Gli analisti hanno accesso in lettura IAM a bucket Cloud Storage sensibili. Impedire agli analisti di accedere ai dati dei bucket al di fuori della rete dell'ufficio. Cosa dovresti fare?

La creazione di un perimetro di Controlli del servizio VPC (VPC Service Controls) che include i progetti con i bucket sensibili e un livello di accesso limitato al CIDR della rete dell'ufficio è la soluzione più efficace. VPC Service Controls crea un confine di sicurezza attorno alle risorse Google Cloud, impedendo l'esfiltrazione di dati e l'accesso non autorizzato da reti esterne. Il livello di accesso basato sul CIDR garantisce che solo le richieste provenienti dalla rete aziendale possano accedere ai bucket, anche se un utente ha le autorizzazioni IAM. Le regole firewall VPC limitano il traffico a livello di rete, ma non impediscono l'accesso ai servizi Google Cloud da internet se un utente ha le credenziali. Le Cloud Functions per la gestione delle autorizzazioni IAM sono complesse da implementare e mantenere, e non garantiscono la protezione in tempo reale contro l'accesso da posizioni non autorizzate. Una Cloud VPN con Private Google Access è utile per le risorse on-premise che accedono a Google Cloud, ma non risolve direttamente il problema di limitare l'accesso degli analisti ai bucket Cloud Storage da fuori della rete aziendale.