支援的產品和限制

如要進一步瞭解 Infrastructure Manager，請參閱產品說明文件。

如要在 VPC Service Controls 範圍內使用 Workload Manager，請按照下列步驟操作：

• 您必須在 Workload Manager 中，為部署環境使用 Cloud Build 私人工作站集區。您無法使用預設的 Cloud Build 工作站集區。
• Cloud Build 私人集區必須啟用公開網際網路呼叫，才能下載 Terraform 設定。

詳情請參閱 Workload Manager 說明文件中的「 使用 Cloud Build 私有工作站集區」。

如要進一步瞭解 Workload Manager，請參閱產品說明文件。

Google Cloud NetApp Volumes 的 API 可受到 VPC Service Controls 保護，且產品可在服務範圍內正常使用。

如要進一步瞭解 Google Cloud NetApp Volumes，請參閱產品說明文件。

Google Cloud Search 支援虛擬私有雲安全控管機制 (VPC Service Controls)，可強化資料安全性。您可以透過 VPC Service Controls 定義 Google Cloud Platform 資源的安全範圍，藉此限制資料，並降低資料竊取風險。

如要進一步瞭解 Google Cloud Search，請參閱產品說明文件。

連線測試的 API 可受到 VPC Service Controls 保護，且產品可在服務範圍內正常使用。

如要進一步瞭解連線能力測試，請參閱產品說明文件。

Connectivity Tests 與 VPC Service Controls 整合時，沒有已知限制。

VPC Service Controls 支援線上預測，但不支援批次預測。

如要進一步瞭解 AI Platform Prediction，請參閱產品說明文件。

VPC Service Controls 可保護 AI Platform Training 的 API，且產品可在服務範圍內正常使用。

如要進一步瞭解 AI Platform Training，請參閱產品說明文件。

VPC Service Controls 範圍可保護 AlloyDB API。

如要進一步瞭解 PostgreSQL 適用的 AlloyDB，請參閱產品說明文件。

• 服務範圍只會保護 AlloyDB for PostgreSQL Admin API。這類規則不會保護對基礎資料庫 (例如 AlloyDB for PostgreSQL 執行個體) 的 IP 型資料存取。如要限制 AlloyDB for PostgreSQL 執行個體的公開 IP 存取權，請使用機構政策限制。
• 為 PostgreSQL 適用的 AlloyDB 設定 VPC Service Controls 前，請先啟用 Service Networking API。
• 搭配共用虛擬私有雲和 VPC Service Controls 使用 AlloyDB for PostgreSQL 時，主專案和服務專案必須位於同一個 VPC Service Controls 服務範圍內。

Vertex AI Workbench 的 API 可受到 VPC Service Controls 保護，且產品可在服務範圍內正常使用。

如要進一步瞭解 Vertex AI Workbench，請參閱產品說明文件。

Vertex AI 的 API 可受到 VPC Service Controls 保護，且產品可在服務範圍內正常使用。

請參閱 Colab Enterprise。

如要進一步瞭解 Vertex AI，請參閱產品說明文件。

Vertex AI Vision 的 API 可受到 VPC Service Controls 保護，且產品可在服務範圍內正常使用。

如要進一步瞭解 Vertex AI Vision，請參閱產品說明文件。

VPC Service Controls 可保護 Vertex AI in Firebase 的 API，且產品可在服務範圍內正常使用。

如要進一步瞭解 Firebase 適用的 Vertex AI，請參閱產品說明文件。

Colab Enterprise 的 API 可受到 VPC Service Controls 保護，且產品可在服務範圍內正常使用。

Colab Enterprise 是 Vertex AI 的一部分。 請參閱 Vertex AI。

Colab Enterprise 會使用 Dataform 儲存筆記本。 請參閱「Dataform」。

如要進一步瞭解 Colab Enterprise，請參閱產品說明文件。

Apigee 和 Apigee Hybrid 的 API 可受到 VPC Service Controls 保護，且產品可在服務範圍內正常使用。

如要進一步瞭解 Apigee 和 Apigee Hybrid，請參閱產品說明文件。

Apigee API 中心的 API 可受到 VPC Service Controls 保護，且產品可在服務範圍內正常使用。

如要進一步瞭解 Apigee API 中心，請參閱產品說明文件。

如要進一步瞭解 BigQuery 共用功能，請參閱產品說明文件。

Cloud Service Mesh 的 API 可受到 VPC Service Controls 保護，且產品可在服務範圍內正常使用。

您可以使用 mesh.googleapis.com 啟用 Cloud Service Mesh 的必要 API。 您不需要限制範圍內的 mesh.googleapis.com，因為這項服務不會公開任何 API。

• 瞭解如何為 Cloud Service Mesh (代管型) 設定 VPC Service Controls。
• 瞭解如何將 Cloud Service Mesh 服務新增至服務安全防護範圍。

如要進一步瞭解 Cloud Service Mesh，請參閱產品說明文件。

Cloud Service Mesh 與 VPC Service Controls 整合時，沒有已知限制。

除了保護 Artifact Registry API 之外，Artifact Registry 也可搭配 GKE 和 Compute Engine，在服務安全防護範圍內使用。

如要進一步瞭解 Artifact Registry，請參閱產品說明文件。

VPC Service Controls 可保護 Assured Open Source Software 的 API，且產品可在服務範圍內正常使用。

如要進一步瞭解 Assured Open Source Software，請參閱產品說明文件。

Assured Open Source Software 與 VPC Service Controls 整合時，沒有已知限制。

Assured Workloads 的 API 可受到 VPC Service Controls 保護，且產品可在服務範圍內正常使用。

如要進一步瞭解 Assured Workloads，請參閱產品說明文件。

Assured Workloads 與 VPC Service Controls 整合後，目前沒有已知限制。

如要全面保護 AutoML API，請在周邊防護範圍內納入下列所有 API：

• AutoML API (automl.googleapis.com)
• Cloud Storage API (storage.googleapis.com)
• Compute Engine API (compute.googleapis.com)
• BigQuery API (bigquery.googleapis.com)

如要進一步瞭解 AutoML Translation，請參閱產品說明文件。

Bare Metal 解決方案 API 可新增至安全周邊。不過，VPC Service Controls 服務範圍不會擴及區域擴充功能中的 Bare Metal Solution 環境。

如要進一步瞭解 Bare Metal Solution，請參閱產品說明文件。

將 VPC Service Controls 連線至 Bare Metal Solution 環境，不會維持任何服務控制保證。

如要進一步瞭解 VPC Service Controls 對 Bare Metal Solution 的限制，請參閱已知問題和限制。

Batch 的 API 可受到 VPC Service Controls 保護，且產品可在服務範圍內正常使用。

如要進一步瞭解 Batch，請參閱產品說明文件。

BigLake 中繼資料存放區的 API 可受 VPC Service Controls 保護，且產品可在服務範圍內正常使用。

如要進一步瞭解 BigLake 中繼存放區，請參閱產品說明文件。

BigLake Metastore 與 VPC Service Controls 整合時，沒有已知限制。

如果您使用服務範圍保護 BigQuery API，BigQuery Storage API (bigquerystorage.googleapis.com)、BigQuery Reservation API (bigqueryreservation.googleapis.com) 和 BigQuery Connection API (bigqueryconnection.googleapis.com) 也會受到保護。您不必在範圍的保護服務清單中另外新增這些 API。

如要進一步瞭解 BigQuery，請參閱產品說明文件。

BigQuery Data Policy API 可受 VPC Service Controls 保護，且產品可在服務範圍內正常使用。

如要進一步瞭解 BigQuery Data Policy API，請參閱產品說明文件。

BigQuery Data Policy API 與 VPC Service Controls 整合後，目前沒有已知限制。

服務範圍只會保護 BigQuery 資料移轉服務 API。實際的資料保護措施是由 BigQuery 強制執行。這項服務的設計宗旨，是允許從 Google Cloud 以外的各種外部來源 (例如 Amazon S3、Redshift、Teradata、YouTube、Google Play 和 Google Ads) 將資料匯入 BigQuery 資料集。如要瞭解從 Teradata 移轉資料的 VPC Service Controls 需求，請參閱「VPC Service Controls 需求」。

如要進一步瞭解 BigQuery 資料移轉服務，請參閱產品說明文件。

BigQuery Migration API 可受 VPC Service Controls 保護，且可在服務範圍內正常使用。

如要進一步瞭解 BigQuery Migration API，請參閱產品說明文件。

BigQuery Migration API 與 VPC Service Controls 整合時，沒有已知限制。

bigtable.googleapis.com 和 bigtableadmin.googleapis.com 服務會綁在一起。在範圍中限制 bigtable.googleapis.com 服務時，範圍會預設限制 bigtableadmin.googleapis.com 服務。您無法將 bigtableadmin.googleapis.com 服務新增至範圍的受限制服務清單，因為該服務與 bigtable.googleapis.com 綁定。

如要進一步瞭解 Bigtable，請參閱產品說明文件。

Bigtable 與 VPC Service Controls 整合時，沒有已知限制。

使用多個專案搭配 Binary Authorization 時，每個專案都必須納入 VPC Service Controls 範圍。如要進一步瞭解這個應用情境，請參閱「多專案設定」。

使用二進位授權時，您可以透過構件分析功能，將驗證者和認證分別儲存為附註和出現次數。在這種情況下，您也必須將 Artifact Analysis 納入 VPC Service Controls 範圍。詳情請參閱 Artifact Analysis 的 VPC Service Controls 指引。

如要進一步瞭解二進位授權，請參閱產品說明文件。

Binary Authorization 與 VPC Service Controls 整合時，沒有已知限制。

Blockchain Node Engine 的 API 可受 VPC Service Controls 保護，並在服務範圍內正常使用。

如要進一步瞭解 Blockchain Node Engine，請參閱產品說明文件。

憑證授權單位服務的 API 可受到 VPC Service Controls 保護，且產品可在服務範圍內正常使用。

如要進一步瞭解 Certificate Authority Service，請參閱產品說明文件。

如要搭配 VPC Service Controls 使用 Config Controller，您必須在範圍內啟用下列 API：

• Cloud Monitoring API (monitoring.googleapis.com)
• Container Registry API (containerregistry.googleapis.com)
• Google Cloud Observability API (logging.googleapis.com)
• Security Token Service API (sts.googleapis.com)
• Cloud Storage API (storage.googleapis.com)

