控管已發布服務的存取權

本頁面說明如何使用相關功能，控管對透過 Private Service Connect 發布的服務的存取權。

連線偏好設定

每個服務連結都有連線偏好設定，可控制是否自動接受連線。

自動接受所有連線。服務附件會自動接受來自任何消費者的所有連入連線要求。
明確接受所選消費者的連線。只有當消費者位於服務附件的消費者接受清單中，服務附件才會接受連入連線要求。您可以依專案、虛擬私有雲網路或個別 Private Service Connect 端點指定消費者 (預覽版)。您無法在同一個消費者接受或拒絕清單中，加入不同類型的消費者。

無論是哪種連線偏好設定，如果機構政策封鎖了連入連線，系統就會覆寫已接受的連線並拒絕連線。

建議您明確接受特定消費者建立的連結。如果您透過其他方式控管消費者存取權，並想對服務啟用寬鬆的存取權，自動接受所有連線可能就適合您。

消費者接受和拒絕名單

消費者接受清單和消費者拒絕清單是服務附件的安全功能。服務供應商可透過這些清單，指定哪些消費者可以建立 Private Service Connect 連線，存取他們的服務。如果服務附件設定為需要明確核准，只有當消費者位於接受清單中，且不在拒絕清單中時，系統才會接受新的連線。除非啟用連線協調功能，否則消費者名單的更新只會影響新連線。

消費者接受和拒絕清單可讓您透過下列任一方式指定消費者：

專案
虛擬私有雲網路
Private Service Connect 端點 (預先發布版)

這個方法不適用於 Private Service Connect 後端。

如果將同一位消費者同時加入接受和拒絕清單，該消費者就無法連線至服務附件。系統不支援依資料夾指定消費者。

服務附件的兩個消費者清單必須包含相同類型的消費者。舉例來說，如果您將專案新增至接受清單，就無法將虛擬私有雲網路或端點 URI 新增至任一清單，除非您以新類型的消費者取代接受清單中的專案。

如要發布可接受不同類型消費者的服務，您可以建立多個連線至同一服務的服務附件。每個服務連結都可以設定專屬的連線偏好設定和消費者清單。

您可以在不中斷連線的情況下，變更消費者清單中的消費者類型，但必須在單一更新中進行變更。否則作業會失敗。

接受和拒絕名單可新增的消費者人數上限如下：

消費者接受清單最多可新增 5,000 個值。
最多可將 64 個值新增至消費者拒絕清單。

消費者清單可控管端點或後端是否能連線至已發布的服務，但無法控管誰能將要求傳送至該端點。舉例來說，假設消費者有共用虛擬私有雲網路，並附加了兩個服務專案。如果已發布的服務在消費者接受清單中包含 service-project1，且在消費者拒絕清單中包含 service-project2，則適用下列情況：

service-project1 中的消費者可以建立端點，連線至已發布的服務。
service-project2 中的消費者無法建立連線至已發布服務的端點。
如果沒有防火牆規則或政策禁止該流量，service-project2 中的用戶端可以將要求傳送至 service-project1 中的端點。

如要瞭解消費者接受清單如何與機構政策互動，請參閱消費者接受清單與機構政策的互動。

消費者接受清單限制

消費者接受清單有連線限制。這些限制會設定服務附件可從指定消費者專案或虛擬私有雲網路接受的 Private Service Connect 端點連線總數。

生產者可以設定連線限制，避免個別消費者耗盡生產者虛擬私有雲網路中的 IP 位址或資源配額。每接受一個 Private Service Connect 連線，就會從消費者專案或虛擬私有雲網路的設定限制中扣除。您可以在建立或更新消費者接受名單時設定限制。您可以說明服務附件時，查看服務附件的連線。

舉例來說，假設服務附件的消費者接受清單包含 project-1 和 project-2，兩者都只能建立一個連線。專案 project-1 要求兩個連線，project-2 要求一個連線，project-3 則要求一個連線。由於「project-1」只能建立一個連線，因此系統會接受第一個連線，第二個連線則會維持待處理狀態。已接受 project-2 的連線要求，但 project-3 的連線要求仍待處理。如要接受來自 project-1 的第二個連線，請提高 project-1 的限制。如果將 project-3 新增至消費者接受清單，該連線就會從待處理狀態轉為已接受狀態。

連線協調

連線協調功能會判斷服務連結接受或拒絕清單的更新，是否會影響現有的 Private Service Connect 連線。啟用連線協調功能後，更新接受或拒絕清單可能會終止現有連線。先前遭拒的連線可以接受。如果停用連線協調功能，更新接受或拒絕清單只會影響新的連線和待處理的連線。

舉例來說，假設服務附件接受了來自 Project-A 的多個連線。Project-A 位於服務附件的接受清單中。從接受清單中移除 Project-A，即可更新服務附件。

如果啟用連線協調，所有現有連線都會從 Project-A 轉換為 PENDING，這會終止兩個虛擬私有雲網路之間的網路連線，並立即停止網路流量。

如果停用連線協調功能，現有的連線不會受到影響。Project-A網路流量仍可透過現有的 Private Service Connect 連線傳輸。不過，系統會禁止建立任何新的 Private Service Connect 連線。

如要瞭解如何為新的服務附件設定連線調節功能，請參閱「發布具有明確核准功能的服務」。

如要瞭解如何為現有服務附件設定連線調節，請參閱「設定連線調節」。

接受或拒絕 Private Service Connect 端點連線

如要接受或拒絕個別 Private Service Connect 端點連線，請將端點的 ID 型 URI 新增至服務連結的消費者清單。建議多租戶服務採用這種方法，因為可提供最精細的連線管理控制選項。透過 Private Service Connect 端點接受消費者僅適用於 Private Service Connect 端點，不支援 Private Service Connect 後端。

與專案或虛擬私有雲網路不同，您只能在消費者建立 Private Service Connect 端點後，接受或拒絕個別端點。這是因為在消費者建立端點之前，系統不會知道端點的專屬 URI。將端點新增至消費者接受清單的步驟如下：

生產者發布需要明確核准的服務，但未在消費者接受清單中新增任何值。
消費者會建立連線至已發布服務的端點。連線會顯示在服務附件中，狀態為 Pending。
如要找出待處理端點的 ID 型 URI，生產者可以說明附加服務，消費者則可以說明端點。
生產端會將端點的 ID 型 URI 新增至消費者接受清單。連線已建立，狀態會變更為 Accepted。