Bucket IP 過濾

本頁面概略介紹 bucket IP 篩選功能，包括優點、運作方式、支援的位置，以及應考量的限制。

總覽

Cloud Storage 提供 bucket IP 篩選功能，可管理 bucket 中儲存資料的存取權。

值區 IP 篩選是一種網路安全機制，可根據要求的來源 IP 位址限制值區存取權，防止資料遭到未經授權的存取。

Cloud Storage 的 bucket IP 過濾功能可根據 IPv4 或 IPv6 位址範圍或 Google Cloud虛擬私有雲，進行精細的存取控管。您可以在 bucket 層級設定 IP 範圍清單，限制所有傳入 bucket 的要求只能來自設定的 IP 範圍和 VPC。這項功能可保護 Cloud Storage bucket 中的機密資料，並防止特定 IP 位址或虛擬私有雲未經授權存取。

優點

Cloud Storage 的 bucket IP 過濾功能有下列優點：

  • 精細存取控管：根據要求者的特定 IP 位址 (IPv4 或 IPv6) 或 Google Cloud 虛擬私有雲，限制 Cloud Storage bucket 的存取權。Bucket IP 過濾功能 可做為強大的網路層級安全防護層，防止不明或不受信任的來源未經授權存取。

  • 提升安全性：限制只有授權 IP 位址或 VPC 才能存取，可降低未經授權存取、資料侵害和惡意活動的風險。

  • 彈性設定：您可以在 bucket 層級設定及管理 IP 範圍清單，根據特定需求自訂存取控管。

IP 過濾設定

您可以定義規則，允許來自特定 IPv4 和 IPv6 位址的要求，藉此控管 bucket 的存取權。系統會根據這些規則評估傳入要求，判斷存取權。

設定 IP 過濾功能時，您可以根據下列設定定義規則：

  • 公開網際網路存取權：您可以定義規則，管理來自公開網際網路 (任何已設定的虛擬私有雲外部) 的要求。這些規則會使用 CIDR 範圍指定允許的 IPv4 或 IPv6 位址，授權來自這些來源的輸入流量。

  • 虛擬私有雲 (VPC) 存取權：如要精細控管特定虛擬私有雲網路的存取權，可以為每個網路定義規則。這些規則包括允許的 IP 範圍，可精確管理虛擬網路基礎架構的存取權。

  • 服務代理存取權：即使 IP 過濾設定已啟用， Google Cloud 服務代理仍可存取 bucket。您可以設定允許 Google Cloud 服務 (例如 BigLake、儲存空間分析、Vertex AI 和 BigQuery) 在存取 bucket 時，略過 IP 篩選器驗證程序。

  • 跨組織虛擬私有雲存取權：如要與不同Google Cloud 組織中受信任的虛擬私有雲網路安全共用資料，可以定義規則，允許這些網路存取 bucket。

限制

Bucket IP 篩選功能有下列限制：

  • IP CIDR 區塊數量上限：在 bucket 的 IP 篩選器規則中，您最多可以指定 200 個 IP CIDR 區塊，涵蓋公開網路和虛擬私有雲網路。

  • 虛擬私有雲網路數量上限：在 bucket 的 IP 篩選器規則中，最多可指定 25 個虛擬私有雲網路。

  • 區域端點：只有在使用 Private Service Connect 時，區域端點才能與 IP 篩選功能搭配使用。

  • IPv6 支援：IPv4 VM 不支援使用 gRPC 直接路徑進行 IP 篩選。搭配使用 IP 過濾功能和 gRPC 直接路徑時，必須在虛擬私有雲網路啟用 IPv6 支援。

  • 遭封鎖的 Google Cloud 服務：在 Cloud Storage bucket 啟用 IP 過濾功能後，無論 Google Cloud 服務是否使用服務代理與 Cloud Storage 互動，部分服務的存取權都會受到限制。例如，BigQuery 等服務會使用 Cloud Storage 匯入及匯出資料。為避免服務中斷，建議您不要對下列服務存取的 Cloud Storage bucket 啟用 IP 篩選功能：

後續步驟

歡迎試用

如果您未曾使用過 Google Cloud，歡迎建立帳戶，親自體驗實際使用 Cloud Storage 平台的成效。新客戶還能獲得價值 $300 美元的免費抵免額，用於執行、測試及部署工作負載。

免費試用 Cloud Storage