VPC Service Controls

VPC Service Controls 可讓組織定義 Google Cloud 資源的 perimeter，降低資料竊取風險。您可以使用 VPC Service Controls 建立 perimeter，保護您明確指定的服務資源和資料。

隨附 Cloud Firestore 服務

下列 API 在 VPC Service Controls 中會綁定在一起：

  • firestore.googleapis.com
  • datastore.googleapis.com
  • firestorekeyvisualizer.googleapis.com

在 perimeter 限制 firestore.googleapis.com 服務時，perimeter 也會限制 datastore.googleapis.com 和 firestorekeyvisualizer.googleapis.com 服務。

限制 datastore.googleapis.com 服務

datastore.googleapis.com 服務與 firestore.googleapis.com 服務綁定。如要限制 datastore.googleapis.com 服務，您必須按照下列方式限制 firestore.googleapis.com 服務：

  • 使用 Google Cloud 控制台建立 service perimeter 時，請新增 Cloud Firestore 做為受限制的服務。

  • 使用 Google Cloud CLI 建立 service perimeter 時，請使用 firestore.googleapis.com，而非 datastore.googleapis.com。

    --perimeter-restricted-services=firestore.googleapis.com

Datastore 的 App Engine 舊版隨附服務

App Engine 的 Datastore 舊版隨附服務不支援 service perimeter。使用 service perimeter 保護 Datastore 服務，會封鎖來自 App Engine 舊版隨附服務的流量。舊版隨附服務包括：

匯入和匯出作業的輸出保護

Cloud Firestore 支援 VPC Service Controls，但須額外設定，才能在匯入和匯出作業中獲得完整的輸出保護。您必須使用 Cloud Firestore 服務代理，而非預設的 App Engine 服務帳戶，來授權匯入和匯出作業。請按照下列操作說明，查看及設定匯入和匯出作業的授權帳戶。