VPC Service Controls は、上り（内向き）ルールと下り（外向き）ルール を使用して、サービス境界内のリソースとクライアントへのアクセスを制御します。アクセスをさらに絞り込むには、上り（内向き）ルールと下り（外向き）ルールでサポートされている ID を指定します。
このページでは、VPC Service Controls でサポートされている ID とその識別子形式について説明します。
サポートされている ID
VPC Service Controls は、許可ポリシーの
プリンシパル ID から次の ID をサポートしています。これは IAM
v1 API を使用します。
| ID タイプ | プリンシパル タイプ | 識別子 |
|---|---|---|
| 単一のプリンシパル | ユーザー アカウント | user:USER_EMAIL_ADDRESS |
| サービス アカウント | serviceAccount:SA_EMAIL_ADDRESS |
|
| ID グループとサードパーティ ID | グループ | group:GROUP_EMAIL_ADDRESS |
| Workforce Identity プール内の単一の ID | principal://iam.googleapis.com/locations/global/workforcePools/POOL_ID/subject/SUBJECT_ATTRIBUTE_VALUE |
|
| グループ内のすべての Workforce ID | principalSet://iam.googleapis.com/locations/global/workforcePools/POOL_ID/group/GROUP_ID |
|
| 特定の属性値を持つすべての Workforce ID | principalSet://iam.googleapis.com/locations/global/workforcePools/POOL_ID/attribute.ATTRIBUTE_NAME/ATTRIBUTE_VALUE |
|
| Workforce Identity プール内のすべての ID | principalSet://iam.googleapis.com/locations/global/workforcePools/POOL_ID/* |
|
| Workload Identity プール内の単一の ID | principal://iam.googleapis.com/projects/PROJECT_NUMBER/locations/global/workloadIdentityPools/POOL_ID/subject/SUBJECT_ATTRIBUTE_VALUE |
|
| Workload Identity プールグループ | principalSet://iam.googleapis.com/projects/PROJECT_NUMBER/locations/global/workloadIdentityPools/POOL_ID/group/GROUP_ID |
|
| 特定の属性を持つ Workload Identity プール内のすべての ID | principalSet://iam.googleapis.com/projects/PROJECT_NUMBER/locations/global/workloadIdentityPools/POOL_ID/attribute.ATTRIBUTE_NAME/ATTRIBUTE_VALUE |
|
| Workload Identity プール内のすべての ID | principalSet://iam.googleapis.com/projects/PROJECT_NUMBER/locations/global/workloadIdentityPools/POOL_ID/* |
|
| エージェント ID | エージェント ID | principal://TRUST_DOMAIN/AGENT_UNIQUE_IDENTIFIER |
| 特定の属性を持つ信頼ドメイン内のすべてのエージェント ID | principalSet://TRUST_DOMAIN/attribute.ATTRIBUTE_NAME/ATTRIBUTE_VALUE |
|
| 信頼ドメイン内のすべてのエージェント ID | principalSet://TRUST_DOMAIN/* |
これらの ID の詳細については、許可ポリシーの プリンシパル ID をご覧ください。
VPC Service Controls は、サードパーティの Workforce Identity と Workload Identity の次の SPIFFE 形式もサポートしています。
| ID タイプ | プリンシパル タイプ | 識別子 |
|---|---|---|
| SPIFFE 形式の Workforce Identity | Workforce Identity プール内の単一の ID | principal://POOL_ID.global.workforce.id.goog/SUBJECT_ATTRIBUTE_VALUE |
| 特定の属性を持つ信頼ドメインとしての Workforce Identity プール内のすべての ID | principalSet://POOL_ID.global.workforce.id.goog/attribute.ATTRIBUTE_NAME/ATTRIBUTE_VALUE |
|
| 信頼ドメインとしての Workforce Identity プール内のすべての ID | principalSet://POOL_ID.global.workforce.id.goog/* |
|
| SPIFFE 形式の Workload Identity | Workload Identity プール内の単一の ID | principal://POOL_ID.global.ORGANIZATION_ID.workload.id.goog/SUBJECT_ATTRIBUTE_VALUE |
| 特定の属性を持つ信頼ドメインとしての Workload Identity プール内のすべての ID | principalSet://POOL_ID.global.ORGANIZATION_ID.workload.id.goog/attribute.ATTRIBUTE_NAME/ATTRIBUTE_VALUE |
|
| 信頼ドメインとしての Workload Identity プール内のすべての ID | principalSet://POOL_ID.global.ORGANIZATION_ID.workload.id.goog/* |