如果您使用 Config Controller 佈建資源，就必須在服務範圍內啟用這些資源的 API。舉例來說，如要新增 IAM 服務帳戶，必須新增 IAM API (iam.googleapis.com)。

如要進一步瞭解 Config Controller，請參閱產品說明文件。

Config Controller 與 VPC Service Controls 整合時，沒有已知限制。

如要進一步瞭解 Data Catalog，請參閱產品說明文件。

Data Catalog 與 VPC Service Controls 整合時，沒有已知限制。

您必須採取一些特殊步驟，才能使用 VPC Service Controls 保護 Cloud Data Fusion。

如要進一步瞭解 Cloud Data Fusion，請參閱產品說明文件。

資料沿革 API 的 API 可受到 VPC Service Controls 保護，且產品可在服務範圍內正常使用。

如要進一步瞭解 Data Lineage API，請參閱產品說明文件。

Data Lineage API 與 VPC Service Controls 整合時，沒有已知限制。

Compute Engine 的 VPC Service Controls 支援提供下列安全性優勢：

• 限制存取機密 API 作業
• 將永久磁碟快照和自訂映像檔限制在周邊內
• 限制執行個體中繼資料的存取權

VPC Service Controls 支援 Compute Engine，讓您可在服務範圍內，利用虛擬私有雲網路和 Google Kubernetes Engine 私人叢集。

如要進一步瞭解 Compute Engine，請參閱產品說明文件。

如要搭配 VPC Service Controls 使用 Conversational Insights，您必須在範圍內加入下列額外 API (視整合方式而定)。

• 如要將資料載入 Conversational Insights，請將 Cloud Storage API 新增至服務範圍。

• 如要使用「匯出」，請將 BigQuery API 新增至服務周邊。

• 如要整合多項 CCAI 產品，請將 Vertex AI API 新增至服務範圍。

如要進一步瞭解對話深入分析，請參閱產品說明文件。

Conversational Insights 與 VPC Service Controls 整合後，目前沒有已知限制。

Dataflow 支援多種 儲存服務連接器。經驗證，下列連接器可在服務周邊內與 Dataflow 搭配運作：

• Cloud Storage (Java 、 Python )
• BigQuery (Java、Python )
• Pub/Sub ( Java 、 Python )
• Bigtable (Java )
• Spanner (Java )

如要進一步瞭解 Dataflow，請參閱產品說明文件。

• 使用 Dataflow 時，系統不支援自訂 BIND。如要在搭配使用 Dataflow 和 VPC Service Controls 時自訂 DNS 解析，請使用 Cloud DNS 不公開區域，而非自訂 BIND 伺服器。如要使用自己的內部部署 DNS 解析，請考慮採用Google Cloud DNS 轉送方法。

• 垂直自動調度無法受到 VPC Service Controls 範圍保護。如要在 VPC Service Controls 範圍內使用垂直自動調整功能，請停用 虛擬私有雲可存取的服務功能。

• 如果您啟用 Dataflow Prime，並在 VPC Service Controls 範圍內啟動新工作，該工作會使用不含垂直自動調度資源的 Dataflow Prime。

• 並非所有儲存空間服務連接器都已通過驗證，可與服務範圍內的 Dataflow 搭配使用。如需已驗證的連結器清單，請參閱上一節的「詳細資料」。

• 如果搭配使用 Python 3.5 與 Apache Beam SDK 2.20.0 至 2.22.0 版，且工作站只有私人 IP 位址 (例如使用 VPC Service Controls 保護資源時)，Dataflow 工作會在啟動時失敗。如果 Dataflow 工作人員只能使用私人 IP 位址 (例如使用 VPC Service Controls 保護資源時)，請勿搭配使用 Python 3.5 和 Apache Beam SDK 2.20.0 至 2.22.0。這項組合會導致工作在啟動時失敗。 <0x0

Dataplex Universal Catalog 的 API 可受到 VPC Service Controls 保護，且產品可在服務範圍內正常使用。

如要進一步瞭解 Dataplex Universal Catalog，請參閱產品說明文件。

您必須採取特殊步驟，才能使用 VPC Service Controls 保護 Dataproc。

如要進一步瞭解 Dataproc，請參閱產品說明文件。

如要使用服務範圍保護 Dataproc 叢集，請按照這篇文章的指示操作。

您必須採取特殊步驟，才能使用 VPC Service Controls 保護 Dataproc Serverless。

如要進一步瞭解 Dataproc Serverless for Spark，請參閱產品說明文件。

如要使用服務範圍保護無伺服器工作負載，請按照「Dataproc Serverless 和 VPC Service Controls 網路」的指示操作。

Dataproc Metastore 的 API 可受到 VPC Service Controls 保護，且產品可在服務範圍內正常使用。

如要進一步瞭解 Dataproc Metastore，請參閱產品說明文件。

Dataproc Metastore 與 VPC Service Controls 整合時，沒有已知限制。

Datastream 的 API 可受到 VPC Service Controls 保護，且產品可在服務範圍內正常使用。

如要進一步瞭解 Datastream，請參閱產品說明文件。

Datastream 與 VPC Service Controls 整合時，沒有已知限制。

VPC Service Controls 可保護 Database Center 的 API，且產品可在服務範圍內正常使用。

如要進一步瞭解資料庫中心，請參閱產品說明文件。

VPC Service Controls 不支援從服務範圍內的資源和用戶端，存取資料夾層級或機構層級的 Cloud Asset API 資源。VPC Service Controls 可保護專案層級的 Cloud Asset API 資源。您可以指定輸出政策，允許範圍內的專案存取專案層級的 Cloud Asset API 資源。如要在資料夾或機構層級管理資料庫中心權限，建議使用 IAM。

Database Insights API 的 API 可受到 VPC Service Controls 保護，且產品可在服務範圍內正常使用。

如要進一步瞭解 Database Insights API，請參閱產品說明文件。

Database Insights API 與 VPC Service Controls 整合時，沒有已知限制。

Database Migration Service 的 API 可受到 VPC Service Controls 保護，且產品可在服務範圍內正常使用。

如要進一步瞭解資料庫移轉服務，請參閱產品說明文件。

Dialogflow 的 API 可受到 VPC Service Controls 保護，且產品可在服務範圍內正常使用。

如要進一步瞭解 Dialogflow，請參閱產品說明文件。

Agent Assist 的 API 可受到 VPC Service Controls 保護，且產品可在服務範圍內正常使用。

如要進一步瞭解 Agent Assist，請參閱產品說明文件。

機密資料保護 API 可受到 VPC Service Controls 保護，且產品可在服務範圍內正常使用。

如要進一步瞭解 Sensitive Data Protection，請參閱產品說明文件。

Cloud DNS 的 API 可受到 VPC Service Controls 保護，且產品可在服務範圍內正常使用。

如要進一步瞭解 Cloud DNS，請參閱產品說明文件。

• 您可以透過受限 VIP 存取 Cloud DNS。不過，您無法在 VPC Service Controls 範圍內的專案中，建立或更新公開 DNS 區域。

Document AI 的 API 可受到 VPC Service Controls 保護，且產品可在服務範圍內正常使用。

如要進一步瞭解 Document AI，請參閱產品說明文件。

Document AI 與 VPC Service Controls 整合時，沒有已知限制。

Document AI Warehouse 的 API 可受到 VPC Service Controls 保護，且產品可在服務範圍內正常使用。

如要進一步瞭解 Document AI 倉儲，請參閱產品說明文件。

Document AI Warehouse 與 VPC Service Controls 整合後，目前沒有已知限制。

Cloud Domains 的 API 可受到 VPC Service Controls 保護，且產品可在服務範圍內正常使用。

如要進一步瞭解 Cloud Domains，請參閱產品說明文件。

• Cloud Domains 使用的聯絡資料可能會與網域結尾或頂層網域 (TLD) 註冊機構共用，並可能根據您的設定，透過 WHOIS/RDAP 公開存取，但會遵守 ICANN 規則。詳情請參閱「隱私權保護」。

• Cloud Domains 使用的 DNS 設定資料 (名稱伺服器和 DNSSEC 設定) 為公開資訊。如果網域委派給公用 DNS 區域 (預設)，該區域的 DNS 設定資料也會公開。

服務範圍外的 Eventarc Advanced 匯流排無法接收範圍內專案的事件。 Google Cloud 在安全範圍內的 Eventarc Advanced 匯流排，無法將事件轉送至安全範圍外的消費者。

• 如要發布至 Eventarc Advanced 匯流排，事件來源必須與匯流排位於相同的服務安全防護範圍內。
• 如要取用訊息，事件消費者必須與匯流排位於同一個服務安全防護範圍內。

如要進一步瞭解 Eventarc Advanced，請參閱產品說明文件。

Eventarc Standard 會使用 Pub/Sub 主題和推送訂閱項目處理事件傳送作業。如要存取 Pub/Sub API 及管理事件觸發條件，Eventarc API 必須與 Pub/Sub API 位於同一個 VPC Service Controls 服務範圍內。

如要進一步瞭解 Eventarc Standard，請參閱產品說明文件。

Distributed Cloud Edge Network API 可受到 VPC Service Controls 保護，並在服務範圍內正常使用。

如要進一步瞭解 Distributed Cloud Edge Network API，請參閱產品說明文件。

Distributed Cloud Edge Network API 與 VPC Service Controls 整合時，沒有已知限制。

反洗錢 AI 的 API 可受到 VPC Service Controls 保護，且產品可在服務範圍內正常使用。

如要進一步瞭解 Anti Money Laundering AI，請參閱產品說明文件。

目前已知沒有任何限制。

設定及交換 Firebase App Check 權杖時，VPC Service Controls 只會保護 Firebase App Check 服務。如要保護依賴 Firebase App Check 的服務，請為這些服務設定服務範圍。

如要進一步瞭解 Firebase App Check，請參閱產品說明文件。

Firebase App Check 與 VPC Service Controls 整合後，目前沒有已知限制。

服務範圍只會保護 Firebase Data Connect API。但不會保護基礎資料來源 (例如 Cloud SQL 執行個體) 的存取權。您必須另外設定資料庫執行個體的存取限制。

如要進一步瞭解 Firebase Data Connect，請參閱產品說明文件。

Firebase Data Connect 與 VPC Service Controls 整合時，沒有已知限制。

管理 Firebase 安全性規則政策時，VPC Service Controls 只會保護 Firebase 安全性規則服務。如要保護依賴 Firebase 安全性規則的服務，請為這些服務設定服務範圍。

