為雲端物件儲存空間轉移作業設定 VPC Service Controls

Storage 移轉服務支援將資料移轉至受 VPC Service Controls 保護的 Cloud Storage bucket。

Storage 移轉服務需要存取 Cloud Storage bucket，才能將資料移入 Cloud Storage bucket，或是在 bucket 之間移動資料。如果 bucket 位於 VPC Service Controls service perimeter 內，您必須完成額外設定，才能使用 Storage 移轉服務將資料移轉至 Cloud Storage。

如要保護 TransferJob 和 TransferOperation 要求，您可以將 Storage 移轉服務 API 新增為 service perimeter 的受保護服務。如要保護底層的 Cloud Storage bucket 和物件，您也需要將 Cloud Storage API 新增為服務 perimeter 的受保護服務。

如要進一步瞭解 VPC Service Controls，請參閱「VPC Service Controls 總覽」。

如要瞭解如何搭配使用 VPC Service Controls 和檔案系統移轉作業，請參閱「設定 VPC Service Controls 以進行檔案系統移轉」。

支援的設定

您可以透過下列方法，設定 Storage 移轉服務 與受 VPC Service Controls 保護的 Cloud Storage bucket 搭配使用：

  • 如果符合下列任一條件，您可以將 Storage 移轉服務專案新增至 Cloud Storage bucket 的服務周邊：

    • 您可以在單一 service perimeter 內設定 Cloud Storage bucket。
    • 所有 Cloud Storage bucket 都位於同一個服務安全防護範圍內。

    這個選項最容易設定及管理。

  • 如果符合下列任一條件，請建立周邊橋接器，連結至所有包含您在轉移作業中使用的 Cloud Storage bucket 的專案：

    • 您無法變更 Cloud Storage bucket 的 service perimeter。
    • Cloud Storage bucket 位於不同的 service perimeter。

    啟用這個選項後，即使兩個 Cloud Storage 專案位於不同的 service perimeter，Storage 移轉服務專案仍可在兩者之間移轉資料。這個選項也能確保只有一組受限的服務和資源，可以存取 Cloud Storage bucket perimeter。

  • 如果符合下列任一情況，請將 Storage 移轉服務的服務帳戶新增至存取層級：

    • Storage 移轉服務專案位於 Cloud Storage bucket 的 service perimeter 之外。

    • 即使服務帳戶屬於 perimeter 內的專案，也不符合 project-PROJECT_NUMBER@storage-transfer-service.iam.gserviceaccount.com 格式。

      如要查看服務帳戶的格式，請使用 googleServiceAccounts.get API 呼叫。

    這個選項不需要將 Storage 移轉服務專案放在 service perimeter 內。您也可以設定存取層級，只允許來自 Storage 移轉服務 服務帳戶的要求。

service perimeter

如要使用 service perimeter，請按照「建立 service perimeter」中的操作說明，加入下列專案和服務：

  • TransferJob 專案
  • Cloud Storage bucket 專案
  • Cloud Storage API (storage.googleapis.com)
  • Storage 移轉服務 API (storagetransfer.googleapis.com)

perimeter bridge

如要使用 perimeter bridge，請按照下列步驟操作：

  1. 為 Storage 移轉服務建立 service perimeter。

  2. 建立 perimeter bridge，連結：

    • TransferJob專案
    • Cloud Storage bucket 專案

存取層級

如要使用存取層級，請按照「建立存取層級」中的操作說明，將存取權授予 TransferJob 服務帳戶。

建立存取層級後，請將存取層級新增至 service perimeter，限制對包含 Cloud Storage bucket 的雲端專案的存取權。

外部資料來源

VPC Service Controls 的設計宗旨是保護 Google Cloud 資源，並防止未經授權的資料從服務範圍外流出。

根據設計，VPC Service Controls 不會禁止從 Google Cloud 外部的外部資料來源 (例如 Amazon S3、Microsoft Azure Blob Storage 或 HTTP/HTTPS 網址) 將資料移轉到服務邊界內的 Cloud Storage bucket。VPC Service Controls 不會評估 perimeter 邊界，也不會要求外部資料來源必須遵守輸出規則。

如要限制從外部資料來源轉移資料：

  • 強制執行自訂組織政策限制。舉例來說，您可以建立限制，只允許 Cloud Storage 到 Cloud Storage 的移轉作業。

疑難排解

如需疑難排解協助，請參閱「VPC Service Controls 疑難排解」。