Cloud Console.
|
|
|
Status
|
GA: Diese Produktintegration wird von VPC Service Controls vollständig unterstützt.
|
Mit Perimeter schützen?
|
Ja. Sie können Ihre Perimeter so konfigurieren, dass sie diesen Dienst schützen.
|
Dienstname
|
servicecontrol.googleapis.com
|
Details
|
Die API für Service Control kann durch VPC Service Controls geschützt werden und das Produkt kann innerhalb von Dienstperimetern normal verwendet werden.
Weitere Informationen zu Service Control finden Sie in der Produktdokumentation.
|
Beschränkungen
|
- Wenn Sie die Service Control API aus einem VPC-Netzwerk in einem Dienstperimeter mit eingeschränkter Service Control aufrufen, können Sie die Service Control-Berichtsmethode nicht verwenden, um Abrechnungsmesswerte zu melden.
|
|
|
Status
|
GA: Diese Produktintegration wird von VPC Service Controls vollständig unterstützt.
|
Mit Perimeter schützen?
|
Ja. Sie können Ihre Perimeter so konfigurieren, dass sie diesen Dienst schützen.
|
Dienstname
|
redis.googleapis.com
|
Details
|
Die API für Memorystore for Redis kann durch VPC Service Controls geschützt werden und das Produkt kann innerhalb von Dienstperimetern normal verwendet werden.
Weitere Informationen zu Memorystore for Redis finden Sie in der Produktdokumentation.
|
Beschränkungen
|
Dienstperimeter schützen nur die Memorystore for Redis API. Perimeter schützen nicht den normalen Datenzugriff auf Memorystore for Redis-Instanzen im selben Netzwerk.
Wenn die Cloud Storage API ebenfalls geschützt ist, können Import- und Exportvorgänge von Memorystore for Redis nur in einen Cloud Storage-Bucket innerhalb des Dienstperimeters lesen und schreiben, in dem sich die Memorystore for Redis-Instanz befindet.
Wenn Sie sowohl eine freigegebene VPC als auch VPC Service Controls verwenden, benötigen Sie das Hostprojekt, das das Netzwerk und das Dienstprojekt mit der Redis-Instanz im selben Perimeter bereitstellt, damit Redis-Anfragen erfolgreich sind. Wenn Sie das Hostprojekt und das Dienstprojekt durch einen Perimeter trennen, können neben blockierten Anfragen auch jederzeit Fehler in der Redis-Instanz auftreten. Weitere Informationen finden Sie unter Konfigurationsanforderungen für Memorystore for Redis.
|
|
|
Status
|
GA: Diese Produktintegration wird von VPC Service Controls vollständig unterstützt.
|
Mit Perimeter schützen?
|
Ja. Sie können Ihre Perimeter so konfigurieren, dass sie diesen Dienst schützen.
|
Dienstname
|
memcache.googleapis.com
|
Details
|
Die API für Memorystore for Memcached kann durch VPC Service Controls geschützt werden und das Produkt kann innerhalb von Dienstperimetern normal verwendet werden.
Weitere Informationen zu Memorystore for Memcached finden Sie in der Produktdokumentation.
|
Beschränkungen
|
|
|
|
Status
|
GA: Diese Produktintegration wird von VPC Service Controls vollständig unterstützt.
|
Mit Perimeter schützen?
|
Ja. Sie können Ihre Perimeter so konfigurieren, dass sie diesen Dienst schützen.
|
Dienstname
|
servicedirectory.googleapis.com
|
Details
|
Die API für Service Directory kann durch VPC Service Controls geschützt werden und das Produkt kann innerhalb von Dienstperimetern normal verwendet werden.
Weitere Informationen zu Service Directory finden Sie in der Produktdokumentation.
|
Beschränkungen
|
Für das Einbinden von Service Directory in VPC Service Controls gelten keine bekannten Einschränkungen.
|
|
|
Status
|
Vorschau. Die Einbindung dieses Produkts in VPC Service Controls befindet sich in der Vorschau und ist zum Testen und Verwenden bereit. In Produktionsumgebungen wird es jedoch nicht vollständig unterstützt.
|
Mit Perimeter schützen?
|
Ja. Sie können Ihre Perimeter so konfigurieren, dass sie diesen Dienst schützen.
|
Dienstname
|
visualinspection.googleapis.com
|
Details
|
Zum vollständigen Schutz der Visual Inspection AI fügen Sie alle folgenden APIs in den Perimeter ein:
- Visual Inspection AI API (
visualinspection.googleapis.com )
- Vertex AI API (
aiplatform.googleapis.com )
- Cloud Storage API (
storage.googleapis.com )
- Artifact Registry API (
artifactregistry.googleapis.com )
- Container Registry API (
containerregistry.googleapis.com )
Weitere Informationen zu Visual Inspection AI finden Sie in der Produktdokumentation.
|
Beschränkungen
|
Für die Einbindung von Visual Inspection AI in VPC Service Controls gelten keine bekannten Einschränkungen.
|
|
|
Status
|
Vorschau. Die Einbindung dieses Produkts in VPC Service Controls befindet sich in der Vorschau und ist zum Testen und Verwenden bereit. In Produktionsumgebungen wird es jedoch nicht vollständig unterstützt.
|
Mit Perimeter schützen?
|
Nein. Die API für Transfer Appliance kann nicht durch Dienstperimeter geschützt werden.