如要進一步瞭解 Firebase 安全性規則，請參閱產品說明文件。

Firebase 安全性規則與 VPC Service Controls 整合時，沒有已知限制。

如需設定步驟，請參閱 Cloud Run functions 說明文件。使用 Cloud Build 建構 Cloud Run 函式時，VPC Service Controls 保護機制不會套用至建構階段。詳情請參閱已知限制。

如要進一步瞭解 Cloud Run 函式，請參閱產品說明文件。

使用安全範圍限制 IAM 時，只有使用 Identity and Access Management API 的動作會受到限制。這些動作包括：

• 管理自訂 IAM 角色
• 管理 Workload Identity 集區
• 管理服務帳戶和金鑰
• 管理拒絕政策
• 管理主體存取邊界政策的政策繫結

由於工作團隊集區和主體存取邊界政策是在機構層級建立，因此邊界不會限制與這些資源相關的動作。

此外，安全防護範圍不會限制其他服務所擁有資源的允許政策管理作業，例如 Resource Manager 專案、資料夾和機構，或是 Compute Engine 虛擬機器執行個體。如要限制這些資源的允許政策管理權，請建立範圍，限制擁有這些資源的服務。如需接受允許政策的資源清單，以及擁有這些資源的服務，請參閱接受允許政策的資源類型。

此外，IAM 周邊範圍「不會」限制使用其他 API 的動作，包括：

• IAM Policy Simulator API
• IAM Policy Troubleshooter API
• Security Token Service API
• Service Account Credentials API (包括 IAM API 中的舊版 signBlob 和 signJwt 方法)

如要進一步瞭解 Identity and Access Management，請參閱產品說明文件。

如果您位於安全防護範圍內，就無法使用空字串呼叫 roles.list 方法，列出 IAM 預先定義角色。如要查看預先定義的角色，請參閱 IAM 角色說明文件。

使用者可透過 IAP Admin API 設定 IAP。

如要進一步瞭解 IAP Admin API，請參閱產品說明文件。

IAP Admin API 與 VPC Service Controls 整合時，沒有已知限制。

Cloud KMS Inventory API 的 API 可受到 VPC Service Controls 保護，且產品可在服務範圍內正常使用。

如要進一步瞭解 Cloud KMS Inventory API，請參閱產品說明文件。

SearchProtectedResources API 方法不會對傳回的專案強制執行服務範圍限制。

服務帳戶憑證的 API 可受到 VPC Service Controls 保護，且產品可在服務範圍內正常使用。

如要進一步瞭解服務帳戶憑證，請參閱產品說明文件。

將服務帳戶憑證與 VPC Service Controls 整合時，沒有已知限制。

Service Metadata API 的 API 可受 VPC Service Controls 保護，且產品可在服務範圍內正常使用。

如要進一步瞭解 Service Metadata API，請參閱產品說明文件。

Service Metadata API 與 VPC Service Controls 整合時，沒有已知限制。

如果您使用私人服務存取權，建議為 Service Networking 連線啟用 VPC Service Controls。啟用 VPC Service Controls 後，服務供應商只能透過 Service Networking 連線存取 VPC Service Controls 支援的 API。

您只能使用 EnableVpcServiceControls API 為 Service Networking 啟用 VPC Service Controls。您只能使用 DisableVpcServiceControls API 停用 Service Networking 的 VPC Service Controls。

如要進一步瞭解 Service Networking，請參閱產品說明文件。

Service Networking 與 VPC Service Controls 整合時，沒有已知限制。

無伺服器虛擬私有雲存取 API 可受到 VPC Service Controls 保護，且產品可在服務範圍內正常使用。

如要進一步瞭解無伺服器虛擬私有雲存取，請參閱產品說明文件。

無伺服器虛擬私有雲存取與 VPC Service Controls 整合後，目前沒有已知限制。

Cloud KMS API 可受到 VPC Service Controls 保護，且產品可在服務範圍內使用。VPC Service Controls 也會保護 Cloud HSM 服務的存取權，且可在服務範圍內使用。

如要進一步瞭解 Cloud Key Management Service，請參閱產品說明文件。

Cloud Key Management Service 與 VPC Service Controls 整合功能沒有已知限制。

VPC Service Controls 可保護 Game Servers API，且產品可在服務範圍內正常使用。

如要進一步瞭解遊戲伺服器，請參閱產品說明文件。

Game Servers 與 VPC Service Controls 整合後，目前沒有已知限制。

Gemini Code Assist 的 API 可受到 VPC Service Controls 保護，且產品可在服務範圍內正常使用。包括自訂程式碼。

如要進一步瞭解 Gemini Code Assist，請參閱產品說明文件。

Gemini 版 Google Cloud 控制台不支援依據裝置、公開 IP 位址或位置資訊進行存取權控管。

TCP 適用的 Identity-Aware Proxy API 可受到 VPC Service Controls 保護，且產品可在服務範圍內正常使用。

如要進一步瞭解 TCP 適用的 Identity-Aware Proxy，請參閱產品說明文件。

Cloud Life Sciences 的 API 可受到 VPC Service Controls 保護，且產品可在服務範圍內正常使用。

如要進一步瞭解 Cloud Life Sciences，請參閱產品說明文件。

Cloud Life Sciences 與 VPC Service Controls 整合時，沒有已知限制。

需要額外設定的項目：

• 從內部部署環境存取 Managed Microsoft AD API
• 共用虛擬私有雲

如要進一步瞭解 Managed Service for Microsoft Active Directory，請參閱產品說明文件。

Managed Service for Microsoft Active Directory 與 VPC Service Controls 整合時，沒有已知限制。

reCAPTCHA 的 API 可受到 VPC Service Controls 保護，且產品可在服務範圍內正常使用。

如要進一步瞭解 reCAPTCHA，請參閱產品說明文件。

目前已知 reCAPTCHA 與 VPC Service Controls 整合時沒有任何限制。

Web Risk API 可受到 VPC Service Controls 保護，且產品可在服務範圍內正常使用。

如要進一步瞭解 Web Risk，請參閱產品說明文件。

VPC Service Controls 不支援 Evaluate API 和 Submission API。

VPC Service Controls 可保護 Recommender API，且產品可在服務範圍內正常使用。

如要進一步瞭解建議工具，請參閱產品說明文件。

• VPC Service Controls 不支援機構、資料夾或帳單帳戶資源。

Secret Manager 的 API 可受到 VPC Service Controls 保護，且產品可在服務範圍內正常使用。

如要進一步瞭解 Secret Manager，請參閱產品說明文件。

Secret Manager 與 VPC Service Controls 整合時，沒有已知限制。

VPC Service Controls 保護設定會套用至所有管理員、發布者和訂閱者作業 (現有的推送訂閱項目除外)。

如要進一步瞭解 Pub/Sub，請參閱產品說明文件。

在受服務範圍保護的專案中，適用下列限制：

• 除非推送端點設為具有預設 run.app 網址的 Cloud Run 服務，或是設為 Workflows 執行作業 (自訂網域不適用)，否則無法建立新的推送訂閱項目。如要進一步瞭解如何與 Cloud Run 整合，請參閱「使用 VPC Service Controls」。
• 對於非推送訂閱項目，您必須在與主題相同的範圍內建立訂閱項目，或啟用輸出規則，允許從主題存取訂閱項目。
• 透過 Eventarc 將事件轉送至 Workflows 目標時，如果推送端點設為 Workflows 執行作業，您只能透過 Eventarc 建立新的推送訂閱項目。
• 在服務範圍設定完成前所建立的 Pub/Sub 訂閱項目不會遭到封鎖。

VPC Service Controls 保護設定會套用到所有訂閱者作業。

如要進一步瞭解 Pub/Sub Lite，請參閱產品說明文件。

Pub/Sub Lite 與 VPC Service Controls 整合時，沒有已知限制。

使用 VPC Service Controls 和 Cloud Build 私人集區，為建構作業增添額外安全性。

如要進一步瞭解 Cloud Build，請參閱產品說明文件。

• VPC Service Controls 保護機制僅適用於在私人集區中執行的建構作業。

• 不支援 Cloud Build Pub/Sub 觸發條件。

Cloud Deploy 的 API 可受到 VPC Service Controls 保護，且產品可在服務範圍內正常使用。

如要進一步瞭解 Cloud Deploy，請參閱產品說明文件。

如要在安全防護範圍內使用 Cloud Deploy，您必須為目標的執行環境使用 Cloud Build 私人集區。 請勿使用預設 (Cloud Build) 工作站集區，也不要使用混合式集區。

設定 Composer 以搭配 VPC Service Controls 使用

如要進一步瞭解 Cloud Composer，請參閱產品說明文件。

• 啟用 DAG 序列化功能後，Airflow 就不會在網頁 UI 中顯示含有函式的已算繪範本。

• 啟用 DAG 序列化時，不支援將 async_dagbag_loader 標記設為 True。

• 啟用 DAG 序列化功能後，系統會停用所有 Airflow 網路伺服器外掛程式，因為這些外掛程式可能會危及 Cloud Composer 部署所在 VPC 網路的安全性。這不會影響排程器或工作站外掛程式的行為， 包括 Airflow 運算子和感應器。

• 在範圍內執行 Cloud Composer 時，系統會限制對公開 PyPI 存放區的存取權。如要瞭解如何在私人 IP 模式下安裝 PyPi 模組，請參閱 Cloud Composer 說明文件中的「安裝 Python 依附元件」。

