Crea un bucket con regole di filtro IP

Questa pagina descrive come creare un bucket con regole di filtro IP. Creando un bucket con il filtro IP, puoi controllare l'accesso ai tuoi bucket esaminando le richieste in arrivo rispetto agli indirizzi IP specificati nelle regole di filtro IP del bucket. Per maggiori dettagli, vedi Filtro IP dei bucket.

Per informazioni su come creare o aggiornare le regole di filtro IP su un bucket esistente, consulta Aggiorna le regole di filtro IP del bucket.

Ruoli obbligatori

Per ottenere le autorizzazioni necessarie per creare un bucket con regole di filtro IP, chiedi all'amministratore di concederti il ruolo Storage Admin (roles/storage.admin) sul bucket. Questo ruolo contiene le autorizzazioni necessarie per creare un bucket con regole di filtro IP.

Per vedere quali sono esattamente le autorizzazioni richieste, espandi la sezione Autorizzazioni obbligatorie:

Autorizzazioni obbligatorie

  • storage.buckets.create
  • storage.buckets.setIpFilter

Puoi anche ottenere queste autorizzazioni con i ruoli personalizzati. Potresti anche ottenere queste autorizzazioni con altri ruoli predefiniti. Per vedere quali ruoli sono associati a quali autorizzazioni, consulta Ruoli IAM per Cloud Storage.

Per istruzioni sulla concessione dei ruoli sui bucket, consulta Impostare e gestire le policy IAM sui bucket.

Crea un bucket con regole di filtro IP

Console

  1. Nella console Google Cloud , vai alla pagina Bucket in Cloud Storage.

    Vai a Bucket

  2. Fai clic su Crea.

  3. Nella pagina Crea un bucket, inserisci le informazioni sul bucket. Dopo ciascuno dei seguenti passaggi, fai clic su Continua per procedere con il passaggio successivo:

    1. Nella sezione Inizia, segui questi passaggi:

      • Inserisci un nome univoco globale che soddisfi i requisiti per il nome del bucket.

      • Per aggiungere un'etichetta bucket, fai clic sulla freccia di espansione per espandere la sezione Etichette, fai clic su Aggiungi etichetta e specifica un key e un value per l'etichetta.

    2. Nella sezione Scegli dove archiviare i tuoi dati, segui questi passaggi:

      1. Seleziona un Tipo di località.

      2. Utilizza il menu a discesa del tipo di località per selezionare una località in cui verranno archiviati in modo permanente i dati degli oggetti all'interno del bucket.

        • Se selezioni il tipo di località a due regioni, puoi anche scegliere di attivare la replica turbo utilizzando la casella di controllo pertinente.

      3. Per configurare la replica tra bucket, seleziona Aggiungi replica tra bucket tramite Storage Transfer Service e segui i passaggi:

        Configura la replica tra bucket

        1. Nel menu Bucket, seleziona un bucket.

        2. Nella sezione Impostazioni di replica, fai clic su Configura per configurare le impostazioni per il job di replica.

          Viene visualizzato il riquadro Configura replica tra bucket.

          • Per filtrare gli oggetti da replicare in base al prefisso del nome dell'oggetto, inserisci un prefisso con cui includere o escludere gli oggetti, quindi fai clic su Aggiungi un prefisso.
          • Per impostare una classe di archiviazione per gli oggetti replicati, seleziona una classe di archiviazione dal menu Classe di archiviazione. Se salti questo passaggio, gli oggetti replicati utilizzeranno per impostazione predefinita la classe di archiviazione del bucket di destinazione.
          • Fai clic su Fine.

    3. Nella sezione Scegli come archiviare i tuoi dati, segui questi passaggi:

      1. Seleziona una classe di archiviazione predefinita per il bucket o Autoclass per la gestione automatica della classe di archiviazione dei dati del bucket.

      2. Nella sezione Ottimizza l'archiviazione per workload con uso intensivo dei dati, segui questi passaggi:

        • Per abilitare lo spazio dei nomi gerarchico, seleziona Abilita uno spazio dei nomi gerarchico in questo bucket.

        • Per attivare Rapid Cache, seleziona Attiva Rapid Cache e segui i passaggi:

          1. Per creare le cache, fai clic su Configura.

          2. Nella finestra di dialogo Configura impostazioni cache visualizzata, fai clic sulla freccia menu a discesa accanto alle regioni elencate e seleziona le zone in cui vuoi creare le cache.

