VPC Service Controls を使用してサービス境界を設定する

VPC Service Controls は、サービス境界の設定とデータ転送の境界の作成を可能にする Google Cloud の機能です。Eventarc で VPC Service Controls を使用すると、サービスを保護できます。

サービス境界を作成する際は、すべてのサービスを保護することをおすすめします。

Eventarc Advanced

• サービス境界外の Eventarc Advanced バスは、境界内の Google Cloud プロジェクトからイベントを受信できません。境界内の Eventarc Advanced バスは、境界外のコンシューマーにイベントを転送できません。

  • Eventarc Advanced バスにパブリッシュするには、イベントのソースがバスと同じサービス境界内にある必要があります。
  • メッセージを使用するには、イベント コンシューマーがバスと同じサービス境界内にある必要があります。

• 上り（内向き）のプラットフォーム ログを表示すると、Enrollment、GoogleApiSource、MessageBus、Pipeline リソースに対する VPC Service Controls のサポートを確認できます。

Eventarc Standard

• サービス境界で保護されているプロジェクトでは、Eventarc Standard に Pub/Sub と同じ制限が適用されます。

  • イベントを Cloud Run の宛先に転送する場合、push エンドポイントがデフォルトの run.app URL に設定されていると、新しい Pub/Sub push サブスクリプションしか作成できません。カスタム ドメインは動作しません。

  • Pub/Sub push エンドポイントが Workflows 実行に設定されている Workflows の宛先にイベントを転送する場合、新しい Pub/Sub push サブスクリプションは Eventarc 経由でのみ作成できます。Workflows エンドポイントの push 認証に使用するサービス アカウントは、サービス境界内に配置する必要があります。

• VPC Service Controls は、内部 HTTP エンドポイントの Eventarc トリガーの作成をブロックします。このような宛先にイベントをルーティングする場合、VPC Service Controls の保護は適用されません。

次のステップ

• VPC Service Controls の詳細を確認する。概要とサポートされているプロダクトと制限事項をご覧ください。

• VPC Service Controls を有効にするためのベスト プラクティスを確認する。VPC Service Controls の有効化に関するベスト プラクティスをご覧ください。

• サービス境界を設計する際のベスト プラクティスを確認する。サービス境界の設計と構築をご覧ください。

• サービス境界を設定するには、サービス境界を作成するをご覧ください。