Cloud Quotas 的 API 可受到 VPC Service Controls 保護，且產品可在服務範圍內正常使用。

如要進一步瞭解 Cloud Quotas，請參閱產品說明文件。

如要進一步瞭解 Cloud Run，請參閱產品說明文件。

• 建立 Cloud Scheduler 工作
• Cloud Scheduler 工作更新

如要進一步瞭解 Cloud Scheduler，請參閱產品說明文件。

Spanner 的 API 可受到 VPC Service Controls 保護，且產品可在服務範圍內正常使用。

如要進一步瞭解 Spanner，請參閱產品說明文件。

Spanner 與 VPC Service Controls 整合時，沒有已知限制。

VPC Service Controls 可保護 Speaker ID 的 API，且產品可在服務範圍內正常使用。

如要進一步瞭解聲紋辨識，請參閱產品說明文件。

Speaker ID 與 VPC Service Controls 整合時，沒有已知限制。

Cloud Storage 的 API 可受到 VPC Service Controls 保護，且產品可在服務範圍內正常使用。

如要進一步瞭解 Cloud Storage，請參閱產品說明文件。

Cloud Tasks 的 API 可受到 VPC Service Controls 保護，且產品可在服務範圍內正常使用。

系統支援 Cloud Tasks 執行作業發出的 HTTP 要求，如下所示：

• 允許對符合 VPC Service Controls 規範的 Cloud Run 函式和 Cloud Run 端點發出經過驗證的要求。
• 系統會封鎖對非 Cloud Run 函式和非 Cloud Run 端點的要求。
• 系統會封鎖對不符合 VPC Service Controls 規範的 Cloud Run 函式和 Cloud Run 端點提出的要求。

如要進一步瞭解 Cloud Tasks，請參閱產品說明文件。

VPC Service Controls 範圍可保護 Cloud SQL Admin API。

如要進一步瞭解 Cloud SQL，請參閱產品說明文件。

• 服務範圍只會保護 Cloud SQL Admin API。但無法保護 Cloud SQL 執行個體的 IP 型資料存取權。您需要使用機構政策限制，限制對 Cloud SQL 執行個體的公開 IP 存取權。
• 為 Cloud SQL 設定 VPC Service Controls 前，請先啟用 Service Networking API。

• Cloud SQL 匯入和匯出作業只能從與 Cloud SQL 副本執行個體位於相同服務範圍內的 Cloud Storage 值區讀取和寫入資料。

• 在外部伺服器遷移流程中，您需要將 Cloud Storage 值區新增至相同的服務範圍。

• 在 CMEK 的金鑰建立流程中，請使用下列其中一種設定：

  • 在與使用金鑰的資源 (例如 Cloud SQL) 相同的服務安全防護範圍中建立金鑰。
  • 在透過範圍橋接器連線的服務範圍中建立金鑰，該範圍會連線至保護 Cloud SQL 的服務範圍。
• 從備份還原執行個體時，目標執行個體必須與備份位於相同的服務範圍。

Video Intelligence API 的 API 可受 VPC Service Controls 保護，且產品可在服務範圍內正常使用。

如要進一步瞭解 Video Intelligence API，請參閱產品說明文件。

Video Intelligence API 與 VPC Service Controls 整合後，目前沒有已知限制。

Cloud Vision API 的 API 可受到 VPC Service Controls 保護，且產品可在服務範圍內正常使用。

如要進一步瞭解 Cloud Vision API，請參閱產品說明文件。

如要搭配 VPC Service Controls 使用 Artifact Analysis，您可能必須將其他服務新增至 VPC 服務範圍：

• 如果您搭配 Artifact Analysis 使用 Pub/Sub 通知，請將 Pub/Sub 新增至服務安全防護範圍。
• 如果您使用 Container Scanning API，請將登錄檔新增至安全防護範圍：Artifact Registry 或 Container Registry。

由於 Container Scanning API 是無介面的 API，可將結果儲存在 Artifact Analysis 中，因此您不需要使用服務邊界保護 API。

如要進一步瞭解 Artifact Analysis，請參閱產品說明文件。

Artifact Analysis 與 VPC Service Controls 整合時，沒有已知限制。

除了保護 Container Registry API 以外，Container Registry 也可搭配 GKE 和 Compute Engine，在服務範圍內使用。

如要進一步瞭解 Container Registry，請參閱產品說明文件。

• 為服務安全防護措施指定輸入或輸出政策時，您無法將 ANY_SERVICE_ACCOUNT 和 ANY_USER_ACCOUNT 做為所有 Container Registry 作業的身分類型。

  如要解決這個問題，請改用 ANY_IDENTITY 做為身分識別類型。

• 由於 Container Registry 使用 gcr.io 網域，因此您必須設定 DNS，讓 *.gcr.io 對應至 private.googleapis.com 或 restricted.googleapis.com。詳情請參閱「在服務範圍內保護 Container Registry」。

• 除了範圍內可供 Container Registry 使用的容器，所有專案還可使用下列唯讀存放區 (無論服務範圍強制執行的任何限制)：

  • gcr.io/anthos-baremetal-release
  • gcr.io/asci-toolchain
  • gcr.io/cloud-airflow-releaser
  • gcr.io/cloud-builders
  • gcr.io/cloud-dataflow
  • gcr.io/cloud-ingest
  • gcr.io/cloud-marketplace
  • gcr.io/cloud-ssa
  • gcr.io/cloudsql-docker
  • gcr.io/config-management-release
  • gcr.io/deeplearning-platform-release
  • gcr.io/foundry-dev
  • gcr.io/fn-img
  • gcr.io/gae-runtimes
  • gcr.io/serverless-runtimes
  • gcr.io/gke-node-images
  • gcr.io/gke-release
  • gcr.io/gkeconnect
  • gcr.io/google-containers
  • gcr.io/kubeflow
  • gcr.io/kubeflow-images-public
  • gcr.io/kubernetes-helm
  • gcr.io/istio-release
  • gcr.io/ml-pipeline
  • gcr.io/projectcalico-org
  • gcr.io/rbe-containers
  • gcr.io/rbe-windows-test-images
  • gcr.io/speckle-umbrella
  • gcr.io/stackdriver-agents
  • gcr.io/tensorflow
  • gcr.io/vertex-ai
  • gcr.io/vertex-ai-restricted
  • gke.gcr.io
  • k8s.gcr.io

  在所有情況下，專案也可使用這些存放區的多區域版本。

Google Kubernetes Engine 的 API 可受到 VPC Service Controls 保護，且產品可在服務範圍內正常使用。

如要進一步瞭解 Google Kubernetes Engine，請參閱產品說明文件。

• 如要全面保護 Google Kubernetes Engine API，您也必須在安全防護範圍內納入 Kubernetes Metadata API (kubernetesmetadata.googleapis.com)。
• 只有私人叢集可以使用 VPC Service Controls 進行防護。VPC Service Controls 不支援具有公開 IP 位址的叢集。

• 這個表格中的 GKE 服務項目僅指定 GKE API 本身的控制項。GKE 運作時會依賴其他多項基礎服務，例如 Compute Engine、Cloud Logging、Cloud Monitoring 和 Autoscaling API (autoscaling.googleapis.com)。如要使用 VPC Service Controls 有效保護 GKE 環境，請務必確保所有必要的基礎服務也包含在服務安全防護範圍內。如需這些服務的完整清單，請參閱 GKE 說明文件。

Container Security API 的 API 可受到 VPC Service Controls 保護，且產品可在服務範圍內正常使用。

如要進一步瞭解 Container Security API，請參閱產品說明文件。

Container Security API 與 VPC Service Controls 整合時，沒有已知限制。

映像檔串流是 GKE 的資料串流功能，可縮短提取儲存在 Artifact Registry 中映像檔的時間。如果 VPC Service Controls 會保護容器映像檔，且您使用映像檔串流，則必須在服務範圍內加入 Image streaming API。

如要進一步瞭解映像檔串流，請參閱產品說明文件。

• 無論服務範圍強制執行的任何限制，所有專案都可使用下列唯讀存放區：

  • gcr.io/anthos-baremetal-release
  • gcr.io/asci-toolchain
  • gcr.io/cloud-airflow-releaser
  • gcr.io/cloud-builders
  • gcr.io/cloud-dataflow
  • gcr.io/cloud-ingest
  • gcr.io/cloud-marketplace
  • gcr.io/cloud-ssa
  • gcr.io/cloudsql-docker
  • gcr.io/config-management-release
  • gcr.io/deeplearning-platform-release
  • gcr.io/foundry-dev
  • gcr.io/fn-img
  • gcr.io/gae-runtimes
  • gcr.io/serverless-runtimes
  • gcr.io/gke-node-images
  • gcr.io/gke-release
  • gcr.io/gkeconnect
  • gcr.io/google-containers
  • gcr.io/kubeflow
  • gcr.io/kubeflow-images-public
  • gcr.io/kubernetes-helm
  • gcr.io/istio-release
  • gcr.io/ml-pipeline
  • gcr.io/projectcalico-org
  • gcr.io/rbe-containers
  • gcr.io/rbe-windows-test-images
  • gcr.io/speckle-umbrella
  • gcr.io/stackdriver-agents
  • gcr.io/tensorflow
  • gcr.io/vertex-ai
  • gcr.io/vertex-ai-restricted
  • gke.gcr.io
  • k8s.gcr.io

VPC Service Controls 可保護包括連線閘道在內的車隊管理 API，且車隊管理功能可在服務範圍內正常使用。 詳情請參閱下列說明：

• 將 VPC Service Controls 與 Connect 代理程式搭配使用
• 將 VPC Service Controls 與 Connect 閘道搭配使用

如要進一步瞭解 Fleets，請參閱產品說明文件。

• 雖然所有車隊管理功能都能正常使用，但如果為 Stackdriver API 啟用服務安全防護範圍，Policy Controller 車隊功能就無法與 Security Command Center 整合。
• 使用 Connect 閘道存取 GKE 叢集時，系統不會強制執行 container.googleapis.com 的 VPC Service Controls 範圍。

FleetPackage API 的 API 可受 VPC Service Controls 保護，且產品可在服務範圍內正常使用。

如要進一步瞭解 FleetPackage API，請參閱產品說明文件。

FleetPackage API 與 VPC Service Controls 整合後，目前沒有已知限制。

下列 Cloud Resource Manager API 方法可透過 VPC Service Controls 受到保護：

• v1 project.setIAMPolicy
• v1beta1 project.setIAMPolicy
• v3 tagKeys.*
• v3 tagValues.*
• v3 tagValues.tagHolds.*
• v3 tagBindings.*

