בעזרת VPC Service Controls, ארגונים יכולים להגדיר גבולות גזרה מסביב למשאבים של Google Cloud כדי לצמצם את הסיכונים לזליגת נתונים. בעזרת VPC Service Controls, אתם יוצרים גבולות גזרה שמגינים על המשאבים והנתונים של שירותים שאתם מציינים באופן מפורש.
חבילת שירותים של Cloud Firestore
ממשקי ה-API הבאים מקובצים יחד ב-VPC Service Controls:
firestore.googleapis.comdatastore.googleapis.comfirestorekeyvisualizer.googleapis.com
כשמגבילים את השירות firestore.googleapis.com בהיקף, ההיקף מגביל גם את השירותים datastore.googleapis.com ו-firestorekeyvisualizer.googleapis.com.
הגבלת השירות datastore.googleapis.com
השירות datastore.googleapis.com נכלל בחבילה של השירות firestore.googleapis.com. כדי להגביל את השירות datastore.googleapis.com, צריך להגביל את השירות firestore.googleapis.com באופן הבא:
- כשיוצרים גבולות גזרה לשירות באמצעות מסוף Google Cloud, צריך להוסיף את Cloud Firestore בתור השירות המוגבל.
כשיוצרים גבולות גזרה לשירות באמצעות Google Cloud CLI, צריך להשתמש ב-
firestore.googleapis.comבמקום ב-datastore.googleapis.com.--perimeter-restricted-services=firestore.googleapis.com
App Engine חבילות שירות מדור קודם ב-Datastore
אי אפשר להשתמש בגבולות גזרה לשירות בחבילות שירות מדור קודם של App Engine ב-Datastore. הגנה על השירות Datastore באמצעות גבולות גזרה לשירות חוסמת את תעבורת הנתונים מחבילות השירות מהדור הקודם של App Engine. חבילות השירותים מדור קודם כוללות את:
- Java 8 Datastore עם ממשקי API של App Engine
- ספריית הלקוח Python 2 NDB ל-Datastore
- Go 1.11 Datastore עם ממשקי API של App Engine
הגנה על תעבורת נתונים יוצאת בפעולות ייבוא וייצוא
Cloud Firestore תומך ב-VPC Service Controls, אבל צריך להגדיר אותו כדי לקבל הגנה מלאה על תעבורת הנתונים היוצאת (egress) בפעולות ייבוא וייצוא. כדי לאשר פעולות ייבוא וייצוא, צריך להשתמש בסוכן השירות Cloud Firestore במקום בחשבון השירות שמוגדר כברירת מחדל App Engine. כדי לראות ולהגדיר את החשבון המורשה לפעולות ייבוא וייצוא, צריך לפעול לפי ההוראות הבאות.