Cloud FTP 需要访问 Cloud Storage 存储桶，才能在存储桶中上传和下载数据。如果您的组织使用 VPC Service Controls 来帮助保护 Cloud Storage，则需要进行额外设置才能使用 Cloud FTP 传输数据。本文档介绍了如何创建具有入站流量规则的 VPC Service Controls 服务边界，以允许 Cloud FTP 传输存储在边界内的 Cloud Storage 数据。
如需了解 VPC Service Controls 的背景信息，请参阅 VPC Service Controls 概览。
所需的角色
如需获得创建服务边界所需的权限，请让您的管理员为您授予贵组织的 Access Context Manager Admin (roles/accesscontextmanager.policyAdmin) IAM 角色。如需详细了解如何授予角色，请参阅管理对项目、文件夹和组织的访问权限。
配置服务边界
如需允许 SFTP 服务器在边界内传输 Cloud Storage 数据，请按照创建服务边界的步骤操作。提供以下信息：
- 边界类型：选择常规。
- 要保护的资源：将以下项目添加到边界：
- 包含您要帮助保护的 Cloud Storage 存储桶的项目
- 包含 SFTP 服务器的项目
- 受限服务：将以下服务添加到边界：
- Cloud FTP API (
ftp.googleapis.com) - Cloud Storage API (
storage.googleapis.com)
- Cloud FTP API (
- VPC 可访问服务：选择所有受限服务。
- 访问权限级别：添加具有以下条件的访问权限级别：
- 满足条件时返回：选择真。
- 选择公共 IP。
- IP 子网：连接到服务器的 SFTP 客户端的 IP 地址或 CIDR 范围。
- 入站流量政策：
- 在来源部分中，提供以下值：
- 身份：选择任何身份，以便为 SFTP 服务器的所有用户提供访问权限。或者，如果您只想向特定用户授予访问权限，请提供这些用户的服务账号的电子邮件地址。如需了解获取用户服务账号的步骤，请参阅获取用户的详细信息。
- 来源：选择您创建的访问权限级别。
- 在目标部分，提供以下值：
- 资源：选择包含您要帮助保护的 Cloud Storage 存储桶的项目。
- 操作或 IAM 角色：
- 添加一条针对
ftp.googleapis.com的入站规则。 - 如果 Cloud Storage (
storage.googleapis.com) 受设备安全状况访问权限级别（例如 Chrome 企业进阶版）保护，则还需添加一个针对storage.googleapis.com的方法级入站流量规则。将 API 方法限制为 Cloud FTP 长时间运行的操作：ftp.googleapis.com/operations.*
- 添加一条针对
- 在来源部分中，提供以下值：
其他配置选项
- 如果包含 Cloud Storage 存储桶的项目位于现有服务边界内，则您可以更新边界的访问权限级别和入站流量政策，为 Cloud FTP API 服务添加保护。
- 如果您的 Cloud Storage 和 Cloud FTP 资源位于不同的服务边界内，请创建边界网桥，以允许不同边界内的项目和服务进行通信。
限制
- 对于外部服务器，只要
ftp.googleapis.com服务包含在边界的受限服务列表中，系统就会动态应用边界强制执行。 - 对于内部服务器，仅在创建服务器时验证边界强制执行。这种行为意味着，如果您在创建内部服务器后更改边界，则系统不会在现有内部服务器上检测或强制执行任何边界更改（例如边界成员资格、入站流量政策或网络关联）。您必须重新创建内部服务器，才能强制执行更新后的边界控制。
- SFTP 和 SSH 会话不携带设备状态元数据，例如 Chrome 企业进阶版设备属性或端点验证证书。此行为意味着入站规则只能强制执行 IP 地址和身份条件。
问题排查
如需问题排查方面的帮助，请参阅 VPC Service Controls 问题排查。