Mit der Bucket-IP-Filterung können Sie den Zugriff auf Ihre Cloud Storage-Buckets basierend auf IPv4- oder IPv6-Adressbereichen von Clients und VPC-Netzwerken (Virtual Private Cloud) einschränken. Diese Steuerung auf Netzwerkebene funktioniert zusammen mit IAM-Berechtigungen (Identity and Access Management), um sensible Daten zu schützen und unbefugten Zugriff von nicht genehmigten Netzwerken zu verhindern.
Vorteile
Die Bucket-IP-Filterung für Cloud Storage bietet die folgenden Vorteile:
Detaillierte Zugriffssteuerung: Beschränken Sie den Zugriff auf Ihre Cloud Storage-Buckets basierend auf der spezifischen IP-Adresse (IPv4 oder IPv6) oder dem VPC-Netzwerk des Anfragenden. Die IP-Filterung für Buckets dient als starke Sicherheitsebene auf Netzwerkebene und verhindert unbefugten Zugriff von unbekannten oder nicht vertrauenswürdigen Quellen.
Erweiterte Sicherheit: Durch die Beschränkung des Zugriffs auf autorisierte IP-Adressen oder VPC-Netzwerke können Sie das Risiko von unbefugtem Zugriff, Datenpannen und böswilligen Aktivitäten verringern.
Flexible Konfiguration: Sie können Listen von IP-Bereichen auf Bucket-Ebene konfigurieren und verwalten und so die Zugriffssteuerung an Ihre spezifischen Anforderungen anpassen.
IP-Filterungskonfigurationen
Mit der Bucket-IP-Filterung können Sie den Zugriff auf Ihre Buckets steuern, indem Sie Regeln definieren, die Anfragen von bestimmten IPv4- und IPv6-Adressen zulassen. Eingehende Anfragen werden anhand dieser Regeln ausgewertet, um die Zugriffsberechtigungen zu bestimmen.
Wenn Sie die IP-Filterung konfigurieren, definieren Sie Regeln anhand der folgenden Einstellungen:
Öffentlicher Internetzugriff: Sie können Regeln definieren, um Anfragen aus dem öffentlichen Internet (außerhalb eines konfigurierten VPC-Netzwerk) zu verwalten. In diesen Regeln werden zulässige IPv4- oder IPv6-Adressen mithilfe von CIDR-Bereichen angegeben, um eingehenden Traffic von diesen Quellen zu autorisieren.
VPC-Zugriff: Wenn Sie den Zugriff von bestimmten VPC-Netzwerken aus detailliert steuern möchten, können Sie für jedes Netzwerk Regeln definieren. Diese Regeln umfassen zulässige IP-Bereiche, sodass Sie den Zugriff von Ihrer virtuellen Netzwerkinfrastruktur aus genau verwalten können.
Zugriff des Dienst-Agents: Google Cloud Dienst-Agents behalten den Zugriff auf Buckets, auch wenn eine IP-Filterkonfiguration aktiv ist. Sie können eine Konfiguration einrichten, die es Google Cloud -Diensten wie BigLake, Storage Insights, Vertex AI und BigQuery ermöglicht, die IP-Filterungsvalidierung beim Zugriff auf Ihre Buckets zu umgehen.
Organisationsübergreifender VPC-Zugriff: Wenn Sie Daten sicher mit vertrauenswürdigen VPC-Netzwerken in verschiedenenGoogle Cloud -Organisationen teilen möchten, können Sie Regeln definieren, um ihnen Zugriff auf Ihren Bucket zu gewähren.
Beschränkungen
Für die Bucket-IP-Filterung gelten die folgenden Einschränkungen:
Maximale Anzahl von IP-CIDR-Blöcken: Sie können in der IP-Filterregel für einen Bucket maximal 200 IP-CIDR-Blöcke für öffentliche und VPC-Netzwerke angeben.
Maximale Anzahl von VPC-Netzwerken: Sie können maximal 25 VPC-Netzwerke in den IP-Filterregeln für einen Bucket angeben.
Regionale Endpunkte: Regionale Endpunkte funktionieren nur mit IP-Filterung, wenn Sie Private Service Connect verwenden.
IPv6-Unterstützung: IP-Filterung mit gRPC DirectPath wird auf einer IPv4-VM nicht unterstützt. Wenn Sie die IP-Filterung mit gRPC DirectPath verwenden, müssen Sie die IPv6-Unterstützung im VPC-Netzwerk aktivieren.
Blockierte Google Cloud Dienste: Wenn Sie die IP-Filterung für Cloud Storage-Buckets aktivieren, wird der Zugriff für einige Google Cloud Dienste eingeschränkt, unabhängig davon, ob sie einen Dienst-Agenten für die Interaktion mit Cloud Storage verwenden. Dienste wie BigQuery verwenden Cloud Storage beispielsweise zum Importieren und Exportieren von Daten. Um Dienstunterbrechungen zu vermeiden, empfehlen wir, für Cloud Storage-Buckets, auf die die folgenden Dienste zugreifen, keine IP-Filterung zu verwenden:
- BigQuery-Interaktionen mit Cloud Storage:
- Wenn Ihre App Engine-Anwendungen auf Daten in Cloud Storage zugreifen, empfehlen wir, App Engine über ein VPC-Netzwerk zu verwenden.
- Die IP-Filterung unterstützt Cloud Shell nicht.