Transfer Appliance kann jedoch normal in Projekten innerhalb eines Perimeters verwendet werden.
|
Details
|
Für Projekte, die VPC Service Controls verwenden, wird Transfer Appliance vollständig unterstützt.
Transfer Appliance bietet keine API und unterstützt daher keine API-bezogenen Features in VPC Service Controls.
Weitere Informationen zu Transfer Appliance finden Sie in der Produktdokumentation.
|
Beschränkungen
|
-
Wenn Cloud Storage durch VPC Service Controls geschützt wird, muss sich der Cloud KMS-Schlüssel, den Sie mit dem Transfer Appliance-Team gemeinsam nutzen, im selben Projekt wie der Cloud Storage-Ziel-Bucket befinden.
|
|
|
Status
|
GA: Diese Produktintegration wird von VPC Service Controls vollständig unterstützt.
|
Mit Perimeter schützen?
|
Ja. Sie können Ihre Perimeter so konfigurieren, dass sie diesen Dienst schützen.
|
Dienstname
|
orgpolicy.googleapis.com
|
Details
|
Die API für Organization Policy Service kann durch VPC Service Controls geschützt werden und das Produkt kann innerhalb von Dienstperimetern normal verwendet werden.
Weitere Informationen zu Organization Policy Service finden Sie in der Produktdokumentation.
|
Beschränkungen
|
VPC Service Controls unterstützt keine Zugriffsbeschränkungen für Organisationsrichtlinien auf Ordner- oder Organisationsebene, die vom Projekt übernommen werden.
VPC Service Controls schützt die Organization Policy Service API-Ressourcen auf Projektebene.
Wenn beispielsweise ein Nutzer durch eine Regel für eingehenden Traffic auf die Organization Policy Service API zugreift, erhält dieser Nutzer den Fehler 403, wenn er nach Organisationsrichtlinien sucht, die für das Projekt erzwungen werden. Der Nutzer kann jedoch weiterhin auf die Organisationsrichtlinien des Ordners und der Organisation zugreifen, die das Projekt enthält.
|
|
|
Status
|
GA: Diese Produktintegration wird von VPC Service Controls vollständig unterstützt.
|
Mit Perimeter schützen?
|
Ja. Sie können Ihre Perimeter so konfigurieren, dass sie diesen Dienst schützen.
|
Dienstname
|
oslogin.googleapis.com
|
Details
|
Sie können die OS Login API aus VPC Service Controls-Perimetern aufrufen. Für die Verwaltung von OS Login über VPC Service Controls-Perimeter richten Sie OS Login ein.
SSH-Verbindungen zu VM-Instanzen sind nicht durch VPC Service Controls geschützt.
Weitere Informationen zu OS Login finden Sie in der Produktdokumentation.
|
Beschränkungen
|
Die OS Login-Methoden zum Lesen und Schreiben von SSH-Schlüsseln erzwingen keine VPC Service Controls-Perimeter. Verwenden Sie über VPC zugängliche Dienste, um den Zugriff auf OS Login APIs zu deaktivieren.
|
|
|
Status
|
GA: Diese Produktintegration wird von VPC Service Controls vollständig unterstützt.
|
Mit Perimeter schützen?
|
Ja. Sie können Ihre Perimeter so konfigurieren, dass sie diesen Dienst schützen.
|
Dienstname
|
osconfig.googleapis.com
|
Details
|
Sie können die OS Config API aus VPC Service Controls-Perimetern aufrufen. Wenn Sie VM Manager innerhalb von VPC Service Controls-Perimetern verwenden möchten, richten Sie VM Manager ein.
Weitere Informationen zu VM Manager finden Sie in der Produktdokumentation.
|
Beschränkungen
|
Zum vollständigen Schutz von VM Manager müssen Sie alle folgenden APIs in Ihrem Perimeter einschließen:
- OS Config API (
osconfig.googleapis.com )
- Compute Engine API (
compute.googleapis.com )
- Container Analysis API (
containeranalysis.googleapis.com )
VM Manager hostet keine Paket- und Patchinhalte. OS Patch Management verwendet die Update-Tools für das Betriebssystem, die erfordern, dass Paketaktualisierungen und Patches auf der VM abgerufen werden können. Damit Patches funktionieren, müssen Sie möglicherweise Cloud NAT verwenden oder Ihr eigenes Package Repository oder Ihren Windows Server Update Service in Ihrer Virtual Private Cloud hosten.
|
|
|
Status
|
GA: Diese Produktintegration wird von VPC Service Controls vollständig unterstützt.
|
Mit Perimeter schützen?
|
Ja. Sie können Ihre Perimeter so konfigurieren, dass sie diesen Dienst schützen.
|
Dienstname
|
workflows.googleapis.com
|
Details
|
Workflows ist eine Orchestrierungsplattform, die Google Cloud-Dienste und HTTP-basierte APIs kombinieren kann, um Dienste in einer von Ihnen definierten Reihenfolge auszuführen.