          3. Fai clic su Fine.

    4. Nella sezione Scegli come controllare l'accesso agli oggetti, segui questi passaggi:

      1. Seleziona se il bucket applica la prevenzione dell'accesso pubblico.

      2. Seleziona Uniforme per abilitare l'accesso uniforme a livello di bucket nel bucket.

      3. Per configurare il filtro IP per il bucket, segui questi passaggi:

        1. Nella sezione Filtro IP, fai clic su  Configura.

        2. Per consentire l'accesso da indirizzi IP pubblici:

          1. Fai clic su Internet pubblico.

          2. Nel campo Intervalli IP consentiti, specifica uno o più intervalli di indirizzi IPv4 o intervalli CIDR IPv6 da consentire. Ad esempio, 192.0.2.0/24 o 2001:db8::/32.

            Per evitare di perdere l'accesso al bucket, includi il tuo indirizzo IP.

        3. Per consentire l'accesso dalle reti VPC:

          1. Fai clic su Reti VPC.

          2. Per ogni rete, segui questi passaggi:

            1. Fai clic su Aggiungi rete VPC.

            2. Nella sezione Nuova rete VPC, specifica le seguenti informazioni:

              • Nel campo ID progetto, inserisci l'ID progetto.
              • Nel campo Nome rete, inserisci il nome della rete.

              • Nel campo Intervalli IP consentiti, inserisci uno o più intervalli CIDR IPv4 o IPv6, ad esempio 192.0.2.0/24 o 2001:db8::/32.

                Per evitare di perdere l'accesso al bucket, includi il tuo indirizzo IP.

            3. Fai clic su Fine.

        4. Per consentire agli agenti di servizio Google Cloud e alle reti VPC attendibili di altre organizzazioni di ignorare la configurazione del filtro IP, segui questi passaggi:

          1. Fai clic su Impostazioni aggiuntive.

          2. Nella sezione Accesso del service agent Google Cloud, seleziona una delle seguenti opzioni:

            • Consenti l'accesso al service agent: consente ai servizi Google Cloud come BigLake, Storage Insights, Vertex AI e BigQuery di ignorare la convalida del filtro IP quando devono accedere a questo bucket.
            • Nega l'accesso del service agent: applica le regole di filtro IP per i service agent Google Cloud .
          3. Nella sezione Accesso VPC tra organizzazioni, esegui una delle seguenti operazioni:
            • Per consentire l'accesso da reti VPC specificate situate in organizzazioni Google Cloud diverse, fai clic sul pulsante di attivazione/disattivazione per impostarlo su Consenti.
            • Per bloccare l'accesso dalle reti VPC esterne alla tua organizzazione Google Cloud , fai clic sul pulsante di attivazione/disattivazione per impostarlo su Nega (stato predefinito).
        5. Fai clic su Rivedi e poi su Salva.

    5. Nella sezione Scegli come proteggere i dati degli oggetti, segui questi passaggi:

      • Seleziona una delle opzioni in Protezione dei dati che vuoi impostare per il bucket.

      • Per modificare il periodo di tempo durante il quale l'eliminazione temporanea conserva gli oggetti dopo l'eliminazione, seleziona la casella di controllo Criteri di eliminazione temporanea e poi seleziona l'opzione Imposta durata di conservazione personalizzata. Quindi, specifica per quanto tempo vuoi conservare gli oggetti eliminati.

        Per disattivare l'eliminazione temporanea, ad esempio se il bucket conterrà principalmente dati temporanei di breve durata, deseleziona la casella di controllo politica di cancellazione temporanea.

      • Per scegliere come criptare i dati degli oggetti, fai clic sulla freccia di espansione con l'etichetta Crittografia dei dati e procedi nel seguente modo:

  4. Fai clic su Crea.

gcloud

  1. Verifica di aver installato Google Cloud CLI versione 526.0.0 o successive:

    gcloud version | head -n1

  2. Se hai installato una versione precedente di gcloud CLI, aggiornala:

    gcloud components update --version=526.0.0

  3. Crea un file JSON che definisca le regole per le richieste in entrata. Per esempi e informazioni su come strutturare le regole di filtro IP dei bucket, consulta Configurazioni di filtro IP dei bucket.

