我们的目标是限制我们的 GCS 存储桶子集供一系列 IP 地址使用。
我们在一个大学实验室中有几个 GCP 项目与一个通用结算帐户相关联，人们通常使用他们的 gmail 地址与 GCP 资源进行交互。我们认为我们需要使用VPC Service Controls 在我们的存储桶周围设置一个服务边界。
VPC 服务控制似乎需要一个组织。创建组织似乎需要 GSuite 或 Cloud Identity。这两个选项似乎都需要在特定域上设置帐户。我不想要求人们创建额外的帐户，然后迁移到使用它们。
是否有办法让一组 gmail 用户实施服务边界？还是有其他方法可以对 GCS 存储桶进行 IP 地址限制？
【问题讨论】：
标签： google-cloud-platform google-cloud-storage
我听到两件事...我听说通过请求者的源 IP 地址限制对 GCS 存储桶的访问，我听说通过用户身份（gmail 地址）限制对 GCS 存储桶的访问。这是两个截然不同的故事。
要通过 IP 地址限制访问，我们可以使用 VPC 服务控制和访问级别。
见：
根据用户的限制，也可以采用与上述相同的故事。然而，令我震惊的是 GCS 是基于资源的，因此受到 IAM 安全性的保护。这意味着 GCS 资源也可以通过为单个用户或用户组分配权限来得到保护。
【讨论】：
根据Granting access to an organization 文档，您实际上可以通过向 Google 帐户电子邮件授予角色来授予对组织资源的访问权限。
但是，为了确认这一点，我继续进行了一些测试，我能够毫无问题地将我的 gmail 帐户添加到不同组织域的项目中。
此外，如 Can I use Google groups with Cloud IAM? 文档中所述，您可以将这些用户添加到 Google 群组，并使用它来轻松管理他们的权限。
将组添加到 IAM 部分时，您将添加组的电子邮件地址，因此域也将不同于组织域。这个过程非常简单，但我在 post 上分享了一些屏幕截图，以防您需要帮助。
结论：
因此，理想的解决方案仍然是使用具有访问级别的 VPC 服务控制，但增加了使用 IAM 角色控制用户对特定资源的访问。
实现此设置的步骤如下：
1 - 创建访问级别，如 Limit access on a corporate network 文档中所述。
2 - 创建具有新访问级别的 VPC 服务边界。
3 - 将所需的 IAM 角色授予IAM section 中的用户，如果您愿意，您可以在此处将角色授予 Google 群组。
【讨论】：
要使用 VPC Service Controls（允许您通过 IP 地址限制对 Google Cloud Storage 存储分区的访问），您需要一个组织。为了管理该组织中项目的资源，任何 Google 身份（gmail、云身份、G Suite）都是有效的。将两者结合起来，您就有了解决方案！
【讨论】：