Wenn Sie die Workflows API mit einem Dienstperimeter schützen, ist auch die Workflow Executions API geschützt. Sie müssen workflowexecutions.googleapis.com nicht separat zur Liste der geschützten Dienste Ihres Perimeters hinzufügen.
HTTP-Anfragen von einer Workflows-Ausführung werden so unterstützt:
- Authentifizierte Anfragen an VPC Service Controls-kompatible Google Cloud-Endpunkte sind zulässig.
- Anfragen an Cloud Functions- und Cloud Run-Dienstendpunkte sind zulässig.
- Anfragen an Endpunkte von Drittanbietern werden blockiert.
- Anfragen an nicht-VPC Service Controls-konforme Google Cloud-Endpunkte werden blockiert.
Weitere Informationen zu Workflows finden Sie in der Produktdokumentation.
|
Beschränkungen
|
Für das Einbinden von Workflows in VPC Service Controls gelten keine bekannten Einschränkungen.
|
|
|
Status
|
GA: Diese Produktintegration wird von VPC Service Controls vollständig unterstützt.
|
Mit Perimeter schützen?
|
Ja. Sie können Ihre Perimeter so konfigurieren, dass sie diesen Dienst schützen.
|
Dienstname
|
file.googleapis.com
|
Details
|
Die Filestore API kann durch VPC Service Controls geschützt werden und das Produkt kann innerhalb von Dienstperimetern normal verwendet werden.
Weitere Informationen zu Filestore finden Sie in der Produktdokumentation.
|
Beschränkungen
|
Dienstperimeter schützen nur die Filestore API. Perimeter schützen nicht den normalen Zugriff auf NFS-Daten auf Filestore-Instanzen innerhalb desselben Netzwerks.
Wenn Sie sowohl eine freigegebene VPC als auch VPC Service Controls verwenden, benötigen Sie das Hostprojekt, das das Netzwerk und das Dienstprojekt enthält, das die Filestore-Instanz im selben Perimeter enthält, damit die Filestore-Instanz ordnungsgemäß funktioniert. Wenn Sie das Hostprojekt und das Dienstprojekt durch einen Perimeter trennen, sind die vorhandenen Instanzen möglicherweise nicht mehr verfügbar und erstellen möglicherweise keine neuen Instanzen.
|
|
|
Status
|
GA: Diese Produktintegration wird von VPC Service Controls vollständig unterstützt.
|
Mit Perimeter schützen?
|
Ja. Sie können Ihre Perimeter so konfigurieren, dass sie diesen Dienst schützen.
|
Dienstname
|
containerthreatdetection.googleapis.com
|
Details
|
Die API für Container Threat Detection kann durch VPC Service Controls geschützt werden und das Produkt kann innerhalb von Dienstperimetern normal verwendet werden.
Weitere Informationen zu Container Threat Detection finden Sie in der Produktdokumentation.
|
Beschränkungen
|
Für das Einbinden von Container Threat Detection in VPC Service Controls gelten keine bekannten Einschränkungen.
|
|
|
Status
|
Vorschau. Die Einbindung dieses Produkts in VPC Service Controls befindet sich in der Vorschau und ist zum Testen und Verwenden bereit. In Produktionsumgebungen wird es jedoch nicht vollständig unterstützt.
|
Mit Perimeter schützen?
|
Ja. Sie können Ihre Perimeter so konfigurieren, dass sie diesen Dienst schützen.
|
Dienstname
|
adsdatahub.googleapis.com
|
Details
|
Weitere Informationen zu Ads Data Hub finden Sie in der Produktdokumentation.
|
Beschränkungen
|
Für Ads Data Hub und VPC Service Controls gelten unterschiedliche Nutzungsbedingungen. Weitere Informationen finden Sie in den Nutzungsbedingungen der einzelnen Produkte.
Bei bestimmten Funktionen von Ads Data Hub (z. B. benutzerdefinierte Zielgruppenaktivierung, benutzerdefinierte Gebote und LiveRamp-Match-Tables) müssen bestimmte Nutzerdaten außerhalb des Perimeters von VPC Service Controls exportiert werden. Wird Ads Data Hub als eingeschränkter Dienst hinzugefügt, werden die VPC Service Controls-Richtlinien für diese Funktionen umgangen, damit die Funktionen erhalten bleiben.
Alle abhängigen Dienste müssen als zulässige Dienste im selben VPC Service Controls-Perimeter enthalten sein. Da Ads Data Hub beispielsweise auf BigQuery basiert, muss auch BigQuery hinzugefügt werden. Im Allgemeinen empfiehlt VPC Service Controls, alle Dienste im Perimeter zu berücksichtigen, d. h. alle Dienste einzuschränken.
