서비스 경계 내의 네트워크에서 액세스할 수 있는 서비스를 정의하려면 VPC 액세스 가능 서비스 기능을 사용합니다. VPC 액세스 서비스 기능은 서비스 경계 내의 네트워크 엔드 포인트에서 액세스할 수 있는 서비스 집합을 제한합니다.
VPC 액세스 가능 서비스 기능은 VPC 네트워크 엔드 포인트에서 Google API로의 트래픽에만 적용됩니다. 서비스 경계와 달리 VPC 액세스 서비스 기능은 특정 Google Cloud 서비스를 구현하는 데 사용되는 한 Google API 간의 통신이나 테넌시 유닛의 네트워크에는 적용되지 않습니다.
경계의 VPC 액세스 가능 서비스를 구성할 때 경계로 보호되는 모든 서비스를 자동으로 포함하는 RESTRICTED-SERVICES 값을 포함할 수 있을 뿐만 아니라 개별 서비스 목록을 지정할 수 있습니다.
my-authorized-compute-project 및 my-authorized-gcs-project라는 두 프로젝트가 포함된 서비스 경계 my-authorized-perimeter가 있다고 가정합니다.
경계는 Cloud Storage 서비스를 보호합니다.
my-authorized-gcs-project는 Cloud Storage, Bigtable 등을 포함하여 다양한 서비스를 사용합니다.
my-authorized-compute-project는 VPC 네트워크를 호스팅합니다.
두 프로젝트는 경계를 공유하므로 my-authorized-compute-project의 VPC 네트워크는 경계가 이러한 서비스를 보호하는지 여부에 관계없이 my-authorized-gcs-project의 서비스 리소스에 액세스할 수 있습니다. 하지만 VPC 네트워크는 my-authorized-gcs-project의 Cloud Storage 리소스에만 액세스할 수 있어야 합니다.
VPC 네트워크에 있는 VM의 사용자 인증 정보가 도용되면 이러한 VM을 사용하여 my-authorized-gcs-project에서 사용 가능한 모든 데이터의 데이터를 유출할 수 있다는 우려가 있습니다.
VPC 네트워크에서 VPC 서비스 제어가 지원하는 API로만 액세스를 제한하는 제한된 VIP를 사용하도록 VPC 네트워크를 이미 구성했습니다. 안타깝게도 VPC 네트워크가 my-authorized-gcs-project의 Bigtable 리소스와 같은 지원되는 서비스에 액세스하는 것을 방지하지 않습니다.
VPC 네트워크의 액세스를 스토리지 서비스로 제한하려면 VPC 액세스 가능 서비스를 사용 설정하고 storage.googleapis.com를 허용된 서비스로 설정합니다.
[[["이해하기 쉬움","easyToUnderstand","thumb-up"],["문제가 해결됨","solvedMyProblem","thumb-up"],["기타","otherUp","thumb-up"]],[["이해하기 어려움","hardToUnderstand","thumb-down"],["잘못된 정보 또는 샘플 코드","incorrectInformationOrSampleCode","thumb-down"],["필요한 정보/샘플이 없음","missingTheInformationSamplesINeed","thumb-down"],["번역 문제","translationIssue","thumb-down"],["기타","otherDown","thumb-down"]],["최종 업데이트: 2025-09-04(UTC)"],[],[],null,["# VPC accessible services\n\nTo define the services that can be accessed from a network inside your\nservice perimeter, use the *VPC accessible services* feature. The VPC accessible\nservices feature limits the set of services that are accessible from network\nendpoints inside your service perimeter.\n\nThe VPC accessible services feature applies only to traffic from your VPC\nnetwork endpoints to Google APIs. Unlike service perimeters, the VPC accessible\nservices feature does not apply to the communication from one Google API to\nanother, or the networks of [tenancy units](https://cloud.google.com/service-infrastructure/docs/glossary#tenancy), which are used to implement\ncertain Google Cloud services.\n\nWhen configuring VPC accessible services for a perimeter, you can specify a\nlist of individual services, as well as include the `RESTRICTED-SERVICES`\nvalue, which automatically includes all of the services protected by the\nperimeter.\n\nTo ensure access to the expected services is fully limited, you must:\n\n- Configure the perimeter to protect the same set of services that you want to\n make accessible.\n\n- Configure VPCs in the perimeter to [use the restricted VIP](/vpc-service-controls/docs/set-up-private-connectivity).\n\n- Use layer 3 firewalls.\n\nExample: VPC network with Cloud Storage access only\n---------------------------------------------------\n\nAssume you have a service perimeter, `my-authorized-perimeter`, that includes\ntwo projects: `my-authorized-compute-project` and `my-authorized-gcs-project`.\nThe perimeter protects the Cloud Storage service.\n\n`my-authorized-gcs-project` uses a number of services, including\nCloud Storage, Bigtable, and others.\n`my-authorized-compute-project` hosts a VPC network.\n\nBecause the two projects share a perimeter, the VPC network in\n`my-authorized-compute-project` has access to the resources of services in\n`my-authorized-gcs-project`, regardless of whether the perimeter protects those\nservices. However, you want your VPC network to only have\naccess to Cloud Storage resources in `my-authorized-gcs-project`.\n\nYou are concerned that if the credentials for a VM in your VPC network are\nstolen, an adversary could leverage that VM to exfiltrate data from any\navailable service in `my-authorized-gcs-project`.\n\nYou have already configured your VPC network to use the restricted VIP, which\nlimits access from your VPC network only to APIs that are supported by\nVPC Service Controls. Unfortunately, that doesn't prevent your VPC network\nfrom accessing supported services, such as the Bigtable resources\nin `my-authorized-gcs-project`.\n\nTo limit the VPC network's access to only the storage service, you enable\nVPC accessible services and set `storage.googleapis.com` as an allowed service: \n\n gcloud access-context-manager perimeters update my-authorized-perimeter \\\n --enable-vpc-accessible-services \\\n --add-vpc-allowed-services=storage.googleapis.com\n\nSuccess! The VPC network in `my-authorized-compute-project` is now limited to\naccessing only resources for the Cloud Storage service. This\nrestriction also applies to any projects and VPC networks you later add to the\nperimeter.\n\nWhat's next?\n------------\n\n- [Use VPC accessible services.](/vpc-service-controls/docs/manage-service-perimeters#accessible-services)"]]
