這份文件列出 Google Cloud Armor 適用的配額和系統限制。
- 「配額」有預設值，但通常可以申請調整。
- 「系統限制」是固定值，無法變更。
Cloud de Confiance by S3NS 使用配額來確保公平性，並減少資源使用量和可用性出現劇烈波動的情況。配額會限制 Cloud de Confiance 專案可使用的Cloud de Confiance 資源數量，且適用多種資源類型，包括軟硬體和網路元件。舉例來說，配額可能會限制能向特定服務發出的 API 呼叫次數、專案可同時使用的負載平衡器數量，或是可建立的專案數量。配額機制可防止服務過載，保障Cloud de Confiance 使用者社群的權益，同時也有助於您管理自己的 Cloud de Confiance 資源。
Cloud Quotas 系統具備以下功能：
如果嘗試使用的資源量超過配額限制，系統通常會阻擋該資源的存取活動，您所執行的工作就會失敗。
配額的計算通常是以 Cloud de Confiance 專案為基準。在某個專案中使用資源，不會影響另一個專案的可用配額。在同一個 Cloud de Confiance 專案內，所有應用程式和 IP 位址會共用配額。
詳情請參閱「Cloud Quotas 總覽」。
Cloud Armor 資源也有「系統限制」，而且無法變更。
配額
Google Cloud Armor 資源配額是根據下列兩項條件整理：
- 配額範圍：
- 全球
- 區域
- Cloud Armor 安全性政策類型：
- 後端安全性政策
- 邊緣安全性政策
- 網路邊緣安全性政策
全域後端安全性政策和全域邊緣安全性政策
Cloud Armor 會對全域邊緣安全性政策、全域後端安全性政策和相關規則，使用下列每項專案配額：
| 資源 | 配額 | 說明 |
|---|---|---|
| 每項專案的全域安全性政策 | 配額 | 這項配額的上限定義了專案中全域邊緣安全政策和全域後端安全政策的總數上限。 配額名稱： 可用指標：
|
| 每項專案的全域安全性政策規則 | 配額 | 這項配額的上限定義了專案中全域邊緣安全性政策和全域後端安全性政策的規則總數上限。這項配額的使用量會計入下列項目：
配額名稱： 可用指標：
|
| 每項專案的進階比對條件全域安全性政策規則 | 配額 | 這項配額的上限定義了專案中，全域邊緣安全性政策和全域後端安全性政策中含有進階比對條件的規則總數上限。這項配額的使用量包含下列項目：
配額名稱： 可用指標：
|
每個全域安全性政策的配額，適用於含有進階比對條件的規則
Cloud Armor 對於全域邊緣安全性政策和全域後端安全性政策中，具有進階比對條件的規則，會採用下列每個安全性政策的配額：
| 資源 | 配額 | 說明 |
|---|---|---|
| 每個全域邊緣安全性政策中含有進階比對條件的規則數 | 配額 | 這項配額的上限定義了特定全域邊緣安全政策中，含有進階比對條件的規則數量上限。 配額名稱： 可用指標：
|
| 每個全域後端安全性政策中含有進階比對條件的規則數 | 配額 | 這項配額的上限定義了特定全域後端安全政策中，含有進階比對條件的規則數量上限。 配額名稱： 可用指標：
|
全域安全性政策中規則的配額計數摘要
下表列出全域安全性政策中基本規則和含有進階比對條件的規則，會計入哪些配額：
| 規則 | 計入這些配額的使用量 |
|---|---|
| 全域邊緣安全性政策中的基本規則 |
|
| 全域後端安全性政策中的基本規則 |
|
| 全域邊緣安全性政策中含有進階比對條件的規則 |
|
| 全域後端安全性政策中含有進階比對條件的規則 |
|
區域後端安全性政策
Cloud Armor 會對區域後端安全性政策及其規則，採用下列每項專案、每個區域的配額：
| 資源 | 配額 | 說明 |
|---|---|---|
| 每個區域每項專案的區域後端安全政策數 | 配額 | 這項配額的上限定義了專案區域中區域後端安全政策的數量上限。 配額名稱： 可用指標：
|
| 每個區域每項專案的區域後端安全政策規則 | 配額 | 這項配額的上限定義了專案區域中，區域後端安全政策的規則總數上限。這項配額的用量會同時計入基本規則和具備進階比對條件的規則。 配額名稱： 可用指標：
|
| 每個區域每項專案的區域後端安全政策規則 (含進階比對條件) | 配額 | 這項配額的限制定義了專案區域中，區域後端安全政策內含有進階比對條件的規則總數上限。這項配額的用量只會計算含有進階比對條件的規則。 配額名稱： 可用指標：
|
每個區域後端安全政策的配額，適用於含有進階比對條件的規則
Cloud Armor 會對區域後端安全性政策中具有進階比對條件的規則，套用下列每項安全性政策配額：
| 資源 | 配額 | 說明 |
|---|---|---|
| 每個區域後端安全性政策中含有進階比對條件的規則數 | 配額 | 這項配額的上限定義特定區域後端安全政策中的進階規則數量上限。 配額名稱： 可用指標：
|
區域後端安全政策中規則的配額摘要
下表列出區域後端安全政策中，基本規則和具備進階比對條件的規則所計入的配額：
| 規則 | 計入這些配額的使用量 |
|---|---|
| 區域後端安全性政策中的基本規則 |
