本文档简要介绍了如何管理 VPC 网络和 VPC Service Controls。
您可以为每个 VPC 创建单独的边界 而不是为整个项目创建单个边界 托管项目例如，如果您的宿主项目包含单独的 VPC 网络 分别针对开发、测试和生产环境创建边界 开发、测试和生产广告联盟使用。
您还可以通过指定入站规则，允许从不在边界内的 VPC 网络访问边界内的资源。
下图显示了一个 VPC 网络宿主项目示例，以及如何为每个 VPC 网络应用不同的边界政策：
- VPC 网络宿主项目。宿主项目包含 VPC 网络 1 和 VPC 网络 2，每个网络分别包含虚拟机 A 和虚拟机 B。
- 服务边界。服务边界 SP1 和 SP2 包含 BigQuery 和 Cloud Storage 资源。由于 VPC 网络 1 已添加到边界 SP1，因此 VPC 网络 1 可以访问边界 SP1 中的资源，但无法访问边界 SP2 中的资源。由于 VPC 网络 2 已添加到边界 SP2，因此 VPC 网络 2 可以访问边界 SP2 中的资源，但无法访问边界 SP1 中的资源。
管理服务边界中的 VPC 网络
您可以执行以下任务来管理边界中的 VPC 网络：
- 将单个 VPC 网络添加到边界，而不是将整个托管项目添加到边界。
- 从边界中移除 VPC 网络。
- 通过指定入站流量政策，允许 VPC 网络访问边界内的资源。
- 从单个边界设置迁移到多个边界设置，并使用试运行模式测试迁移。
限制
在服务边界中管理 VPC 网络时，存在以下限制：
- 您无法将其他组织中的 VPC 网络添加到服务边界，也无法将其指定为入站来源。如需将其他组织中存在的 VPC 网络指定为入站来源，您必须拥有 (
roles/compute.networkViewer) 角色。 - 如果您删除了受边界保护的 VPC 网络， 重新创建具有相同名称（即服务边界）的 VPC 网络 不会保护您重新创建的 VPC 网络。我们建议 不要使用相同的名称重新创建 VPC 网络。要解决 请创建一个具有不同名称的 VPC 网络，并将 部署到边界
- 一个组织下 VPC 网络的数量上限为 500 个。
- 如果 VPC 网络具有自定义子网模式，但不存在任何子网， 则该 VPC 网络无法单独添加到 VPC Service Controls。 要将 VPC 网络添加到边界，VPC 网络 必须至少包含一个子网。