    {
  "mode":"MODE",
  "publicNetworkSource":{
      "allowedIpCidrRanges":[
        "RANGE_CIDR",
        "..."
      ]
  },
  "vpcNetworkSources":[
      {
        "network":"projects/PROJECT_ID/global/networks/NETWORK_NAME",
        "allowedIpCidrRanges":[
            "RANGE_CIDR",
            "..."
        ]
      },
      "..."
  ],
  "allowCrossOrgVpcs":ALLOW_CROSS_ORG_VPCS,
  "allowAllServiceAgentAccess": ALLOW_ALL_SERVICE_AGENT_ACCESS
}

    Dove:

    • MODE è la modalità di configurazione del filtro IP del bucket. I valori validi sono Enabled e Disabled. Se impostato su Enabled, le regole di filtro IP vengono applicate a un bucket. Qualsiasi richiesta in entrata al bucket viene valutata in base a queste regole. Se impostato su Disabled, tutte le richieste in entrata possono accedere al bucket.

    • RANGE_CIDR è un intervallo di indirizzi IPv4 o IPv6 della rete pubblica autorizzato ad accedere al bucket. Puoi inserire uno o più intervalli di indirizzi come elenco.

    • PROJECT_ID è l'ID progetto in cui esiste la rete Virtual Private Cloud (VPC). Per configurare più reti VPC, devi specificare il progetto in cui si trova ogni rete.

    • NETWORK_NAME è il nome della rete VPC autorizzata ad accedere al bucket. Per configurare più reti VPC, devi specificare un nome per ogni rete.

    • ALLOW_CROSS_ORG_VPCS è un valore booleano che indica se consentire alle reti VPC definite in vpcNetworkSources di provenire da un'altra organizzazione. Questo campo è facoltativo. Se impostato su true, la richiesta consente reti VPC tra organizzazioni. Se impostata su false, la richiesta limita le reti VPC alla stessa organizzazione del bucket. Se non specificato, il valore predefinito è false. Questo campo si applica solo se vpcNetworkSources non è vuoto.

    • ALLOW_ALL_SERVICE_AGENT_ACCESS è un valore booleano che indica se consentire agli agenti di servizio di accedere al bucket, indipendentemente dalla configurazione del filtro IP. Se il valore è true, altri servizi Google Cloud possono utilizzare i service agent per accedere al bucket senza convalida basata su IP.

  4. Per creare un bucket con regole di filtro IP, esegui il comando gcloud storage buckets create nel tuo ambiente di sviluppo:

    gcloud storage buckets create gs://BUCKET_NAME --ip-filter-file=IP_FILTER_CONFIG_FILE

    Dove:

    • BUCKET_NAME è il nome che vuoi assegnare al bucket, soggetto ai requisiti di denominazione. Ad esempio, my-bucket.
    • IP_FILTER_CONFIG_FILE è il file JSON che definisce le regole per le richieste in entrata.

API JSON

  1. Avere gcloud CLI installato e inizializzato, che ti consente di generare un token di accesso per l'intestazione Authorization.

  2. Crea un file JSON contenente le impostazioni del bucket, che deve includere i campi di configurazione name e ipFilter per il bucket. Per esempi e informazioni su come strutturare le regole di filtro IP del bucket, consulta Configurazioni di filtro IP del bucket.

    {
  "name": "BUCKET_NAME",
  "ipFilter": {
    "mode": "MODE",
    "publicNetworkSource":
      {
        "allowedIpCidrRanges":
          [RANGE_CIDR,
            ...
          ]
      },
    "vpcNetworkSources":
      [
        {"network": "projects/PROJECT_ID/global/networks/NETWORK_NAME",
        "allowedIpCidrRanges":
          [RANGE_CIDR,
          ...
          ]
        },
      ...
      ],
    "allowCrossOrgVpcs": ALLOW_CROSS_ORG_VPCS,
    "allowAllServiceAgentAccess": ALLOW_ALL_SERVICE_AGENT_ACCESS
    },
}

    Dove:

    • MODE è lo stato della configurazione del filtro IP. I valori validi sono Enabled e Disabled. Se impostato su Enabled, le regole di filtro IP vengono applicate a un bucket e tutte le richieste in entrata al bucket vengono valutate in base a queste regole. Se impostato su Disabled, tutte le richieste in entrata possono accedere al bucket e ai relativi dati senza alcuna valutazione se disponi delle autorizzazioni IAM richieste.

    • RANGE_CIDR è un intervallo di indirizzi IPv4 o IPv6 di rete pubblica autorizzato ad accedere al bucket. Puoi inserire uno o più intervalli di indirizzi sotto forma di elenco.

