VPC Service Controls

構成証明トークンを検証するには、Confidential Space が Cloud Storage バケットから証明書をダウンロードする必要があります。これらのバケットが境界外にある場合は、次の下り（外向き）ルールを構成する必要があります。

- egressTo:
    operations:
      - serviceName: storage.googleapis.com
        methodSelectors:
          - method: google.storage.objects.get
    resources:
      - projects/870449385679
      - projects/180376494128
  egressFrom:
    identityType: ANY_IDENTITY

次の表に、必要な証明書を含むプロジェクトを示します。

プロジェクト ID プロジェクト番号 説明
cloud-shielded-ca-prod 870449385679 構成証明証明書を含むプロジェクト
cloud-shielded-ca-prod-root 180376494128 ルート証明書を含むプロジェクト

Compute Engine API がサービス境界で制限されている場合は、次の下り（外向き）ルールを作成する必要があります。

- egressTo:
    operations:
      - serviceName: compute.googleapis.com
        methodSelectors:
          - method: InstancesService.Insert
    resources:
      - projects/30229352718
  egressFrom:
    identityType: ANY_IDENTITY

次の表に、Confidential Space VM イメージの取得に必要なプロジェクトを示します。

プロジェクト ID プロジェクト番号 説明
confidential-space-images 30229352718 Confidential Space VM イメージを含むプロジェクト