如要進一步瞭解 Resource Manager，請參閱產品說明文件。

• 只有直接以專案資源為父項的標記鍵和對應的標記值，才能使用 VPC Service Controls 保護。將專案新增至 VPC Service Controls 範圍後，專案中的所有標記鍵和對應的標記值都會視為範圍內的資源。
• 以機構資源為父項的標記鍵及其對應的標記值，無法納入 VPC Service Controls 範圍，也無法使用 VPC Service Controls 保護。
• 除非在範圍內設定允許存取的輸出規則，否則 VPC Service Controls 範圍內的用戶端無法存取由機構資源做為父項的標記鍵和對應值。如要進一步瞭解如何設定輸出規則，請參閱「輸入和輸出規則」。
• 標記繫結會視為與標記值繫結的資源位於相同範圍內的資源。舉例來說，專案中 Compute Engine 執行個體的標籤繫結會視為屬於該專案，無論標籤鍵的定義位置為何。
• 除了 Resource Manager 服務 API，部分服務 (例如 Compute Engine) 也允許使用自己的服務 API 建立標記繫結。舉例來說，在建立資源時，將標記新增至 Compute Engine VM。如要保護使用這些服務 API 建立或刪除的標記繫結，請將對應的服務 (例如 compute.googleapis.com) 新增至服務範圍的受限服務清單。
• 標記支援方法層級的限制，因此您可以將 method_selectors 範圍限定為特定 API 方法。如需可限制的方法清單，請參閱「支援的服務方法相關限制」。
• VPC Service Controls 現在支援透過 Google Cloud 主控台授予專案的擁有者角色。你無法在服務範圍外傳送或接受擁有者邀請。如果嘗試接受來自周邊範圍外的邀請，系統不會授予您擁有者角色，也不會顯示任何錯誤或警告訊息。

Cloud Logging 的 API 可受到 VPC Service Controls 保護，且產品可在服務範圍內正常使用。

如要進一步瞭解 Cloud Logging，請參閱產品說明文件。

Certificate Manager 的 API 可受到 VPC Service Controls 保護，且產品可在服務範圍內正常使用。

如要進一步瞭解 Certificate Manager，請參閱產品說明文件。

Certificate Manager 與 VPC Service Controls 整合時，沒有已知限制。

Cloud Monitoring 的 API 可受 VPC Service Controls 保護，且產品可在服務範圍內正常使用。

如要進一步瞭解 Cloud Monitoring，請參閱產品說明文件。

Cloud Profiler 的 API 可受到 VPC Service Controls 保護，且產品可在服務範圍內正常使用。

如要進一步瞭解 Cloud Profiler，請參閱產品說明文件。

Cloud Profiler 與 VPC Service Controls 整合時，沒有已知限制。

Telemetry API 的 API 可受 VPC Service Controls 保護，且產品可在服務範圍內正常使用。

如要進一步瞭解 Telemetry API，請參閱產品說明文件。

Telemetry API 與 VPC Service Controls 整合時，目前沒有已知限制。

Timeseries Insights API 的 API 可受到 VPC Service Controls 保護，且產品可在服務範圍內正常使用。

如要進一步瞭解 Timeseries Insights API，請參閱產品說明文件。

Timeseries Insights API 與 VPC Service Controls 整合時，沒有已知限制。

Cloud Trace 的 API 可受到 VPC Service Controls 保護，且產品可在服務範圍內正常使用。

如要進一步瞭解 Cloud Trace，請參閱產品說明文件。

Cloud Trace 與 VPC Service Controls 整合時，沒有已知限制。

Cloud TPU 的 API 可受到 VPC Service Controls 保護，且產品可在服務範圍內正常使用。

如要進一步瞭解 Cloud TPU，請參閱產品說明文件。

Cloud TPU 與 VPC Service Controls 整合時，沒有已知限制。

如要進一步瞭解 Natural Language API，請參閱產品說明文件。

由於 Natural Language API 是無狀態 API，且不會在專案上執行，因此使用 VPC Service Controls 保護 Natural Language API 不會產生任何影響。

VPC Service Controls 可保護 Network Connectivity Center 的 API，且產品可在服務範圍內正常使用。

如要進一步瞭解 Network Connectivity Center，請參閱產品說明文件。

Network Connectivity Center 與 VPC Service Controls 整合時，沒有已知限制。

Cloud Asset API 的 API 可受 VPC Service Controls 保護，且產品可在服務範圍內正常使用。

如要進一步瞭解 Cloud Asset API，請參閱產品說明文件。

• VPC Service Controls 不支援從服務範圍內的資源和用戶端，存取資料夾層級或機構層級的 Cloud Asset API 資源。VPC Service Controls 可保護專案層級的 Cloud Asset API 資源。您可以指定輸出政策，防止範圍內的專案存取專案層級的 Cloud Asset API 資源。
• VPC Service Controls 不支援將資料夾層級或機構層級的 Cloud Asset API 資源新增至服務範圍。您無法使用服務範圍保護資料夾層級或機構層級的 Cloud Asset API 資源。如要在資料夾或機構層級管理 Cloud Asset Inventory 權限，建議使用 IAM。

VPC Service Controls 可保護語音轉文字 API，且產品可在服務範圍內正常使用。

如要進一步瞭解 Speech-to-Text，請參閱產品說明文件。

Speech-to-Text 與 VPC Service Controls 整合後，目前沒有已知限制。

VPC Service Controls 可保護 Text-to-Speech API，且產品可在服務範圍內正常使用。

如要進一步瞭解 Text-to-Speech，請參閱產品說明文件。

Text-to-Speech 與 VPC Service Controls 整合後，目前沒有已知限制。

Translation API 可受到 VPC Service Controls 保護，且可在服務範圍內正常使用。

如要進一步瞭解 Translation，請參閱產品說明文件。

Cloud Translation - Advanced (v3) 支援 VPC Service Controls，但 Cloud Translation - Basic (v2) 不支援。如要套用 VPC Service Controls，請務必使用 Cloud Translation - Advanced (v3)。如要進一步瞭解各個版本，請參閱「比較 Basic 和 Advanced」。

搭配使用 VPC Service Controls 與 Live Stream API，確保管道安全無虞。

如要進一步瞭解 Live Stream API，請參閱產品說明文件。

如要使用服務範圍保護輸入端點，請按照設定私人集區的指示操作，並透過私人連線傳送輸入影片串流。

Transcoder API 的 API 可受到 VPC Service Controls 保護，且產品可在服務範圍內正常使用。

如要進一步瞭解 Transcoder API，請參閱產品說明文件。

Transcoder API 與 VPC Service Controls 整合時，沒有已知限制。

VPC Service Controls 可保護 Video Stitcher API，且產品可在服務範圍內正常使用。

如要進一步瞭解 Video Stitcher API，請參閱產品說明文件。

Video Stitcher API 與 VPC Service Controls 整合時，沒有已知限制。

Access Approval 的 API 可受到 VPC Service Controls 保護，且產品可在服務範圍內正常使用。

如要進一步瞭解存取核准，請參閱產品說明文件。

存取核准與 VPC Service Controls 整合時，沒有已知限制。

Cloud Healthcare API 的 API 可受到 VPC Service Controls 保護，且產品可在服務範圍內正常使用。

如要進一步瞭解 Cloud Healthcare API，請參閱產品說明文件。

VPC Service Controls 不支援 Cloud Healthcare API 中的客戶自行管理的加密金鑰 (CMEK)。

建議將 Storage 移轉服務專案放在與 Cloud Storage 資源相同的服務範圍內。這可保護移轉作業和 Cloud Storage 資源。Storage 移轉服務也支援 Storage 移轉服務專案與 Cloud Storage 值區不在同一週邊的情況，方法是使用輸出政策。

如需設定資訊，請參閱透過 VPC Service Controls 使用 Storage 移轉服務。

Transfer Service for On Premises Data

如需 Transfer for On Premises 的詳細資料和設定資訊，請參閱透過 VPC Service Controls 使用 Transfer for On Premises。

如要進一步瞭解 Storage 移轉服務，請參閱產品說明文件。

Service Control API 可受到 VPC Service Controls 保護，且產品可在服務範圍內正常使用。

如要進一步瞭解 Service Control，請參閱產品說明文件。

• 從服務範圍內的 VPC 網路呼叫 Service Control API 時，如果 Service Control 僅限於回報帳單或分析指標，您就只能使用 Service Control 報告方法，回報 VPC Service Controls 支援服務的指標。

Memorystore for Redis 的 API 可受到 VPC Service Controls 保護，且產品可在服務範圍內正常使用。

如要進一步瞭解 Memorystore for Redis，請參閱產品說明文件。

• 服務範圍只會保護 Memorystore for Redis API。如果 Memorystore for Redis 執行個體位於相同網路中，邊界不會保護正常資料存取作業。

• 如果 Cloud Storage API 也受到保護，則 Memorystore for Redis 匯入和匯出作業只能讀取及寫入與 Memorystore for Redis 執行個體位於相同服務邊界的 Cloud Storage 值區。

• 如果您同時使用共用 VPC 和 VPC Service Controls，提供網路的主專案和包含 Redis 執行個體的服務專案必須位於同一個服務範圍內，Redis 要求才能成功。隨時以範圍分隔主專案和服務專案，除了會封鎖要求，也可能導致 Redis 執行個體故障。詳情請參閱 Memorystore for Redis 設定需求。

Memorystore for Memcached 的 API 可受到 VPC Service Controls 保護，且產品可在服務範圍內正常使用。

如要進一步瞭解 Memorystore for Memcached，請參閱產品說明文件。

• 服務範圍只會保護 Memorystore for Memcached API。如果 Memorystore for Memcached 執行個體位於同一網路中，邊界不會保護正常資料存取作業。

• 服務範圍僅保護 Memorystore for Valkey API。在同一網路中，邊界不會保護 Memorystore for Valkey 執行個體上的正常資料存取作業。

• 如果 Cloud Storage API 也受到保護，則 Memorystore for Valkey 匯入和匯出作業只能讀取及寫入與 Memorystore for Valkey 執行個體位於相同服務邊界的 Cloud Storage 值區。

• 如果您同時使用共用 VPC 和 VPC Service Controls，提供網路的主專案和包含 Redis 執行個體的服務專案必須位於同一個服務範圍內，Redis 要求才能成功。隨時以範圍分隔主專案和服務專案，除了會封鎖要求，也可能導致 Redis 執行個體故障。詳情請參閱 Memorystore for Valkey 設定需求。

• Memorystore for Valkey API 目前為 memorystore.googleapis.com。 因此，在 Google Cloud 控制台使用 VPC Service Controls 時，Memorystore for Valkey 的顯示名稱為「Memorystore API」。