Kunden mit mehrstufigen Ads Data Hub-Kontostrukturen (z. B. Agenturen mit Tochterunternehmen) sollten alle ihre Administratorprojekte im selben Perimeter haben. Der Einfachheit halber empfiehlt Ads Data Hub, dass Kunden mit mehrstufigen Kontostrukturen ihre Administratorprojekte auf eine Google Cloud-Organisation beschränken.
|
|
|
Status
|
GA: Diese Produktintegration wird von VPC Service Controls vollständig unterstützt.
|
Mit Perimeter schützen?
|
Ja. Sie können Ihre Perimeter so konfigurieren, dass sie diesen Dienst schützen.
|
Dienstname
|
trafficdirector.googleapis.com, networkservices.googleapis.com, networksecurity.googleapis.com
|
Details
|
Die Traffic Director API kann durch VPC Service Controls geschützt werden und das Produkt kann innerhalb von Dienstperimetern normal verwendet werden.
Weitere Informationen zu Traffic Director finden Sie in der Produktdokumentation.
|
Beschränkungen
|
Für die Einbindung von Traffic Director in VPC Service Controls gelten keine bekannten Einschränkungen.
|
|
|
Status
|
GA: Diese Produktintegration wird von VPC Service Controls vollständig unterstützt.
|
Mit Perimeter schützen?
|
Ja. Sie können Ihre Perimeter so konfigurieren, dass sie diesen Dienst schützen.
|
Dienstname
|
sts.googleapis.com
|
Details
|
VPC Service Controls schränkt den Tokenaustausch nur dann ein, wenn die Zielgruppe in der Anfrage eine Ressource auf Projektebene ist. Beispielsweise werden Anfragen für herabgestufte Tokens nicht eingeschränkt, da diese Anfragen keine Zielgruppe haben. Anfragen für die Identitätsföderation von Mitarbeitern werden auch nicht eingeschränkt, da die Zielgruppe eine Ressource auf Organisationsebene ist.
Weitere Informationen zum Security Token Service finden Sie in der Produktdokumentation.
|
Beschränkungen
|
Für die Einbindung des Security Token Service in VPC Service Controls gelten keine bekannten Einschränkungen.
|
|
|
Status
|
GA: Diese Produktintegration wird von VPC Service Controls vollständig unterstützt.
|
Mit Perimeter schützen?
|
Ja. Sie können Ihre Perimeter so konfigurieren, dass sie diesen Dienst schützen.
|
Dienstname
|
firestore.googleapis.com, datastore.googleapis.com, firestorekeyvisualizer.googleapis.com
|
Details
|
Die Dienste firestore.googleapis.com , datastore.googleapis.com und firestorekeyvisualizer.googleapis.com sind gebündelt.
Wenn Sie den Dienst firestore.googleapis.com in einem Perimeter einschränken, beschränkt der Perimeter auch die Dienste datastore.googleapis.com und firestorekeyvisualizer.googleapis.com .
Um den Dienst datastore.googleapis.com einzuschränken, verwenden Sie den Dienstnamen firestore.googleapis.com .
Für den vollständigen Schutz vor ausgehendem Import und Export müssen Sie den Firestore-Dienst-Agent verwenden. Weitere Informationen finden Sie hier:
Weitere Informationen zu Firestore/Datastore finden Sie in der Produktdokumentation.
|
Beschränkungen
|
-
Import- und Exportvorgänge sind nur dann vollständig geschützt, wenn Sie den Firestore-Dienst-Agent verwenden. Weitere Informationen finden Sie hier:
-
Gebündelte Legacy-Dienste von App Engine für Datastore
unterstützen keine Dienstperimeter. Der Schutz des Datastore-Dienstes mit einem Dienstperimeter blockiert den Traffic von gebündelten Legacy-Diensten von App Engine. Zu den gebündelten Legacy-Diensten gehören:
|
|
|
Status
|
GA: Diese Produktintegration wird von VPC Service Controls vollständig unterstützt.
|
Mit Perimeter schützen?
|
Ja. Sie können Ihre Perimeter so konfigurieren, dass sie diesen Dienst schützen.
|
Dienstname
|
vmmigration.googleapis.com
|
Details
|
Die API für die Migration zu virtuellen Maschinen kann durch VPC Service Controls geschützt werden und das Produkt kann innerhalb von Dienstperimetern normal verwendet werden.
Weitere Informationen zu Migrate for Virtual Machines finden Sie in der Produktdokumentation.
|
Beschränkungen
|
Um die Migration zu virtuellen Maschinen vollständig zu schützen, fügen Sie dem Dienstperimeter alle folgenden APIs hinzu:
- Pub/Sub API (
pubsub.googleapis.com )
- Cloud Storage API (
storage.googleapis.com )
- Cloud Logging API (
logging.googleapis.com )
- Secret Manager API (
secretmanager.googleapis.com )
- Compute Engine API (
compute.googleapis.com )
Weitere Informationen finden Sie in der Dokumentation Zu virtuellen Maschinen migrieren.
|
|
|
Status
|
Vorschau. Die Einbindung dieses Produkts in VPC Service Controls befindet sich in der Vorschau und ist zum Testen und Verwenden bereit. In Produktionsumgebungen wird es jedoch nicht vollständig unterstützt.
|
Mit Perimeter schützen?
|
Ja. Sie können Ihre Perimeter so konfigurieren, dass sie diesen Dienst schützen.
|
Dienstname
|
gkebackup.googleapis.com
|
Details
|
Sie können VPC Service Controls zum Schutz von GKE-Sicherungen verwenden und die Sicherung von GKE-Features normalerweise innerhalb von Dienstperimetern verwenden.
