能否同时使用GCP VPC Service Control访问级别与出入口策略？相关疑问

疑问1：是否需在访问级别中允许SA2？此举是否会让SA2获得所有项目权限而非规则指定的单个项目？ #

• 必须在访问级别中添加SA2的身份规则，但不会让SA2获得所有项目权限。VPC SC的访问控制是访问级别+入口规则的组合生效：
  1. 访问级别仅负责定义“哪些身份具备访问受限服务的资格”，是基础准入门槛；
  2. 入口规则会进一步限定“该身份能访问哪个项目的哪些服务、哪些方法”。
• 举个实际场景：如果访问级别允许SA2，但你只给SA2配置了针对Project X的入口规则，那么SA2仅能访问Project X内的指定服务，完全无法触及其他受VPC SC保护的项目资源。

疑问2：若入口规则以服务账号为身份，是否必须配置包含该账号的访问级别？ #

• 是的，这是VPC SC的强制校验逻辑：
  1. 系统首先校验请求身份是否在访问级别的允许范围内，若不在，直接返回NO_MATCHING_ACCESS_LEVEL错误；
  2. 只有通过访问级别校验后，才会进一步检查该身份对应的入口规则是否匹配请求的资源、服务和方法。
• 可以简单理解为：访问级别是“入场资格”，入口规则是“具体可访问的区域”，没有入场资格的话，哪怕区域权限配置正确也无法访问。

内容的提问来源于stack exchange，提问作者rdntech14