為應用程式整合設定 VPC Service Controls

您可以使用 VPC Service Controls 定義應用程式整合 Google Cloud 服務的安全範圍。設定服務的安全範圍後，您就能限制虛擬私人雲端中的資料，並降低資料竊取風險。如果您不熟悉 VPC Service Controls，建議您參閱下列資訊：

本文說明如何為應用程式整合服務設定 VPC Service Controls 範圍。設定邊界後，您可以設定出入政策，決定哪些其他 Google Cloud 服務可以存取應用程式整合服務 (integrations.googleapis.com)，反之，應用程式整合服務也可以存取哪些服務。

事前準備

請確認您具備設定服務範圍的必要權限。如要查看設定 VPC Service Controls 時所需的 IAM 角色清單，請參閱 VPC Service Controls 說明文件中的「使用 IAM 進行存取權控管」。

建立 VPC 服務範圍

如要建立 VPC 服務範圍，您可以使用 Google Cloud console 或 gcloud 指令，或是 accessPolicies.servicePerimeters.create API。詳情請參閱「建立服務範圍」。如要使用 gcloud 指令建立 VPC Service Controls 範圍，並為使用者提供存取權，請執行下列指令：

gcloud access-context-manager perimeters create  \
    --title=PERIMETER_TITLE \
    --resources=projects/PROJECT_ID \
    --restricted-services=integrations.googleapis.com \

替換下列內容：

PERIMETER_TITLE：VPC Service Controls 範圍的名稱
PROJECT_ID：要新增 VPC Service Controls 範圍的專案

上述指令需要一段時間才能完成。使用應用程式整合服務時，VPC Service Controls 範圍會限制專案的整合服務。

如要允許任何 IP 位址、服務帳戶或使用者使用應用程式整合功能，請使用輸入和輸出規則。VPC Service Controls 會使用輸入和輸出規則，允許客戶和受服務範圍保護的資源進行存取。

為現有服務範圍新增輸出政策

如要為現有服務範圍新增出口政策，請使用 gcloud access-context-manager perimeters update 指令。舉例來說，下列指令會將 vpcsc-egress.yaml 檔案中定義的出口政策新增至名為 integrationPerimeter 的現有服務範圍：

gcloud access-context-manager perimeters update integrationPerimeter
    --set-egress-policies=vpcsc-egress.yaml

您也可以定義輸入政策，這與輸出政策類似。如要進一步瞭解如何指定輸入規則，請參閱「輸入規則參考資料」。

確認範圍

如要驗證範圍，請使用 gcloud access-context-manager perimeters describe PERIMETER_NAME 指令。例如，下列指令會說明 integrationPerimeter 周界：

gcloud access-context-manager perimeters describe integrationPerimeter

如要進一步瞭解如何管理服務範圍，請參閱「管理服務範圍」。

注意事項

如果您已為應用程式整合服務啟用 VPC 服務範圍，就無法在整合中使用下列工作：

後續步驟

瞭解 VPC Service Controls 如何保護您的資料。