|
| 區域後端安全性政策中含有進階比對條件的規則 |
|
區域網路邊緣安全性政策
Cloud Armor 會使用下列每項專案、每個區域配額，處理區域網路邊緣安全性政策和其中的規則：
| 資源 | 配額 | 說明 |
|---|---|---|
| 每個區域每項專案的區域性網路邊緣安全性政策數 | 配額 | 這項配額的上限定義了專案中每個區域的區域網路邊緣安全政策數量上限。 配額名稱： 可用指標：
|
| 每個區域每項專案的區域網路邊緣安全性政策規則數 | 配額 | 這項配額的限制定義了專案中每個區域的區域網路邊緣安全政策規則總數上限。 配額名稱： 可用指標：
|
| 每個區域每項專案的區域網路邊緣安全性政策規則比對值 | 配額 | 這項配額的限制定義了專案中每個區域的區域網路邊緣安全政策規則中，屬性的總數上限。這項配額的用量是專案區域中，每個網路邊緣安全政策的每項規則中， 配額名稱： 可用指標：
|
除了 Cloud Armor 配額，使用 Cloud Armor 的產品也有自己的配額。例如，請參閱「Cloud Load Balancing 配額和限制」。
並非所有專案的配額都相同。隨著您的 Cloud de Confiance使用量成長，系統可能會視情況自動提升配額。如果您預期用量將大幅攀升，可以透過 Cloud de Confiance 控制台的「配額」頁面主動要求提高配額。
您必須具備 serviceusage.quotas.update 權限，才能要求更多配額。根據預設，擁有者、編輯者和配額管理員這些預先定義的角色都具備這項權限。請至少提前一週規劃所需的額外資源並提出申請，確保您的申請可以及時獲得核准。如要申請更多配額，請參閱「申請更多配額」一節。
限制
Google Cloud Armor 有下列限制：
| 項目 | 限制 |
|---|---|
| 每項規則的 IP 位址數或 IP 位址範圍數 | 10 |
| 具備自訂運算式的各項規則所含子運算式數 | 10 |
| 自訂運算式中每項子運算式的字元數 | 1024 |
| 自訂運算式的字元數 | 2048 |
在具備 Cloud Armor 安全性政策的所有後端中，每項專案每秒要求數 這項限制不會強制執行。Google 保留權利，可限制每項專案中所有安全性政策能夠處理的流量。請一律將提高 QPS 的要求交給帳戶團隊負責。 |
20,000 |
| 每個專案在每個區域的網路邊緣安全服務數量 | 1 |
| 網路邊緣安全性政策中的規則數 | 100 |
| 每個機構的階層式安全性政策數量 | 50 |
| 每個機構的所有階層式安全性政策規則數 | 200 |
| 每個機構的所有階層式安全性政策中，含有進階比對條件的規則數 | 20 |
管理配額
Google Cloud Armor 會基於多種原因，對資源用量實施配額限制。舉例來說，限制配額可以預防用量突然暴增的情況，進而保障 Cloud de Confiance by S3NS 使用者社群的權益。採用 Cloud de Confiance 免費方案探索的使用者也能透過配額，確保不會超出試用範圍。
所有專案最初的配額均相同，您可以要求額外配額來變更配額數量。某些配額可能會依據您使用產品的狀況而自動增加。
權限
如要查看配額或要求增加配額，身分與存取權管理 (IAM) 主體需要具有下列其中一種角色。
| 工作 | 必要角色 |
|---|---|
| 查看專案的配額 | 下列任一項： |
| 修改配額，要求額外配額 | 下列任一項： |
查看配額
控制台
- 前往 Cloud de Confiance 控制台的「Quotas」(配額) 頁面。
- 使用篩選表格搜尋要更新的配額。 如果不知道配額名稱，請改用本頁面上的連結。
gcloud
請使用 Google Cloud CLI 執行下列指令，查看配額。使用您自己的專案 ID 替換 PROJECT_ID。
gcloud compute project-info describe --project PROJECT_ID如要查看特定區域的配額用量，請執行下列指令：
gcloud compute regions describe example-region
超出配額時產生錯誤
一旦超出 gcloud 指令的配額上限，gcloud 就會輸出 quota exceeded 錯誤訊息並傳回結束代碼 1。
如果您是在傳送 API 要求時超出配額， Cloud de Confiance 會傳回下列 HTTP 狀態碼：413 Request Entity Too Large。
要求增加配額
如要調整大部分配額，請使用 Cloud de Confiance 控制台。詳情請參閱「要求配額調整」。
資源可用性
如果特定類型的資源可以使用，則每項配額代表您能針對該資源建立的最大數量。請特別留意，配額「並不」保證資源可用性。即使您有可用的配額，如果資源無法提供使用，您也無法建立新的資源。
舉例來說，您可能有足夠的配額，可以在特定區域中建立全新區域性外部 IP 位址。不過，如果該區域沒有可用的外部 IP 位址，則無法建立。區域的資源可用性也會影響您建立新資源的能力。
整個區域的資源皆無法提供使用的狀況很罕見。不過，可用區內的資源有時可能會耗盡。