Modernizing perimeter security: Scalable perimeters with VPC Service Controls
TL;DR · AI 摘要
Introducing new scalable perimeter options with VPC Service Controls Google Cloud Blog Security & Identity Modernizing p...
核心要点
- 主题聚焦：Modernizing perimeter security: Scalable perimet
- 来源：Google Cloud Blog，建议结合原文判断细节。
- AI 分析暂不可用，本条为保底评分与摘要。
通过 VPC Service Controls 引入新的可扩展边界选项 | Google Cloud 博客
安全与身份
现代化边界安全：使用 VPC Service Controls 实现可扩展边界
2026 年 10 月 16 日
##### Pratik Bhangale
Google Cloud 产品经理
##### 立即体验 Gemini
职场 AI 的入口
立即体验
代理代表了云运营的根本性转变。它们可以代表用户操作或自主运行，做出非确定性决策，并以前所未有的速度和规模跨项目请求数据。由于代理属于非人类身份（NHI）这一独特类别，因此需要默认的安全防护措施。
传统的人工操作网络边界容易受到当前机器速度攻击的影响。为了防止连接被阻断而过度宽松的边界会增加数据被盗的风险，而过度严格的边界则会在大量访问被拒绝的情况下阻碍开发进程。
今天，我们很高兴宣布对 VPC 服务控制（VPC-SC）的关键增强功能，使边界更易于创建、维护和扩展。现在您可以将文件夹添加到边界成员中，使其中包含的项目继承策略。您还可以管理细粒度例外情况，并通过指导性、范围限定的修复措施解决拒绝访问问题。
结果是默认保护数据，使您可以在不使数据离开边界的情况下，跨企业扩展自主代理。此更新现已全面推出，且无需额外成本。
与您的架构对齐的边界
VPC-SC 为您的 Google Cloud 部署提供上下文感知的网络安全边界，旨在即使在凭证泄露、身份和访问管理（IAM）配置错误以及内部威胁的情况下也能保护您的组织免受数据窃取。通过将网络层保护扩展到 Google Cloud 基础设施中的服务间交互，VPC-SC 超越了传统防火墙，创建了额外的防御层以防止访问企业网络之外的资源——现在您的组织也更容易管理。
现在配置 VPC-SC 的云管理员可以将文件夹包含在边界成员中，自动将文件夹的访问策略扩展到其包含的每个项目和嵌套子文件夹。新工作负载可以默认继承保护，无需进一步修改。
图 1：VPC-SC 中简化的边界创建。
当项目移动时，边界成员资格会自动更新，简化了生命周期维护。安全覆盖范围遵循您组织已治理的资源层次结构，合规性验证只需确认资源位于层次结构的正确位置即可。
演练模式也支持文件夹成员资格，帮助管理员在强制执行前评估整个层次结构边界对实时流量的影响。
图 2：简化入站/出站规则的编写。
在入站和出站规则中使用私有服务连接端点
企业越来越多地使用私有路径来访问部署中的目标端点，而不是将流量暴露在互联网上。现在，Google API 的私有服务连接端点可以作为属性支持在入站和出站规则中使用。管理员可以编写一条规则，专门授权通过指定的私有端点进行访问，生成的策略将直接对应其旨在管理的连接架构。
图 3：通过入站和出站规则支持私有服务连接端点。
对于已标准化使用私有服务连接的组织（包括通过网络连接中心在整个环境中传播的端点），这提供了一种更精确且更简洁的方式来表达请求的来源。
VPC 可访问服务中的服务模式
VPC 可访问服务中的服务模式可对通过私有虚拟 IP 地址（VIP）访问的 Google API 提供细粒度控制，允许的互操作性不仅限于 VPC-SC 集成服务。如果工作负载需要通过私有路径访问经过验证的 API 端点，管理员现在可以仅允许所需的特定 API URL 模式。
此外，该功能支持在出站请求中附加 org-restriction-headers，以促进仅访问授权的域和资源。由于无需管理出站代理，您可以在保持严格限制的私有路径的同时，满足合法的运营需求，而不是在广泛允许和完全禁止之间做出选择。
图 4：通过 VPC 可访问服务中的服务模式对 Google API 进行细粒度控制。
引导违规修复
VPC-SC 周边策略会随着其保护的工作负载持续演变，管理员需要定期授权尚未覆盖的合法访问请求。VPC-SC 违规分析器中的新引导违规修复功能通过生成带有修复建议的策略修正，将被阻止请求的解决时间从数天缩短至数分钟，您可以在 Dry-Run 模式下先验证这些修复。
与仅诊断特定拒绝请求违规原因的传统方法不同，违规分析器会将被阻止的请求与适用的周边配置进行对比，并提出具体配置更改建议，这些更改基于最小权限设计原则进行严格范围限定，以授权流量：入站规则、出站规则、访问级别或对 VPC 可访问服务的更新。这减轻了管理员为解决违规问题而不得不广泛开放周边策略的压力，使应用程序能够快速投入使用的负担。
了解更多关于 BlackLine 如何使用违规分析器简化调查的信息。
图 5：VPC-SC 违规修复实现更快的处理速度。
今天立即开始
VPC-SC 使自主代理也能轻松自动化部署和优化细粒度网络周边保护。要开始使用：
- 建立文件夹基线：识别资源层次结构中与您计划实施的边界对应的文件夹，并围绕这些文件夹定义周边，使新工作负载在创建时继承策略。
- 在 Dry-Run 模式下无风险运行：在不阻塞开发人员的情况下安全观察生产流量。
- 通过违规分析器和违规仪表板解除流量限制：使用自动化最小权限修复建议，解决出现的任何拒绝问题。
- 有信心地实施策略：当试运行日志显示您的访问权限已通过干净的、经过授权的流量验证后，即可过渡到强制执行模式，全面保护您的数据资产。
如需了解 VPC-SC 如何帮助简化数据安全态势并自信地保护自主代理舰队，请查阅 VPC-SC 文档。
发布于
- 安全与身份 /Security & Identity