Weitere Informationen zu Sicherungen für GKE finden Sie in der Produktdokumentation.
|
Beschränkungen
|
Für die Einbindung von GKE-Sicherungen in VPC Service Controls gelten keine bekannten Einschränkungen.
|
|
|
Status
|
Vorschau. Die Einbindung dieses Produkts in VPC Service Controls befindet sich in der Vorschau und ist zum Testen und Verwenden bereit. In Produktionsumgebungen wird es jedoch nicht vollständig unterstützt.
|
Mit Perimeter schützen?
|
Ja. Sie können Ihre Perimeter so konfigurieren, dass sie diesen Dienst schützen.
|
Dienstname
|
clouddebugger.googleapis.com
|
Details
|
Die API für Cloud Debugger kann durch VPC Service Controls geschützt werden und das Produkt kann innerhalb von Dienstperimetern normal verwendet werden.
Weitere Informationen zu Cloud Debugger finden Sie in der Produktdokumentation.
|
Beschränkungen
|
Für das Einbinden von Cloud Debugger in VPC Service Controls gelten keine bekannten Einschränkungen.
|
|
|
Status
|
GA: Diese Produktintegration wird von VPC Service Controls vollständig unterstützt.
|
Mit Perimeter schützen?
|
Ja. Sie können Ihre Perimeter so konfigurieren, dass sie diesen Dienst schützen.
|
Dienstname
|
retail.googleapis.com
|
Details
|
Die Retail API kann durch VPC Service Controls geschützt werden und das Produkt kann innerhalb von Dienstperimetern normal verwendet werden.
Weitere Informationen zur Retail API finden Sie in der Produktdokumentation.
|
Beschränkungen
|
Die Retail API-Integration in VPC Service Controls hat keine bekannten Einschränkungen.
|
|
|
Status
|
Vorschau. Die Einbindung dieses Produkts in VPC Service Controls befindet sich in der Vorschau und ist zum Testen und Verwenden bereit. In Produktionsumgebungen wird es jedoch nicht vollständig unterstützt.
|
Mit Perimeter schützen?
|
Ja. Sie können Ihre Perimeter so konfigurieren, dass sie diesen Dienst schützen.
|
Dienstname
|
integrations.googleapis.com
|
Details
|
Apigee Integration ist ein kollaboratives Workflow-Verwaltungssystem, mit dem Sie die Workflows von zentralen Systemen erstellen, erweitern, debuggen und verstehen können.
Die Workflows in der Apigee-Integration bestehen aus Triggern und Aufgaben.
Es gibt verschiedene Arten von Triggern, z. B. API-Trigger/Pub/Sub-Trigger/Cron-Trigger/Sfdc-Trigger.
Weitere Informationen zur Integration von Apigee finden Sie in der Produktdokumentation.
|
Beschränkungen
|
|
|
|
Status
|
GA: Diese Produktintegration wird von VPC Service Controls vollständig unterstützt.
|
Mit Perimeter schützen?
|
Ja. Sie können Ihre Perimeter so konfigurieren, dass sie diesen Dienst schützen.
|
Dienstname
|
clouderrorreporting.googleapis.com
|
Details
|
Die API für Error Reporting kann durch VPC Service Controls geschützt werden und das Produkt kann innerhalb von Dienstperimetern normal verwendet werden.
Weitere Informationen zu Error Reporting finden Sie in der Produktdokumentation.
|
Beschränkungen
|
Benachrichtigungen, die gesendet werden, wenn eine neue oder wiederkehrende Fehlergruppe gefunden wird, enthalten Informationen zur Fehlergruppe. Sorgen Sie dafür, dass sich Benachrichtigungskanäle in Ihrer Organisation befinden, um eine Daten-Exfiltration außerhalb des VPC Service Controls-Perimeters zu verhindern.
|
|
|
Status
|
Vorschau. Die Einbindung dieses Produkts in VPC Service Controls befindet sich in der Vorschau und ist zum Testen und Verwenden bereit. In Produktionsumgebungen wird es jedoch nicht vollständig unterstützt.
|
Mit Perimeter schützen?
|
Ja. Sie können Ihre Perimeter so konfigurieren, dass sie diesen Dienst schützen.
|
Dienstname
|
workstations.googleapis.com
|
Details
|
Die API für Cloud Workstations kann durch VPC Service Controls geschützt werden und das Produkt kann innerhalb von Dienstperimetern normal verwendet werden.