如要進一步瞭解 Memorystore for Valkey，請參閱產品說明文件。

Service Directory 的 API 可受到 VPC Service Controls 保護，且產品可在服務範圍內正常使用。

如要進一步瞭解 Service Directory，請參閱產品說明文件。

Service Directory 與 VPC Service Controls 整合時，沒有已知限制。

如要全面保護 Visual Inspection AI，請在周邊範圍內納入下列所有 API：

• 目視檢測 AI API (visualinspection.googleapis.com)
• Vertex AI API (aiplatform.googleapis.com)
• Cloud Storage API (storage.googleapis.com)
• Artifact Registry API (artifactregistry.googleapis.com)
• Container Registry API (containerregistry.googleapis.com)

如要進一步瞭解 Visual Inspection AI，請參閱產品說明文件。

Visual Inspection AI 與 VPC Service Controls 整合時，沒有已知限制。

使用 VPC Service Controls 的專案完全支援 Transfer Appliance。

Transfer Appliance 不提供 API，因此不支援 VPC Service Controls 中的 API 相關功能。

如要進一步瞭解 Transfer Appliance，請參閱產品說明文件。

• 如果 Cloud Storage 受到 VPC Service Controls 保護，您與 Transfer Appliance 團隊共用的 Cloud KMS 金鑰必須與目的地 Cloud Storage 值區位於同一個專案中。

VPC Service Controls 可保護 Organization Policy Service 的 API，且產品可在服務範圍內正常使用。

如要進一步瞭解機構政策服務，請參閱產品說明文件。

VPC Service Controls 不支援對專案繼承的資料夾層級或機構層級機構政策，設定存取限制。VPC Service Controls 可保護專案層級的 Organization Policy Service API 資源。

舉例來說，如果輸入規則限制使用者存取 Organization Policy Service API，該使用者在查詢專案強制執行的組織政策時，就會收到 403 錯誤。不過，使用者仍可存取含有專案的資料夾和機構的機構政策。

您可以在 VPC Service Controls 範圍內呼叫 OS Login API。如要透過 VPC Service Controls 範圍管理 OS Login，請設定 OS Login。

VPC Service Controls 不會保護與 VM 執行個體的 SSH 連線。

如要進一步瞭解 OS 登入，請參閱產品說明文件。

讀取及寫入 SSH 金鑰的 OS 登入方法不會強制執行 VPC Service Controls 範圍。使用可透過虛擬私有雲存取的服務，停用 OS Login API 的存取權。

Personalized Service Health 的 API 可透過 VPC Service Controls 受到保護，且產品可在服務範圍內正常使用。

如要進一步瞭解 Personalized Service Health，請參閱產品說明文件。

VPC Service Controls 不支援 Service Health API 的 OrganizationEvents 和 OrganizationImpacts 資源。因此，當您呼叫這些資源的方法時，系統不會進行 VPC Service Controls 政策檢查。不過，您可以使用受限 VIP，從服務範圍呼叫方法。

您可以在 VPC Service Controls 範圍內呼叫 OS Config API。如要在 VPC Service Controls 範圍內使用 VM Manager，請設定 VM Manager。

如要進一步瞭解 VM 管理員，請參閱產品說明文件。

Workflows 是一個自動化調度管理平台，可以合併 Google Cloud 服務和以 HTTP 為基礎的 API，按照您定義的順序執行服務。

如果您使用服務範圍保護 Workflows API，Workflow Executions API 也會受到保護。您不必在範圍的保護服務清單中另外新增 workflowexecutions.googleapis.com。

系統支援從工作流程執行作業發出的 HTTP 要求，如下所示：

• 通過驗證的要求可傳送至符合 VPC Service Controls 規範的 Google Cloud 端點。
• 允許對 Cloud Run functions 和 Cloud Run 服務端點提出要求。
• 系統會封鎖對第三方端點的要求。
• 系統會封鎖對不符合 VPC Service Controls 規範的 Google Cloud 端點提出的要求。

如要進一步瞭解工作流程，請參閱產品說明文件。

Workflows 與 VPC Service Controls 整合時，沒有已知限制。

Filestore 的 API 可受到 VPC Service Controls 保護，且產品可在服務範圍內正常使用。

如要進一步瞭解 Filestore，請參閱產品說明文件。

• 服務範圍只會保護 Filestore API。如果 Filestore 執行個體位於相同網路中，邊界無法保護正常的 NFS 資料存取權。

• 如果您同時使用共用 VPC 和 VPC Service Controls，提供網路的主專案和包含 Filestore 執行個體的服務專案必須位於同一個服務範圍內，Filestore 執行個體才能正常運作。使用安全防護範圍分隔主專案和服務專案，可能會導致現有執行個體無法使用，且無法建立新的執行個體。

如要進一步瞭解 Parallelstore，請參閱產品說明文件。

• 如果您同時使用共用 VPC 和 VPC Service Controls，提供網路的主專案和包含 Parallelstore 執行個體的服務專案必須位於同一範圍內，Parallelstore 執行個體才能正常運作。使用安全防護範圍分隔主專案和服務專案，可能會導致現有執行個體無法使用，且可能無法建立新的執行個體。

Container Threat Detection 的 API 可受到 VPC Service Controls 保護，且產品可在服務範圍內正常使用。

如要進一步瞭解 Container Threat Detection，請參閱產品說明文件。

Container Threat Detection 與 VPC Service Controls 整合時，沒有已知限制。

如要進一步瞭解廣告資料中心，請參閱產品說明文件。

只有當要求中的對象是專案層級資源時，VPC Service Controls 才會限制權杖交換。舉例來說，VPC Service Controls 不會限制範圍縮減權杖的要求，因為這些要求沒有對象。此外，由於對象是機構層級的資源，VPC Service Controls 也不會限制員工身分聯盟的要求。

如要進一步瞭解 Security Token Service，請參閱產品說明文件。

firestore.googleapis.com、datastore.googleapis.com 和 firestorekeyvisualizer.googleapis.com 服務已組合在一起。在範圍中限制 firestore.googleapis.com 服務時，範圍也會限制 datastore.googleapis.com 和 firestorekeyvisualizer.googleapis.com 服務。

如要限制 datastore.googleapis.com 服務，請使用firestore.googleapis.com服務名稱。

• 透過 VPC Service Controls 保護 Firestore 匯入和匯出作業。
• 使用 VPC Service Controls 確保 Datastore 匯入和匯出作業安全無虞。

如要進一步瞭解 Firestore/Datastore，請參閱產品說明文件。

Migrate to Virtual Machines 的 API 可受到 VPC Service Controls 保護，且產品可在服務範圍內正常使用。

如要進一步瞭解 Migrate to Virtual Machines，請參閱產品說明文件。

• 如要全面保護 Migrate to Virtual Machines，請將下列所有 API 新增至服務範圍：

  • Artifact Registry API (artifactregistry.googleapis.com)
  • Pub/Sub API (pubsub.googleapis.com)
  • Cloud Storage API (storage.googleapis.com)
  • Cloud Logging API (logging.googleapis.com)
  • Container Registry API (containerregistry.googleapis.com)
  • Secret Manager API (secretmanager.googleapis.com)
  • Compute Engine API (compute.googleapis.com)

  詳情請參閱 Migrate to Virtual Machines 說明文件。

您可以透過 VPC Service Controls，使用服務範圍保護 Migration Center 收集的基礎架構資料。

如要進一步瞭解遷移中心，請參閱產品說明文件。

備份和災難復原服務的 API 可受到 VPC Service Controls 保護，且產品可在服務範圍內正常使用。

如要進一步瞭解備份和災難復原服務，請參閱產品說明文件。

如果您使用 gcloud services vpc-peerings enable-vpc-service-controls 指令從服務生產者專案中移除網際網路預設路由，您可能就無法存取或部署管理控制台。如果遇到這個問題，請與 Google Cloud Customer Care 聯絡。

您可以使用 VPC Service Controls 保護 GKE 備份，並在服務範圍內正常使用 GKE 備份功能。

如要進一步瞭解 Backup for GKE，請參閱產品說明文件。

Backup for GKE 與 VPC Service Controls 整合時，沒有已知限制。

Retail API 的 API 可受到 VPC Service Controls 保護，且產品可在服務範圍內正常使用。

如要進一步瞭解 Retail API，請參閱產品說明文件。

Retail API 與 VPC Service Controls 整合時，沒有已知限制。

Application Integration 是一種協作式工作流程管理系統，可讓您建立、擴增、偵錯及瞭解核心業務系統工作流程。Application Integration 的工作流程是由觸發條件和工作組成。 觸發條件類型有很多種，例如 API 觸發條件/Pub/Sub 觸發條件/cron 觸發條件/sfdc 觸發條件。

如要進一步瞭解 Application Integration，請參閱產品說明文件。

Integration Connectors 的 API 可受到 VPC Service Controls 保護，且產品可在服務範圍內正常使用。

如要進一步瞭解 Integration Connectors，請參閱產品說明文件。

VPC Service Controls 可保護 Error Reporting API，且產品可在服務範圍內正常使用。

如要進一步瞭解 Error Reporting，請參閱產品說明文件。

Cloud Workstations 的 API 可受到 VPC Service Controls 保護，且產品可在服務範圍內正常使用。

如要進一步瞭解 Cloud Workstations，請參閱產品說明文件。

• 如要全面保護 Cloud Workstations，請在限制 Cloud Workstations API 時，一併限制服務範圍內的 Compute Engine API。
• 請確認服務範圍內的 Google Cloud Storage API、Google Container Registry API 和 Artifact Registry API 可透過 VPC 存取。這是將映像檔拉到工作站的必要步驟。此外，我們建議您在服務安全防護範圍內允許 VPC 存取 Cloud Logging API 和 Cloud Error Reporting API，但使用 Cloud Workstations 時不一定要這麼做。
• 確認工作站叢集為私有。設定私人叢集可防止從虛擬私有雲服務邊界外部連線至工作站。
• 請務必在工作站設定中停用公開 IP 位址。否則，專案中的 VM 會擁有公開 IP 位址。強烈建議您使用constraints/compute.vmExternalIpAccess機構政策限制，為 VPC 服務範圍內的所有 VM 停用公用 IP 位址。詳情請參閱「將外部 IP 位址限制為特定 VM」。
• 連線至工作站時，存取控制項只會根據您連線的私人網路是否屬於安全防護範圍而定。不支援根據裝置、公開 IP 位址或位置資訊控管存取權。

