Een on-premises client stuurt verzoeken via een Cloud VPN en lijkt afkomstig te zijn van een project dat buiten een VPC Service Controls-perimeter valt die een Cloud Storage-bucket beschermt. Zal die on-prem client standaard toegang hebben tot de beschermde bucket?

Nee, de on-premises client zal standaard geen toegang hebben. VPC Service Controls creëert een beveiligingsperimeter rondom Google Cloud-services en -resources, zoals Cloud Storage-buckets. Verzoeken die afkomstig lijken te zijn van projecten buiten deze perimeter, worden geblokkeerd om data-exfiltratie te voorkomen. Zelfs als het verkeer via Cloud VPN loopt, wordt de bron van het verzoek geëvalueerd. Om toegang te verlenen, moet expliciet een toegangsmethode worden geconfigureerd, zoals een perimeter bridge voor on-premises toegang of ingress/egress-regels die specifieke projecten of netwerken toestaan. Cloud VPN-verkeer wordt niet automatisch als intern behandeld in de context van VPC Service Controls, Private Google Access staat alleen toegang toe tot Google API's en services via privé-IP-adressen, en Private Service Connect is bedoeld voor het consumeren van services en niet voor het omzeilen van VPC Service Controls-perimeters voor on-premises toegang tot buckets.