Weitere Informationen zu Cloud Workstations finden Sie in der Produktdokumentation.
|
Beschränkungen
|
- Für den vollständigen Schutz von Cloud Workstations müssen Sie die Compute Engine API in Ihrem Dienstperimeter einschränken, wenn Sie die Cloud Workstations API einschränken.
- Achten Sie darauf, dass die Google Cloud Storage API, die Google Container Registry API und die Artifact Registry API in Ihrem Dienstperimeter über VPC zugänglich sind. Dies ist erforderlich, um Images auf Ihre Workstation zu übertragen. Es wird außerdem empfohlen, dass die Cloud Logging API und die Cloud Error Reporting API in Ihrem Dienstperimeter über VPC zugänglich sind. Dies ist jedoch nicht erforderlich, um Cloud Workstations zu verwenden.
- Der Workstation-Cluster muss privat sein.
Durch das Konfigurieren eines privaten Clusters werden Verbindungen zu Ihren Workstations von außerhalb Ihres VPC-Dienstperimeters verhindert.
- Deaktivieren Sie öffentliche IP-Adressen in Ihrer Workstation-Konfiguration. Andernfalls werden in Ihrem Projekt VMs mit öffentlichen IP-Adressen erstellt. Wir empfehlen dringend, die Organisationsrichtlinien-Einschränkung
constraints/compute.vmExternalIpAccess zu verwenden, um öffentliche IP-Adressen für alle VMs in Ihrem VPC-Dienstperimeter zu deaktivieren. Weitere Informationen finden Sie unter Externe IP-Adressen auf bestimmte VMs beschränken.
- Die Zugriffssteuerung basiert nur darauf, ob das private Netzwerk, von dem aus Sie eine Verbindung herstellen, zum Sicherheitsperimeter gehört. Zugriffssteuerung basierend auf dem Gerät, der öffentlichen IP-Adresse oder dem Standort wird nicht unterstützt.
|
|
|
Status
|
GA: Diese Produktintegration wird von VPC Service Controls vollständig unterstützt.
|
Mit Perimeter schützen?
|
Ja. Sie können Ihre Perimeter so konfigurieren, dass sie diesen Dienst schützen.
|
Dienstname
|
ids.googleapis.com
|
Details
|
Die API für Cloud IDS kann durch VPC Service Controls geschützt werden und das Produkt kann innerhalb von Dienstperimetern normal verwendet werden.
Weitere Informationen zu Cloud IDS finden Sie in der Produktdokumentation.
|
Beschränkungen
|
Cloud IDS verwendet Cloud Logging, um Bedrohungslogs in Ihrem Projekt zu erstellen. Wenn Cloud Logging durch den Dienstperimeter eingeschränkt ist, blockiert VPC Service Controls die Cloud IDS-Bedrohungslogs, auch wenn Cloud IDS nicht als eingeschränkter Dienst zum Perimeter hinzugefügt wurde. Um Cloud IDS innerhalb eines Dienstperimeters zu verwenden, müssen Sie eine Regel für eingehenden Traffic für das Cloud Logging-Dienstkonto in Ihrem Dienstperimeter konfigurieren.
|
|
|
Status
|
Vorschau. Die Einbindung dieses Produkts in VPC Service Controls befindet sich in der Vorschau und ist zum Testen und Verwenden bereit. In Produktionsumgebungen wird es jedoch nicht vollständig unterstützt.
|
Mit Perimeter schützen?
|
Ja. Sie können Ihre Perimeter so konfigurieren, dass sie diesen Dienst schützen.
|
Dienstname
|
beyondcorp.googleapis.com
|
Details
|
Weitere Informationen zu BeyondCorp Enterprise finden Sie in der Produktdokumentation.
|
Beschränkungen
|
Für das Einbinden von BeyondCorp Enterprise in VPC Service Controls gelten keine bekannten Einschränkungen.
|
|
|
Status
|
Vorschau. Die Einbindung dieses Produkts in VPC Service Controls befindet sich in der Vorschau und ist zum Testen und Verwenden bereit. In Produktionsumgebungen wird es jedoch nicht vollständig unterstützt.
|
Mit Perimeter schützen?
|
Ja. Sie können Ihre Perimeter so konfigurieren, dass sie diesen Dienst schützen.
|
Dienstname
|
policytroubleshooter.googleapis.com
|
Details
|
Wenn Sie die Policy Troubleshooter API mit einem Perimeter einschränken, können Hauptkonten Probleme mit IAM-Zulassungsrichtlinien nur dann beheben, wenn sich alle an der Anfrage beteiligten Ressourcen im selben Perimeter befinden. In der Regel sind zwei Ressourcen an einer Anfrage zur Fehlerbehebung beteiligt:
-
Die Ressource, für die Sie den Zugriff beheben. Diese Ressource kann jeden Typ haben. Sie geben diese Ressource explizit an, wenn Sie Probleme mit einer Zulassungsrichtlinie beheben.