Cloud IDS 的 API 可受 VPC Service Controls 保護，且產品可在服務範圍內正常使用。

如要進一步瞭解 Cloud IDS，請參閱產品說明文件。

Cloud IDS 會使用 Cloud Logging 在專案中建立威脅記錄。如果服務範圍限制了 Cloud Logging，即使 Cloud IDS 未新增為範圍的受限服務，VPC Service Controls 仍會封鎖 Cloud IDS 威脅記錄。如要在服務安全防護範圍內使用 Cloud IDS，您必須在服務安全防護範圍中，為 Cloud Logging 服務帳戶設定連入規則。

如要進一步瞭解 Chrome Enterprise 進階版，請參閱產品說明文件。

Chrome Enterprise 進階版與 VPC Service Controls 整合後，目前沒有已知限制。

使用安全防護範圍限制 Policy Troubleshooter API 時，只有當要求中涉及的所有資源都位於同一個安全防護範圍內，主體才能排解 IAM 允許政策問題。通常，疑難排解要求會涉及兩項資源：

• 要排解存取問題的資源。這個資源可以是任何類型。排解允許政策問題時，您會明確指定這項資源。

• 您用來排解存取問題的資源。這個資源可以是專案、資料夾或機構。在 Google Cloud 控制台和 gcloud CLI 中，系統會根據您選取的專案、資料夾或機構推斷這項資源。在 REST API 中，您可以使用 x-goog-user-project 標頭指定這項資源。

  這個資源可以與您要排解存取權問題的資源相同，但不必如此。

如果這些資源不在同一個範圍內，要求就會失敗。

如要進一步瞭解政策疑難排解工具，請參閱產品說明文件。

政策疑難排解工具與 VPC Service Controls 整合後，目前沒有已知限制。

使用安全防護範圍限制 Policy Simulator API 時，只有在模擬作業涉及的特定資源位於同一安全防護範圍內，主體才能模擬允許政策。模擬作業會用到多項資源：

• 要模擬允許政策的資源。這個資源也稱為「目標資源」。在 Google Cloud 控制台中，這是您要編輯允許政策的資源。在 gcloud CLI 和 REST API 中，模擬允許政策時，您需要明確指定這項資源。

• 建立及執行模擬作業的專案、資料夾或機構。這個資源也稱為「主機資源」。在 Google Cloud 控制台和 gcloud CLI 中，系統會根據您選取的專案、資料夾或機構推斷這項資源。在 REST API 中，您可以使用 x-goog-user-project 標頭指定這項資源。

  這項資源可以與您要模擬存取的資源相同，但不必如此。

• 提供模擬存取記錄的資源。在模擬作業中，一律會有一個資源提供模擬作業的存取記錄。這個資源會因目標資源類型而異：

  • 如果您要模擬專案或機構的允許政策，Policy Simulator 會擷取該專案或機構的存取記錄。
  • 如果您要模擬其他資源類型的允許政策，政策模擬工具會擷取該資源的父項專案或機構的存取記錄。
  • 如果您要一次模擬多項資源的允許政策，政策模擬工具會擷取資源最接近的共同專案或機構的存取記錄。
• 所有支援的資源，以及相關的允許政策。 Policy Simulator 執行模擬時，會考量所有可能影響使用者存取權的允許政策，包括目標資源的祖先和子代資源的允許政策。因此，這些祖先和後代資源也會參與模擬。

如果目標資源和主機資源不在同一個服務範圍內，要求就會失敗。

如果目標資源和提供模擬存取記錄的資源不在同一個範圍內，要求就會失敗。

如果目標資源和一些具有相關允許政策的支援資源不在同一週邊範圍內，要求會成功，但結果可能不完整。舉例來說，如果您要模擬範圍內專案的政策，結果不會包含專案父項機構的允許政策，因為機構一律位於 VPC Service Controls 範圍外。如要取得更完整的結果，可以為安全防護範圍設定輸入和輸出規則。

如要進一步瞭解政策模擬器，請參閱產品說明文件。

政策模擬器與 VPC Service Controls 整合時，沒有已知限制。

VPC Service Controls 可保護 Essential Contacts API，且產品可在服務範圍內正常使用。

如要進一步瞭解重要聯絡人，請參閱產品說明文件。

Essential Contacts 與 VPC Service Controls 整合時，沒有已知限制。

Identity Platform 的 API 可受到 VPC Service Controls 保護，且產品可在服務範圍內正常使用。

如要進一步瞭解 Identity Platform，請參閱產品說明文件。

• 如要全面保護 Identity Platform，請將 Secure Token API (securetoken.googleapis.com) 新增至服務範圍，允許權杖重新整理。securetoken.googleapis.com 未列在 Google Cloud 控制台的 VPC Service Controls 頁面上。您只能使用 gcloud access-context-manager perimeters update 指令新增這項服務。

• 如果應用程式也整合了封鎖函式功能，請將 Cloud Run 函式 (cloudfunctions.googleapis.com) 新增至服務周邊。

• 使用簡訊多重驗證 (MFA)、電子郵件驗證或第三方身分識別提供者，會導致資料傳送至安全範圍外。如果您未使用簡訊、電子郵件驗證或第三方身分識別提供者進行多重驗證，請停用這些功能。

GKE Multi-Cloud 的 API 可受 VPC Service Controls 保護，且產品可在服務範圍內正常使用。

如要進一步瞭解 GKE Multi-Cloud，請參閱產品說明文件。

• 如要全面保護 GKE Multi-Cloud API，您也必須在服務範圍內加入 Kubernetes Metadata API (kubernetesmetadata.googleapis.com)。

VPC Service Controls 可保護 GKE On-Prem API，且 API 可在服務範圍內正常使用。

如要進一步瞭解 GKE On-Prem API，請參閱產品說明文件。

• 如要全面保護 GKE On-Prem API，請將下列所有 API 新增至服務範圍：

  • Kubernetes Metadata API (kubernetesmetadata.googleapis.com)
  • Cloud Monitoring API (monitoring.googleapis.com)
  • Cloud Logging API (logging.googleapis.com)
  請注意，VPC Service Controls 無法防範資料夾或機構層級的 Cloud Logging 記錄匯出作業。

您可以在環境中建立叢集，並使用 Cloud Interconnect 或 Cloud VPN 連線至 VPC。

如要進一步瞭解適用於裸機的 Google Distributed Cloud (僅限軟體)，請參閱產品說明文件。

• 如要保護叢集，請在 Google Distributed Cloud (僅限軟體) 中使用 Bare Metal 的受限 VIP，並將下列所有 API 新增至服務 perimeter：

• Artifact Registry API (artifactregistry.googleapis.com)
• Google Cloud Resource Manager API (cloudresourcemanager.googleapis.com)
• Compute Engine API (compute.googleapis.com)
• Connect Gateway API (connectgateway.googleapis.com)
• Google Container Registry API (containerregistry.googleapis.com)
• GKE Connect API (gkeconnect.googleapis.com)
• GKE Hub API (gkehub.googleapis.com)
• GKE On-Prem API (gkeonprem.googleapis.com)
• Cloud IAM API (iam.googleapis.com)
• Cloud Logging API (logging.googleapis.com)
• Cloud Monitoring API (monitoring.googleapis.com)
• 作業 API 的設定監控 (opsconfigmonitoring.googleapis.com)
• Service Control API (servicecontrol.googleapis.com)
• Cloud Storage API (storage.googleapis.com)

VPC Service Controls 可保護 On-Demand Scanning API，且產品可在服務範圍內正常使用。

如要進一步瞭解 On-Demand Scanning API，請參閱產品說明文件。

On-Demand Scanning API 與 VPC Service Controls 整合後，目前沒有已知限制。

Looker (Google Cloud Core) 的 API 可受到 VPC Service Controls 保護，且產品可在服務範圍內正常使用。

如要進一步瞭解 Looker (Google Cloud Core)，請參閱產品說明文件。

• 只有使用私人 IP 連線的 Enterprise 或 Embed 版 Looker (Google Cloud Core) 執行個體，才支援 VPC Service Controls 合規性。如果 Looker (Google Cloud Core) 執行個體使用公開 IP 連線，或同時使用公開和私人 IP 連線，則不支援 VPC Service Controls 合規性。如要建立使用私人 IP 連線的執行個體，請在 Google Cloud 控制台的「建立執行個體」頁面中，選取「網路」區段的「私人 IP」。

• 在 VPC Service Controls 服務範圍內放置或建立 Looker (Google Cloud Core) 執行個體時，您必須呼叫 services.enableVpcServiceControls 方法或執行下列 gcloud 指令，移除預設的網際網路路徑：
  
  gcloud services vpc-peerings enable-vpc-service-controls --network=your-network service=servicenetworking.googleapis.com
  
  移除預設路徑後，傳出流量只會流向符合 VPC Service Controls 規範的服務。舉例來說，由於用於傳送電子郵件的 API 不符合 VPC Service Controls 規定，因此傳送電子郵件會失敗。

• 如果您使用共用虛擬私有雲，請務必將 Looker (Google Cloud Core) 服務專案納入與共用虛擬私有雲主專案相同的服務範圍，或在這兩個專案之間建立範圍橋接器。如果 Looker (Google Cloud Core) 服務專案和共用 VPC 託管專案不在同一個範圍內，或無法透過範圍橋接器通訊，執行個體建立作業可能會失敗，或 Looker (Google Cloud Core) 執行個體可能無法正常運作。

• 如果您使用 Looker Studio Pro 或 Looker 中的 Studio，Looker 連接器無法連線至 VPC Service Controls 範圍內的 Looker (Google Cloud Core) 執行個體。如要進一步瞭解 Looker 連接器的限制，請參閱「Looker 連接器的限制」說明文件頁面。

VPC Service Controls 可保護公開憑證授權單位 API，且產品可在服務範圍內正常使用。

如要進一步瞭解公開認證授權單位，請參閱產品說明文件。

目前已知沒有任何限制會影響公開憑證授權單位與 VPC Service Controls 的整合。

• 如要搭配儲存空間批次作業使用 VPC Service Controls，請建立服務範圍，保護下列專案和 Google Cloud 服務：
  • Cloud Storage 專案
  • 儲存空間批次作業 API (storagebatchoperations.googleapis.com)
  • Cloud Storage API (storage.googleapis.com)
  • 選用：Cloud KMS API (cloudkms.googleapis.com)，如果您使用物件加密金鑰更新作業類型)。
• 如要允許從範圍外存取儲存空間批次作業，請設定輸入政策。

