Compute Engine 上的前端访问 Cloud SQL 和包含 PII 的 Cloud Storage 存储桶。您如何根据 Google 最佳实践保护 PII？

正确答案通过私有 IP 确保 Cloud SQL 流量不暴露于公共网络，降低了数据泄露风险。VPC Service Controls 创建了一个安全边界，将 Cloud SQL 和 Cloud Storage 存储桶（包含 PII）包含在内，防止未经授权的服务访问和数据外泄。将两者置于同一边界内，确保了它们之间的通信仍受边界保护，同时阻止了来自边界外部的潜在威胁。 第一个错误选项虽然对前端访问做了限制，但未提供针对数据外泄的全面保护，特别是对 Cloud Storage 中 PII 的保护不足。第二个错误选项的私有访问仅限于 Cloud Storage，而 Cloud SQL 仍可能通过公共 IP 暴露。最后一个错误选项将 Cloud SQL 和 Cloud Storage 放置在不同的服务边界中，这会增加管理复杂性，并且可能在边界之间创建不必要的通信路径，削弱了整体安全态势。