PAYATHON 2026

如何排查和抑制 google-internal 身份触发的 VPCSC 违规日志？

数据小陈

这条日志表明，对 cloudasset.googleapis.com 的调用未通过 VPCSC 的 dry-run 策略检查。日志经过脱敏，无法仅凭它确定调用是由哪个后台任务、控制台操作或服务触发的。可以使用违规分析器继续定位来源，也可以过滤日志；让请求通过策略检查和减少日志需要分别处理。

为什么支持的服务也会出现 google-internal？

serviceName 表示此次请求访问的目标服务，而不是发起请求的上游服务。目标服务 cloudasset.googleapis.com 受到支持，调用方仍可能显示为 google-internal。Google 的排查文档提到，不受支持的服务访问受保护服务时也可能触发违规，但不能据此认定本次调用的触发方。VPCSC 排查说明

google-internal 是身份脱敏后的标记，无法通过它还原具体账号。callerIp: "private" 表示调用来自 Google 内部生产网络，可能涉及服务间调用；它不能证明请求来自你自己的 VPC，也无法识别最初发起操作的用户。审计日志中的调用方身份与 IP

这条日志实际说明了什么？

优先查看以下字段：

字段对本次排查的意义
methodName记录的目标方法是 google.cloud.asset.v1.AssetService.CollectAggregatedValues；仅凭方法名不能确定上游业务来源，例如它是否属于某个固定的后台任务
violationReason: "NO_MATCHING_ACCESS_LEVEL"请求上下文没有匹配外围的 ingress rules 或 access levels，需要检查来源、身份及相关条件
ingressViolations提供涉及的目标项目和 service perimeter
dryRun: true该记录来自试运行策略检查，不能仅凭 status.code: 7 或 severity: "ERROR" 判断业务调用已被实际阻断
vpcsc.permissions.unavailable日志没有提供可用的具体权限映射，不能将该值当作需要授予的 IAM permission

请求最终是否成功，还需要结合生效中的外围策略、其他拒绝日志和客户端结果判断。字段定义见 VPCSC 审计日志说明。

如何定位具体触发来源？

  1. 找到未脱敏的原始日志，保留时间、项目、外围名称、vpcServiceControlsUniqueId 和 vpcServiceControlsTroubleshootToken。
  2. 在 Logs Explorer 中打开该记录，选择 VPC Service Controls 的排查入口。也可以在组织级 VPC Service Controls 页面打开 Violation analyzer，输入 unique ID 或 troubleshooting token。该工具支持分析 dry-run 违规。违规分析器使用方法
  3. 查看分析结果中的调用方上下文、目标资源和未匹配条件，再按同一时间窗口对照控制台操作、自动化任务及其他服务日志，寻找可重复触发的操作。时间接近只能作为线索，还需要进一步验证。
  4. 如果身份仍被脱敏且无法关联来源，向 Google Cloud 支持提供原始事件时间、项目、外围、方法名和排查 token，请求协助确认调用链。

如何解决或抑制这类违规？

让合法请求通过策略检查

先确认调用来源和业务用途，再评估是否需要添加范围受限的 ingress rule，限定所需的来源、身份、目标资源及 API 操作。Google 对 NO_MATCHING_ACCESS_LEVEL 的排查建议优先考虑粒度更细的 ingress rule。相关解决建议

不要把脱敏标记 google-internal 当作可配置的真实身份，也不要把 private 填入 IP 允许列表。当前记录来自 dry-run，应先在试运行配置中验证调整效果，再决定是否应用到生效配置。

减少日志或告警噪声

VPCSC 的 Policy Denied 审计日志无法停止生成，但可以在 _Default sink 添加 exclusion filter，阻止匹配记录被该 sink 路由到目标存储。日志排除说明

可以先在 Logs Explorer 中用以下条件查询，检查匹配范围后再用于日志排除：

log_id("cloudaudit.googleapis.com/policy")
protoPayload.serviceName="cloudasset.googleapis.com"
protoPayload.methodName="google.cloud.asset.v1.AssetService.CollectAggregatedValues"
protoPayload.authenticationInfo.principalEmail="google-internal"
protoPayload.requestMetadata.callerIp="private"
protoPayload.metadata.violationReason="NO_MATCHING_ACCESS_LEVEL"
protoPayload.metadata.dryRun=true
protoPayload.metadata.securityPolicyInfo.servicePerimeterName="accessPolicies/POLICY_ID/servicePerimeters/PERIMETER_NAME"
protoPayload.resourceName="projects/PROJECT_NUMBER"

将 POLICY_ID、PERIMETER_NAME 和 PROJECT_NUMBER 替换为原始日志中的值。保留 dryRun=true 可以让过滤条件仅匹配试运行记录。

排除条件只影响配置它的 sink，其他适用的 sink 仍可能保存日志；它也不会改变 VPCSC 的检查结果。Cloud Logging 路由规则

如果只是告警过多，可以优先调整告警规则对这类已确认事件的匹配范围，保留日志供后续排查。配置存储排除前，应保存必要的事件样本和 troubleshooting token。日志被排除后，违规分析器可能无法通过 unique ID 找到事件，此时可尝试使用 token。违规分析器限制

备注：内容仅供参考。