여러 VPC를 사용하는 단일 프로젝트가 있습니다. 기업 공개 네트워크에서만 액세스를 허용하여 Cloud Storage 및 BigQuery에 대한 API 액세스를 보호해야 합니다. 어떻게 해야 할까요?

이 시나리오에서는 Cloud Storage 및 BigQuery와 같은 지원되는 서비스에 대한 데이터 유출을 방지하고 기업 공개 네트워크에서만 액세스를 허용해야 합니다. VPC Service Controls는 이러한 유형의 시나리오에 가장 적합한 솔루션입니다. 프로젝트 수준에서 서비스 경계를 생성하면 프로젝트 내의 모든 VPC에 적용됩니다. 액세스 컨텍스트 정책을 사용하여 기업 공개 네트워크 IP 범위를 허용하면 해당 네트워크 외부의 모든 액세스가 차단됩니다. 다른 옵션들은 다음과 같은 이유로 올바르지 않습니다. VPC 및 기업 공개 네트워크 IP 범위를 허용하는 액세스 컨텍스트 정책을 생성한 다음, 해당 정책을 Cloud Storage 및 BigQuery에 연결하는 것은 VPC Service Controls의 일부이지만, 경계를 생성하지 않고 개별 서비스에 연결하는 것은 데이터 유출을 완전히 방지하지 못합니다. 승인되지 않은 네트워크에서 Cloud Storage 및 BigQuery로의 API 액세스를 차단하는 방화벽 규칙을 생성하는 것은 네트워크 계층에서 작동하며, API 액세스를 직접 제어하지 못합니다. 또한, 내부 네트워크에서 발생하는 데이터 유출을 막을 수 없습니다. 기업 공개 네트워크 IP 범위를 허용하는 액세스 컨텍스트 정책을 사용하여 각 VPC에 대한 VPC Service Controls Perimeter를 생성하는 것은 불필요하며 관리 복잡성을 증가시킵니다. 프로젝트 수준에서 경계를 생성하는 것이 더 효율적입니다.