-
Die Ressource, die Sie zur Fehlerbehebung beim Zugriff verwenden. Diese Ressource ist ein Projekt, ein Ordner oder eine Organisation. In der Google Cloud Console und über die gcloud CLI wird diese Ressource aus dem ausgewählten Projekt, Ordner oder der ausgewählten Organisation abgeleitet. In der REST API geben Sie diese Ressource mit dem Header x-goog-user-project an.
Diese Ressource kann mit der Ressource übereinstimmen, für die Sie eine Fehlerbehebung durchführen, dies ist aber nicht zwingend erforderlich.
Wenn sich diese Ressourcen nicht im selben Perimeter befinden, schlägt die Anfrage fehl.
Weitere Informationen zur Richtlinien-Fehlerbehebung finden Sie in der Produktdokumentation.
|
Beschränkungen
|
Für die Einbindung der Richtlinien-Fehlerbehebung in VPC Service Controls gelten keine bekannten Einschränkungen.
|
|
|
Status
|
Vorschau. Die Einbindung dieses Produkts in VPC Service Controls befindet sich in der Vorschau und ist zum Testen und Verwenden bereit. In Produktionsumgebungen wird es jedoch nicht vollständig unterstützt.
|
Mit Perimeter schützen?
|
Ja. Sie können Ihre Perimeter so konfigurieren, dass sie diesen Dienst schützen.
|
Dienstname
|
policysimulator.googleapis.com
|
Details
|
Wenn Sie die Policy Simulator API mit einem Perimeter einschränken, können Hauptkonten nur Zulassungsrichtlinien simulieren, wenn sich bestimmte Ressourcen in der Simulation im selben Perimeter befinden. An einer Simulation sind mehrere Ressourcen beteiligt:
-
Die Ressource, deren Richtlinie zum Zulassen Sie zulassen. Diese Ressource wird auch als Zielressource bezeichnet. In der Google Cloud Console ist dies die Ressource, deren Richtlinie Sie zulassen möchten. In der gcloud CLI und der REST API geben Sie diese Ressource explizit an, wenn Sie eine Allow-Richtlinie simulieren.
-
Das Projekt, der Ordner oder die Organisation, das bzw. die die Simulation erstellt und ausführt. Diese Ressource wird auch als Hostressource bezeichnet. In der Google Cloud Console und über die gcloud CLI wird diese Ressource aus dem ausgewählten Projekt, Ordner oder der ausgewählten Organisation abgeleitet. In der REST API geben Sie diese Ressource mit dem Header x-goog-user-project an.
Diese Ressource kann mit der Ressource identisch sein, für die Sie den Zugriff simulieren. Dies ist jedoch nicht unbedingt erforderlich.
-
Die Ressource, die Zugriffslogs für die Simulation bereitstellt. In einer Simulation gibt es immer eine Ressource, die Zugriffslogs für die Simulation bereitstellt. Diese Ressource variiert je nach Zielressourcentyp:
- Wenn Sie eine Zulassungsrichtlinie für ein Projekt oder eine Organisation simulieren, ruft Policy Simulator die Zugriffslogs für dieses Projekt oder diese Organisation ab.
- Wenn Sie eine Zulassungsrichtlinie für einen anderen Ressourcentyp simulieren, ruft Policy Simulator die Zugriffslogs für das übergeordnete Projekt oder die übergeordnete Organisation dieser Ressource ab.
- Wenn Sie die Zulassungsrichtlinien mehrerer Ressourcen gleichzeitig simulieren, ruft der Richtliniensimulator die Zugriffslogs für das nächstgelegene gemeinsame Projekt oder die nächste Organisation ab.
-
Alle unterstützten Ressourcen mit relevanten Zulassungsrichtlinien.
Wenn Policy Simulator eine Simulation ausführt, werden alle Zulassungsrichtlinien berücksichtigt, die sich auf den Zugriff des Nutzers auswirken können, einschließlich Zulassungsrichtlinien für die Ancestor- und untergeordneten Ressourcen der Zielressource. Daher sind diese Ancestor- und Nachfolgeressourcen auch in Simulationen enthalten.
Wenn sich die Zielressource und die Hostressource nicht im selben Perimeter befinden, schlägt die Anfrage fehl.
Wenn sich die Zielressource und die Ressource, die Zugriffslogs für die Simulation bereitstellt, nicht im selben Perimeter befinden, schlägt die Anfrage fehl.
Wenn sich die Zielressource und einige unterstützte Ressourcen mit relevanten Allow-Richtlinien nicht im selben Perimeter befinden, sind die Anfragen erfolgreich, die Ergebnisse sind jedoch möglicherweise unvollständig. Wenn Sie beispielsweise eine Richtlinie für ein Projekt in einem Perimeter simulieren, enthalten die Ergebnisse nicht die Zulassungsrichtlinie der übergeordneten Organisation des Projekts, da sich Organisationen immer außerhalb der VPC Service Controls-Perimeter befinden. Um vollständigere Ergebnisse zu erhalten, können Sie Regeln für eingehenden und ausgehenden Traffic für den Perimeter konfigurieren.