    • PROJECT_ID è l'ID progetto in cui esiste la rete VPC. Per configurare più reti VPC, devi specificare il progetto in cui si trova ogni rete.

    • NETWORK_NAME è il nome della rete VPC autorizzata ad accedere al bucket. Per configurare più reti VPC, devi specificare un nome per ogni rete.

    • ALLOW_ALL_SERVICE_AGENT_ACCESS è un valore booleano che indica se consentire ai service agent di accedere al bucket, indipendentemente dalla configurazione del filtro IP. Se il valore è true, altri servizi Google Cloud possono utilizzare i service agent per accedere al bucket senza convalida basata su IP.

    • ALLOW_CROSS_ORG_VPCS è un valore booleano che indica se consentire alle reti VPC definite in vpcNetworkSources di provenire da un'organizzazione diversa. Questo campo è facoltativo. Se impostato su true, la richiesta consente reti VPC tra organizzazioni. Se impostato su false, la richiesta limita le reti VPC alla stessa organizzazione del bucket. Se non specificato, il valore predefinito è false. Questo campo si applica solo se vpcNetworkSources non è vuoto.

  3. Utilizza cURL per chiamare l'API JSON con una richiesta POST bucket:

    curl -X POST --data-binary @JSON_FILE_NAME \
 -H "Authorization: Bearer $(gcloud auth print-access-token)" \
 -H "Content-Type: application/json" \
 "https://storage.googleapis.com/storage/v1/b?project=PROJECT_ID"

    Dove:

    • JSON_FILE_NAME è il nome del file JSON che contiene le impostazioni per il bucket.
    • PROJECT_ID è l'ID del progetto a cui è associato il bucket. Ad esempio, my-project.

Configurazioni del filtro IP del bucket

Questa sezione fornisce esempi di configurazioni di file JSON di filtro IP del bucket per controllare l'accesso ai tuoi bucket Cloud Storage. Puoi concedere l'accesso alle richieste in entrata utilizzando uno dei seguenti esempi:

  • Qualsiasi indirizzo IP pubblico (IPv4 o IPv6):

    La seguente configurazione concede l'accesso a qualsiasi indirizzo IPv4 o IPv6 pubblico, ma blocca il traffico proveniente da qualsiasi VPC:

    gcloud

    {
  "mode": "Enabled",
  "publicNetworkSource": {
    "allowedIpCidrRanges": ["0.0.0.0/0", "::/0"]
  },
  "allowAllServiceAgentAccess": false
}

    API JSON

    {
  "name": "my-bucket",
  "ipFilter": {
    "mode": "Enabled",
    "publicNetworkSource": {
      "allowedIpCidrRanges": ["0.0.0.0/0", "::/0"]
    },
    "allowAllServiceAgentAccess": false
  }
}

  • Intervalli IP pubblici specifici:

    • La seguente configurazione di esempio concede l'accesso all'intervallo di indirizzi IPv4 pubblici 192.0.2.0/24, ma blocca il traffico proveniente da qualsiasi VPC:

      gcloud

      {
  "mode": "Enabled",
  "publicNetworkSource": {
    "allowedIpCidrRanges": ["192.0.2.0/24"]
  },
  "allowAllServiceAgentAccess": false
}

      API JSON

      {
  "name": "my-bucket",
  "ipFilter": {
    "mode": "Enabled",
    "publicNetworkSource": {
      "allowedIpCidrRanges": ["192.0.2.0/24"]
    },
    "allowAllServiceAgentAccess": false
  }
}

    • La seguente configurazione di esempio concede l'accesso all'intervallo di indirizzi IPv6 pubblici 2001:db8::/32, ma blocca il traffico proveniente da qualsiasi VPC:

      gcloud

      {
  "mode": "Enabled",
  "publicNetworkSource": {
    "allowedIpCidrRanges": ["2001:db8::/32"]
  },
  "allowAllServiceAgentAccess": false
}

      API JSON

      {
  "name": "my-bucket",
  "ipFilter": {
    "mode": "Enabled",
    "publicNetworkSource": {
      "allowedIpCidrRanges": ["2001:db8::/32"]
    },
    "allowAllServiceAgentAccess": false
  }
}

  • Reti VPC: utilizzando le seguenti configurazioni, puoi concedere l'accesso alle risorse all'interno della tua rete VPC. Puoi concedere l'accesso a tutti gli indirizzi IP all'interno del VPC o a intervalli IP specifici all'interno del VPC. In ciascuno di questi esempi, PROJECT_ID è l'ID progetto in cui esiste la rete VPC e NETWORK_NAME è il nome della rete VPC autorizzata ad accedere al bucket.