如要進一步瞭解 Storage 批次作業，請參閱產品說明文件。

Storage 批次作業與 VPC Service Controls 整合後，目前沒有已知限制。

Storage Insights 的 API 可受到 VPC Service Controls 保護，且產品可在服務範圍內正常使用。

如要進一步瞭解儲存空間分析，請參閱產品說明文件。

Storage Insights 與 VPC Service Controls 整合時，沒有已知限制。

如要全面保護 Dataflow 資料管道，請在服務範圍內加入下列所有 API：

• Dataflow API (dataflow.googleapis.com)
• Cloud Scheduler API (cloudscheduler.googleapis.com)
• Container Registry API (containerregistry.googleapis.com)

如要進一步瞭解 Dataflow 資料管道，請參閱產品說明文件。

Dataflow Data Pipelines 與 VPC Service Controls 整合時，沒有已知限制。

Security Command Center 的 API 可受到 VPC Service Controls 保護，且 Security Command Center 可在服務範圍內正常使用。

securitycenter.googleapis.com 和 securitycentermanagement.googleapis.com 服務會綁在一起。在範圍中限制 securitycenter.googleapis.com 服務時，範圍會依預設限制 securitycentermanagement.googleapis.com 服務。您無法將 securitycentermanagement.googleapis.com 服務新增至服務範圍的受限制服務清單，因為該服務與 securitycenter.googleapis.com 綁定。

如要進一步瞭解 Security Command Center，請參閱產品說明文件。

• VPC Service Controls 不支援從服務範圍內的資源和用戶端，存取資料夾層級或機構層級的 Security Command Center API 資源。VPC Service Controls 可保護專案層級的 Security Command Center API 資源。您可以指定輸出政策，防止範圍內的專案存取專案層級的 Security Command Center API 資源。
• VPC Service Controls 不支援將資料夾層級或機構層級的 Security Command Center API 資源新增至服務範圍。您無法使用安全防護範圍保護資料夾層級或機構層級的 Security Command Center API 資源。如要在資料夾或機構層級管理 Security Command Center 權限，建議使用 IAM。
• VPC Service Controls 不支援安全性防護機制服務，因為安全性防護機制資源 (例如防護機制、防護機制部署作業和預先定義的防護機制範本) 屬於機構層級資源。
• 您無法將資料夾或機構層級的調查結果匯出至服務範圍內的目標。
• 在下列情況下，您必須啟用周邊存取權：
  • 在資料夾或機構層級啟用發現項目通知，且 Pub/Sub 主題位於服務範圍內。
  • 從資料夾或機構層級將資料匯出至 BigQuery，且 BigQuery 位於服務安全防護範圍內。
  • 將 Security Command Center 與 SIEM 或 SOAR 產品整合，且產品部署在 Google Cloud 環境的服務邊界內。支援的 SIEM 和 SOAR 包括 Splunk 和 IBM QRadar。

Cloud Customer Care 的 API 可受 VPC Service Controls 保護，且產品可在服務範圍內正常使用。

如要進一步瞭解 Cloud Customer Care，請參閱產品說明文件。

VPC Service Controls 可保護 AI 應用程式 - Vertex AI Search 的 API，且產品可在服務範圍內正常使用。

如要進一步瞭解 AI 應用程式 - Vertex AI Search，請參閱產品說明文件。

為確保 Confidential Space 在邊界範圍內正常運作，您必須設定 輸出規則。

• 如果 Confidential Space 需要存取範圍外的 Cloud Storage 值區，請建立 輸出規則，允許存取這些值區。
• 如果您要在周邊以外的 Compute Engine 資源上啟用 Confidential Space API，請建立 輸出規則，允許存取這個 API。

如要進一步瞭解 Confidential Space，請參閱產品說明文件。

如要在連線至虛擬機器 (VM) 執行個體的序列埠時使用 VPC Service Controls 保護機制，您需要為服務範圍指定連入規則。設定輸入規則時，來源的存取層級必須是 IP 型值，且服務名稱設為 ssh-serialport.googleapis.com。 即使來源要求和目標資源位於相同安全防護範圍內，仍須有連入規則才能存取序列埠主控台。

如要進一步瞭解序列埠控制台，請參閱產品說明文件。

如要進一步瞭解 Google Cloud VMware Engine，請參閱產品說明文件。

如要瞭解如何使用 VPC Service Controls 控制 Dataform 的存取權，請參閱「為 Dataform 設定 VPC Service Controls」。

如要進一步瞭解 Dataform，請參閱產品說明文件。

Web Security Scanner 和 VPC Service Controls 適用的服務條款不同。 如需詳細資訊，請參閱各項產品的條款。

Web Security Scanner 會視需要將發現項目傳送至 Security Command Center。您可以透過 Security Command Center 資訊主頁查看或下載資料。

如要進一步瞭解 Web Security Scanner，請參閱產品說明文件。

Web Security Scanner 與 VPC Service Controls 整合時，沒有已知限制。

• 建立 Secure Source Manager VPC Service Controls 執行個體前，您需要使用有效的憑證授權單位設定憑證授權單位服務。
• 存取 Secure Source Manager VPC Service Controls 執行個體前，請先設定 Private Service Connect。

如要進一步瞭解 Secure Source Manager，請參閱產品說明文件。

• 因 GKE 限制而導致的SERVICE_NOT_ALLOWED_FROM_VPC稽核記錄違規事項可以忽略。
• 如要透過瀏覽器開啟 VPC Service Controls 網頁介面，瀏覽器必須能存取下列網址：
  • https://accounts.google.com
  • https://LOCATION_OF_INSTANCE-sourcemanagerredirector-pa.client6.google.com
    • 例如 https://us-central1-sourcemanagerredirector-pa.client6.google.com。
  • https://lh3.googleusercontent.com

• Secure Web Proxy 的 API 可受到 VPC Service Controls 保護，且產品可在服務範圍內正常使用。
• 如果您使用憑證佈建 Proxy 或啟用 TLS 檢查，則也必須在安全範圍內啟用 Certificate Manager API (certificatemanager.googleapis.com)。

如要進一步瞭解 Secure Web Proxy，請參閱產品說明文件。

Secure Web Proxy 與 VPC Service Controls 整合時，沒有已知限制。

API 金鑰的 API 可受到 VPC Service Controls 保護，且產品可在服務範圍內正常使用。

如要進一步瞭解 API 金鑰，請參閱產品說明文件。

API 金鑰與 VPC Service Controls 整合後，目前沒有已知限制。

Cloud Controls Partner API 可受到 VPC Service Controls 保護，且可在服務範圍內正常使用。

如要進一步瞭解合作夥伴主權控管機制中的合作夥伴控制台，請參閱產品說明文件。

微服務的 API 可受到 VPC Service Controls 保護，且產品可在服務範圍內正常使用。

如要進一步瞭解微服務，請參閱產品說明文件。

微服務與 VPC Service Controls 整合時，沒有已知限制。

earthengine.googleapis.com 和 earthengine-highvolume.googleapis.com 服務會綁在一起。在範圍中限制 earthengine.googleapis.com 服務時，範圍會預設限制 earthengine-highvolume.googleapis.com 服務。您無法將 earthengine-highvolume.googleapis.com 服務新增至範圍的受限制服務清單，因為該服務與 earthengine.googleapis.com 綁定。

如要進一步瞭解 Earth Engine，請參閱產品說明文件。

App Hub 可讓您發掘基礎架構資源，並將其歸類至應用程式。您可以使用 VPC Service Controls 範圍保護 App Hub 資源。

如要進一步瞭解應用程式中心，請參閱產品說明文件。

Cloud Code API 可受到 VPC Service Controls 保護。如要在 Cloud Code 中使用 Gemini 輔助功能，必須設定輸入政策，允許來自 IDE 用戶端的流量。詳情請參閱 Gemini 說明文件。

如要進一步瞭解 Cloud Code，請參閱產品說明文件。

Cloud Code 與 VPC Service Controls 整合時，沒有已知限制。

VPC Service Controls 範圍可保護 Google Private Marketplace 的 Commerce Org Governance API。

如要進一步瞭解 Commerce Org Governance API，請參閱產品說明文件。

如要限制網際網路流量，請使用機構政策。 叫用 Google Cloud Contact Center as a Service API 的 CREATE 或 UPDATE 方法，手動套用機構政策限制。

如要進一步瞭解 Google Cloud Contact Center as a Service，請參閱產品說明文件。

Google Cloud Contact Center as a Service 與 VPC Service Controls 的整合功能沒有已知限制。

Privileged Access Manager 的 API 可受到 VPC Service Controls 保護，且產品可在服務範圍內正常使用。

如要進一步瞭解 Privileged Access Manager，請參閱產品說明文件。

Service Usage API 可受到 VPC Service Controls 保護，且產品可在服務範圍內正常使用。

如要進一步瞭解 Service Usage，請參閱產品說明文件。

Service Usage 與 VPC Service Controls 整合時，沒有已知限制。

稽核管理員的 API 可受到 VPC Service Controls 保護，且產品可在服務範圍內正常使用。

如要進一步瞭解 Audit Manager，請參閱產品說明文件。

Google Agentspace Enterprise 的 API 可受到 VPC Service Controls 保護，且產品可在服務範圍內正常使用。

如要進一步瞭解 Google Agentspace Enterprise，請參閱產品說明文件。

Google Agentspace Enterprise 與 VPC Service Controls 整合時，沒有已知限制。

Google Agentspace - NotebookLM for enterprise 的 API 可受到 VPC Service Controls 保護，且產品可在服務範圍內正常使用。

如要進一步瞭解 Google Agentspace - NotebookLM 企業版，請參閱產品說明文件。

Google Agentspace - NotebookLM for enterprise 與 VPC Service Controls 整合後，目前沒有已知限制。

Developer Connect 的 API 可受到 VPC Service Controls 保護，且產品可在服務範圍內正常使用。

如要進一步瞭解 Developer Connect，請參閱產品說明文件。

Parameter Manager 的 API 可受到 VPC Service Controls 保護，且產品可在服務範圍內正常使用。

如要進一步瞭解參數管理工具，請參閱產品說明文件。

Parameter Manager 必須與 Secret Manager 位於相同的 VPC Service Controls 範圍。