Weitere Informationen zum Policy Simulator finden Sie in der Produktdokumentation.
|
Beschränkungen
|
Für das Einbinden des Richtliniensimulators in VPC Service Controls gelten keine bekannten Einschränkungen.
|
|
|
Status
|
Vorschau. Die Einbindung dieses Produkts in VPC Service Controls befindet sich in der Vorschau und ist zum Testen und Verwenden bereit. In Produktionsumgebungen wird es jedoch nicht vollständig unterstützt.
|
Mit Perimeter schützen?
|
Ja. Sie können Ihre Perimeter so konfigurieren, dass sie diesen Dienst schützen.
|
Dienstname
|
essentialcontacts.googleapis.com
|
Details
|
Die API für wichtige Kontakte kann durch VPC Service Controls geschützt werden und das Produkt kann innerhalb von Dienstperimetern normal verwendet werden.
Weitere Informationen zu „Wichtige Kontakte“ finden Sie in der Produktdokumentation.
|
Beschränkungen
|
Für das Einbinden wichtiger Kontakte in VPC Service Controls gelten keine bekannten Einschränkungen.
|
|
|
Status
|
Vorschau. Die Einbindung dieses Produkts in VPC Service Controls befindet sich in der Vorschau und ist zum Testen und Verwenden bereit. In Produktionsumgebungen wird es jedoch nicht vollständig unterstützt.
|
Mit Perimeter schützen?
|
Ja. Sie können Ihre Perimeter so konfigurieren, dass sie diesen Dienst schützen.
|
Dienstname
|
identitytoolkit.googleapis.com
|
Details
|
Die API für Identity Platform kann durch VPC Service Controls geschützt werden und das Produkt kann innerhalb von Dienstperimetern normal verwendet werden.
Weitere Informationen zur Identity Platform finden Sie in der Produktdokumentation.
|
Beschränkungen
|
Zum vollständigen Schutz der Identity Platform fügen Sie dem Dienstperimeter die Secure Token API (securetoken.googleapis.com ) hinzu, um die Tokenaktualisierung zuzulassen.
Wenn sich Ihre Anwendung auch in das Feature für Blockierfunktionen einbinden lässt, fügen Sie dem Dienstperimeter Cloud Functions (cloudfunctions.googleapis.com ) hinzu.
Wenn SMS-basierte Multi-Faktor-Authentifizierung (MFA), E-Mail-Authentifizierung oder Identitätsanbieter von Drittanbietern verwendet werden, werden Daten außerhalb des Perimeters gesendet. Wenn Sie MFA nicht für SMS, E-Mail-Authentifizierung oder externe Identitätsanbieter verwenden, deaktivieren Sie diese Funktionen.
|
|
|
Status
|
GA: Diese Produktintegration wird von VPC Service Controls vollständig unterstützt.
|
Mit Perimeter schützen?
|
Ja. Sie können Ihre Perimeter so konfigurieren, dass sie diesen Dienst schützen.
|
Dienstname
|
gkemulticloud.googleapis.com
|
Details
|
Die API für Anthos-Multi-Cloud kann durch VPC Service Controls geschützt werden und das Produkt kann innerhalb von Dienstperimetern normal verwendet werden.
Weitere Informationen zu Multi-Cloud von Anthos finden Sie in der Produktdokumentation.
|
Beschränkungen
|
Zum vollständigen Schutz der Identity Platform fügen Sie dem Dienstperimeter die Secure Token API (securetoken.googleapis.com ) hinzu, um die Tokenaktualisierung zuzulassen.
Wenn sich Ihre Anwendung auch in das Feature für Blockierfunktionen einbinden lässt, fügen Sie dem Dienstperimeter Cloud Functions (cloudfunctions.googleapis.com ) hinzu.
Wenn SMS-basierte Multi-Faktor-Authentifizierung (MFA), E-Mail-Authentifizierung oder Identitätsanbieter von Drittanbietern verwendet werden, werden Daten außerhalb des Perimeters gesendet. Wenn Sie MFA nicht für SMS, E-Mail-Authentifizierung oder externe Identitätsanbieter verwenden, deaktivieren Sie diese Funktionen.
|
|
|
Status
|
Vorschau. Die Einbindung dieses Produkts in VPC Service Controls befindet sich in der Vorschau und ist zum Testen und Verwenden bereit. In Produktionsumgebungen wird es jedoch nicht vollständig unterstützt.
|
Mit Perimeter schützen?
|
Ja. Sie können Ihre Perimeter so konfigurieren, dass sie diesen Dienst schützen.
|
Dienstname
|
publicca.googleapis.com
|
Details
|
Die API für öffentliche Zertifizierungsstellen kann durch VPC Service Controls geschützt werden und das Produkt kann innerhalb von Dienstperimetern normal verwendet werden.
Weitere Informationen zur öffentlichen Zertifizierungsstelle finden Sie in der Produktdokumentation.
|
Beschränkungen
|
Für das Einbinden von Public Certificate Authority in VPC Service Controls gelten keine bekannten Einschränkungen.
|
|