Beschränken Sie den Zugriff auf einen Cloud Storage-Bucket so, dass nur Instanzen in VPCs unter Projekt XYZ darauf zugreifen können. Was implementieren Sie?

Die Erstellung eines VPC Service Controls Perimeters um Projekt XYZ und das Einschließen von storage.googleapis.com als eingeschränkten Dienst ist die korrekte Methode, um den Zugriff auf Cloud Storage-Buckets auf Instanzen innerhalb dieses Projekts zu beschränken. VPC Service Controls bieten eine Sicherheitsgrenze, die Datenexfiltration verhindert, indem sie den Zugriff auf unterstützte Dienste nur von innerhalb des Perimeters zulässt. Das Aktivieren von Private Google Access ermöglicht zwar den Zugriff auf Google APIs über interne IP-Adressen, beschränkt den Zugriff jedoch nicht auf ein bestimmtes Projekt. Cloud Storage ACLs auf Projektebene steuern den Zugriff basierend auf IAM-Rollen, bieten aber keinen netzwerkbasierten Schutz vor Datenexfiltration. Private Service Connect dient dem privaten Zugriff auf verwaltete Dienste oder Dienste von Drittanbietern, ist aber nicht die primäre Lösung zur Absicherung von Google Cloud Storage innerhalb eines Projekts gegen Datenexfiltration.