创建启用了 IP 过滤规则的存储桶

使用集合让一切井井有条 根据您的偏好保存内容并对其进行分类。

本页面介绍了如何创建包含 IP 过滤规则的存储桶。通过创建包含 IP 过滤的存储桶，您可以通过检查传入的请求是否与存储桶 IP 过滤规则中指定的 IP 地址匹配，从而控制对存储桶的访问。如需了解详情，请参阅存储桶 IP 过滤。

如需了解如何在现有存储桶中创建或更新 IP 过滤规则，请参阅更新存储桶 IP 过滤规则。

所需的角色

如需获得创建包含 IP 过滤规则的存储桶所需的权限，请让您的管理员为您授予存储桶的 Storage Admin (roles/storage.admin) 角色。此角色包含创建包含 IP 过滤规则的存储桶所需的权限。

如需查看所需的确切权限，请展开所需权限部分：

您还可以通过自定义角色获得这些权限。此外，您可能也可以通过其他预定义角色来获取这些权限。要查看哪些角色与哪些权限相关联，请参阅适用于 Cloud Storage 的 IAM 角色。

如需了解如何授予存储桶的角色，请参阅将 IAM 与存储桶搭配使用。

创建包含 IP 过滤规则的存储桶

存储桶 IP 过滤配置

本部分举例说明了用于控制对 Cloud Storage 存储桶的访问权限的存储桶 IP 过滤 JSON 文件配置。您可以使用以下任一示例向传入请求授予访问权限：

• 任何公共 IP 地址（IPv4 或 IPv6）：

  以下配置会向任何公共 IPv4 或 IPv6 地址授予访问权限，但会阻止源自任何 VPC 的流量：

  {
   "ipFilterConfig":
   {
     "mode": "Enabled",
     "publicNetworkSource":
     {
       "allowedIpCidrRanges": ["0.0.0.0/0", "::/0"]
     }
   }
  }

• 特定的公共 IP 范围：

  • 以下示例配置会向 192.0.2.0/24 公共 IPv4 地址范围授予访问权限，但会阻止源自任何 VPC 的流量：

    {
     "ipFilterConfig":
      {
        "mode": "Enabled",
        "publicNetworkSource":
         {
          "allowedIpCidrRanges": ["192.0.2.0/24"]
         }
      }
    }

  • 以下示例配置会向 2001:db8::/32 公共 IPv6 地址范围授予访问权限，但会阻止源自任何 VPC 的流量：

    {
     "ipFilterConfig":
      {
        "mode": "Enabled",
        "publicNetworkSource":
         {
          "allowedIpCidrRanges": ["2001:db8::/32"]
         }
      }
    }

• VPC 网络：使用以下配置，您可以向 VPC 网络中资源授予访问权限。您可以向 VPC 中所有 IP 地址或 VPC 中特定 IP 范围授予访问权限。在上述每个示例中，PROJECT_ID 是 VPC 网络所在项目的 ID，而 NETWORK_NAME 是可以访问存储桶的 VPC 网络的名称。

  • 以下示例配置向来自特定 VPC 的任何 IPv4 或 IPv6 地址的请求授予访问权限，并阻止源自公共 IP 地址的流量：

    {
     "ipFilterConfig":
      {
        "mode": "Enabled",
        "vpcNetworkSources":
        [
          {
            "network": "projects/PROJECT_ID/global/networks/NETWORK_NAME",
            "allowedIpCidrRanges": ["0.0.0.0/0", "::/0"]
          },
        ]
      }
    }

  • 以下示例配置仅向与外部 IPv4 地址为 192.0.2.0/24 的虚拟机关联的 VPC 发出的请求授予访问权限，并阻止源自公共 IP 地址的流量：

    {
     "ipFilterConfig":
      {
        "mode": "Enabled",
        "vpcNetworkSources":
        [
          {
            "network": "projects/PROJECT_ID/global/networks/NETWORK_NAME",
            "allowedIpCidrRanges": ["192.0.2.0/24"]
          },
        ]
      }
    }

  • 以下示例配置仅向内部 IPv4 子网范围与无外部 IP 地址的虚拟机关联的 VPC 发出的请求授予访问权限，并阻止源自公共 IP 地址的流量：

    {
     "ipFilterConfig":
     {
        "mode": "Enabled",
        "vpcNetworkSources":
         [
          {
            "network": "projects/PROJECT_ID/global/networks/NETWORK_NAME",
            "allowedIpCidrRanges": ["IP_ADDRESS"]
          },
         ]
      }
    }

    其中 IP_ADDRESS 是内部 IPv4 子网范围。

  • 以下示例配置仅向双栈 IPv4 和 IPv6 子网范围与外部 IPv6 地址范围为 2001:db8::/32 的虚拟机相关联的 VPC 发出的请求授予访问权限，并阻止源自公共 IP 地址的流量：

    {
    "ipFilterConfig":
     {
      "mode": "Enabled",
      "vpcNetworkSources":
       [
        {
          "network": "projects/PROJECT_ID/global/networks/NETWORK_NAME",
           "allowedIpCidrRanges": ["2001:db8::/32"]
        },
       ]
      }
    }

后续步骤

• 在现有存储桶中创建或更新 IP 过滤规则。
• 获取存储桶 IP 过滤规则。
• 列出存储桶 IP 过滤规则。
• 停用存储桶 IP 过滤。