    • La seguente configurazione di esempio concede l'accesso a una richiesta da qualsiasi indirizzo IPv4 o IPv6 proveniente da un VPC specifico e blocca il traffico proveniente da un indirizzo IP pubblico:

      gcloud

      {
  "mode": "Enabled",
  "vpcNetworkSources": [
    {
      "network": "projects/PROJECT_ID/global/networks/NETWORK_NAME",
      "allowedIpCidrRanges": ["0.0.0.0/0", "::/0"]
    },
  ],
  "allowAllServiceAgentAccess": false
}

      API JSON

      {
  "name": "my-bucket",
  "ipFilter": {
    "mode": "Enabled",
    "vpcNetworkSources": [
      {
        "network": "projects/PROJECT_ID/global/networks/NETWORK_NAME",
        "allowedIpCidrRanges": ["0.0.0.0/0", "::/0"]
      },
    ],
    "allowAllServiceAgentAccess": false
  }
}

    • La seguente configurazione di esempio concede l'accesso solo a una richiesta da un VPC associato a una VM con un indirizzo IPv4 esterno come 192.0.2.0/24 e blocca il traffico proveniente da un indirizzo IP pubblico:

      gcloud

      {
  "mode": "Enabled",
  "vpcNetworkSources": [
    {
      "network": "projects/PROJECT_ID/global/networks/NETWORK_NAME",
      "allowedIpCidrRanges": ["192.0.2.0/24"]
    },
  ],
  "allowAllServiceAgentAccess": false
}

      API JSON

      {
  "name": "my-bucket",
  "ipFilter": {
    "mode": "Enabled",
    "vpcNetworkSources": [
      {
        "network": "projects/PROJECT_ID/global/networks/NETWORK_NAME",
        "allowedIpCidrRanges": ["192.0.2.0/24"]
      },
    ],
    "allowAllServiceAgentAccess": false
  }
}

    • La seguente configurazione di esempio concede l'accesso solo a una richiesta proveniente da un VPC con un intervallo di subnet IPv4 interno associato a una VM senza indirizzo IP esterno e blocca il traffico proveniente da un indirizzo IP pubblico:

      gcloud

      {
  "mode": "Enabled",
  "vpcNetworkSources": [
    {
      "network": "projects/PROJECT_ID/global/networks/NETWORK_NAME",
      "allowedIpCidrRanges": ["IP_ADDRESS"]
    },
  ],
  "allowAllServiceAgentAccess": false
}

      Dove:

      IP_ADDRESS è un intervallo di subnet IPv4 interno.

      API JSON

      {
  "name": "my-bucket",
  "ipFilter": {
    "mode": "Enabled",
    "vpcNetworkSources": [
      {
      "network": "projects/PROJECT_ID/global/networks/NETWORK_NAME",
      "allowedIpCidrRanges": ["IP_ADDRESS"]
      },
    ],
    "allowAllServiceAgentAccess": false
  }
}

      Dove:

      IP_ADDRESS è un intervallo di subnet IPv4 interno.

    • La seguente configurazione di esempio concede l'accesso solo a una richiesta proveniente da un VPC con intervallo di subnet IPv4 e IPv6 a doppio stack associato a una VM con un intervallo di indirizzi IPv6 esterni come 2001:db8::/32 e blocca il traffico proveniente da un indirizzo IP pubblico:

      gcloud

      {
  "mode": "Enabled",
  "vpcNetworkSources": [
    {
      "network": "projects/PROJECT_ID/global/networks/NETWORK_NAME",
      "allowedIpCidrRanges": ["2001:db8::/32"]
    },
  ],
  "allowAllServiceAgentAccess": false
}

      API JSON

      {
  "name": "my-bucket",
  "ipFilter": {
    "mode": "Enabled",
    "vpcNetworkSources": [
      {
        "network": "projects/PROJECT_ID/global/networks/NETWORK_NAME",
        "allowedIpCidrRanges": ["2001:db8::/32"]
      },
    ],
    "allowAllServiceAgentAccess": false
  }
}

Passaggi successivi

Provalo

Se non conosci Google Cloud, crea un account per valutare le prestazioni di Cloud Storage in scenari reali. I nuovi clienti ricevono anche 300 $di crediti senza costi per l'esecuzione, il test e il deployment dei carichi di lavoro.

Prova Cloud Storage senza costi