通过 VPC/VPN 的 Google 托管服务（BigQuery、云存储等）

Question

我们计划使用 Big Query 和 Cloud Storage，但对通过 VPN/VPC 访问有疑问。

作为 Big Query，GCS 是托管服务，是否可以假设无法将对项目级别存储桶和数据集的访问限制为入站到 VPC 的连接。

据我们了解，这些服务针对 Google 的全球 API 基础设施进行身份验证，并且根据定义是公开的。

是否可以将对 Google 托管服务的访问限制为入站 VPC 连接并删除我们项目的基于公共/互联网的身份验证和授权？

Answer 1

这是通过使用 VPC Service Controls 实现的，目前（2018 年 10 月）处于私有测试阶段 - 并且需要大量工作：

https://cloud.google.com/vpc-service-controls/

Answer 2

编辑：虽然这在当时是正确的，但它不再是，现在这是正确的解决方案。

我原来的回复在这条线下面。

---

很遗憾，您提出的建议无法实现。

如果提供的身份验证可以访问内容，则将授予访问权限； 如果没有，它不会。

不考虑从中访问内容的网络。 Compute Engine 防火墙也不适用，因为与 Google Cloud Load Balancer 非常相似，Google Cloud Storage 组件并不存在于项目的 VPC 网络中。

Answer 3

我认为这可以通过 GCP 下现在称为“私人服务连接”的东西来实现

https://cloud.google.com/vpc/docs/private-service-connect

https://medium.com/google-cloud/private-service-connect-c99e3e94537b