Analysten haben IAM-Lesezugriff auf sensible Cloud Storage-Buckets. Verhindern Sie, dass Analysten von außerhalb des Büronetzwerks auf Bucket-Daten zugreifen können. Was sollten Sie tun?

Die korrekte Antwort ist, einen VPC Service Controls-Perimeter zu erstellen und eine Zugriffsebene zu definieren. VPC Service Controls schützt sensible Daten, indem es den Zugriff auf Google Cloud-Ressourcen basierend auf vordefinierten Regeln einschränkt, wie z.B. dem Quell-IP-Bereich. Eine Zugriffsebene, die auf das CIDR des Büronetzwerks beschränkt ist, stellt sicher, dass Analysten nur von diesem Netzwerk aus auf die Buckets zugreifen können. Eine Firewall-Regel im VPC-Netzwerk würde nur den Zugriff auf Compute Engine-Instanzen beschränken, nicht aber den direkten Zugriff auf Cloud Storage-Buckets. Cloud Functions zum Entfernen/Hinzufügen von IAM-Berechtigungen ist eine umständliche und fehleranfällige Lösung, die keine Echtzeitkontrolle bietet. Ein Cloud VPN mit Private Google Access ermöglicht lokalen Hosts den Zugriff auf Google-Dienste, schränkt aber nicht ein, von wo aus Analysten auf die Buckets zugreifen können, wenn sie nicht über das VPN verbunden sind.