Analistas têm acesso de leitura IAM a buckets confidenciais do Cloud Storage. Impeça que os analistas acessem os dados do bucket de fora da rede do escritório. O que você deve fazer?

A resposta correta é criar um perímetro do VPC Service Controls. O VPC Service Controls permite definir perímetros de segurança em torno dos recursos do Google Cloud, como buckets do Cloud Storage, e restringir o acesso a esses recursos com base em atributos como o endereço IP de origem. Ao criar um nível de acesso que restringe o acesso ao CIDR da rede do escritório, você garante que os analistas só possam acessar os dados confidenciais quando estiverem conectados à rede corporativa. Criar uma regra de firewall na rede VPC não impediria o acesso externo, pois o Cloud Storage é um serviço global e o tráfego para ele não passa pela VPC do cliente. Criar o Cloud Functions para gerenciar permissões IAM é uma solução complexa e reativa, não impedindo o acesso em tempo real. Criar uma Cloud VPN e configurar o Private Google Access é para acesso de hosts on-prem a serviços do Google, mas não restringe o acesso de usuários a buckets do Cloud Storage de fora da rede.