用途：在 GCP 中部署与审计 VPC 防火墙规则，适用于新工作负载的网络访问控制、现有配置的过度宽松规则审计、VPC 内零信任网络分段、响应 Security Command Center 的开放防火墙发现，以及构建组织级分层防火墙策略。不适用于应用层过滤（应使用 Cloud Armor WAF）、基于 DNS 的过滤（应使用 Cloud DNS 响应策略），也不适用于在不了解 VPC 防火墙仅作用于 VPC 内流量的情况下过滤 VPN/互连流量。
主要能力：使用 gcloud compute firewall-rules list 枚举规则并按风险分类，筛选 0.0.0.0/0、全协议端口、SSH/RDP 开放及禁用规则；创建基于网络标签或服务账号的最小权限入站规则；配置默认拒绝出站并添加显式放行规则；通过 gcloud compute firewall-policies 创建组织/文件夹级分层策略；启用 VPC Flow Logs 并用 Cloud Logging 查询被拒流量与命中宽松规则的流量，可导出至 BigQuery。
使用方式：需启用 Compute Engine API，具备 roles/compute.securityAdmin（管理）与 roles/compute.networkViewer（审计）权限，组织级策略需 Organization Admin，gcloud CLI 已认证，目标子网启用 VPC Flow Logs。按审计、创建入站规则、实施出站限制、部署分层策略、启用流量日志的顺序执行。
限制与注意：删除规则前必须先启用流量日志并分析流量模式，否则可能导致中断；网络标签可被拥有 compute.instances.setTags 权限者修改，关键规则建议使用服务账号定向；隐含规则默认允许所有出站、拒绝所有入站，优先级为 65535。具体收费、价格与平台支持情况暂未提供。