Bucket IP 過濾

您可以透過 bucket IP 篩選功能，根據用戶端 IPv4 或 IPv6 位址範圍和虛擬私有雲 (VPC) 網路，限制 Cloud Storage bucket 的存取權。這項網路層級控管機制可與 Identity and Access Management (IAM) 權限搭配使用，協助保護機密資料，並防止未經核准的網路未經授權存取。

優點

Cloud Storage 的 bucket IP 過濾功能有下列優點：

  • 精細的存取控管：根據要求者的特定 IP 位址 (IPv4 或 IPv6) 或虛擬私有雲網路，限制 Cloud Storage bucket 的存取權。Bucket IP 篩選功能是強大的網路層級安全防護機制，可防止不明或不受信任的來源未經授權存取。

  • 強化安全防護：限制只有授權的 IP 位址或虛擬私有雲網路可以存取，降低未經授權存取、資料侵害和惡意活動的風險。

  • 彈性設定：您可以在 bucket 層級設定及管理 IP 範圍清單，根據特定需求自訂存取控管。

IP 過濾設定

Bucket IP 過濾功能可讓您定義規則，允許來自特定 IPv4 和 IPv6 位址的要求，藉此控管 bucket 的存取權。系統會根據這些規則評估傳入的要求，判斷是否授予存取權。

設定 IP 過濾功能時，您需要根據下列設定定義規則：

  • 公開網際網路存取權：您可以定義規則，管理來自公開網際網路 (任何已設定的虛擬私有雲網路外部) 的要求。這些規則會使用 CIDR 範圍指定允許的 IPv4 或 IPv6 位址，授權來自這些來源的傳入流量。

  • 虛擬私有雲存取權：如要精細控管特定虛擬私有雲網路的存取權，可以為各個網路定義規則。這些規則包含允許的 IP 範圍，可精確管理虛擬網路基礎架構的存取權。

  • 服務代理存取權：即使 IP 過濾設定已啟用， Cloud de Confiance by S3NS 服務代理仍可存取 bucket。您可以設定允許 Cloud de Confiance by S3NS 服務 (例如 BigLake、儲存空間分析、Vertex AI 和 BigQuery) 在存取 bucket 時，略過 IP 篩選器驗證程序。

  • 跨組織虛擬私有雲存取權：如要與不同Cloud de Confiance 組織中受信任的虛擬私有雲網路安全共用資料，您可以定義規則，允許這些網路存取您的 bucket。

限制

Bucket IP 篩選功能有下列限制：

  • IP CIDR 區塊數量上限：在 bucket 的 IP 篩選器規則中，您最多可以指定 200 個 IP CIDR 區塊，涵蓋公開網路和虛擬私有雲網路。

  • 虛擬私有雲網路數量上限：在 bucket 的 IP 篩選器規則中，最多可指定 25 個虛擬私有雲網路。

  • 區域端點：只有在使用 Private Service Connect 時，區域端點才能與 IP 篩選功能搭配使用。

  • IPv6 支援：IPv4 VM 不支援使用 gRPC 直接路徑進行 IP 篩選。搭配使用 IP 過濾功能和 gRPC 直接路徑時，必須在虛擬私有雲網路啟用 IPv6 支援。

  • 遭封鎖的 Cloud de Confiance by S3NS 服務：在 Cloud Storage bucket 啟用 IP 過濾功能後，無論 Cloud de Confiance by S3NS 服務是否使用服務代理與 Cloud Storage 互動，部分服務的存取權都會受到限制。例如，BigQuery 等服務會使用 Cloud Storage 匯入及匯出資料。為避免服務中斷，建議您不要對下列服務存取的 Cloud Storage bucket 啟用 IP 篩選功能：

後續步驟