Início / server / Perguntas / 1121993
Accepted
anonymous-dev
Asked: 2023-02-05 12:00:55 +0800 CST

Qual é o serviço apropriado para permitir que um intervalo de ip acesse o API Gateway + Cloud Storage no Google Cloud?

  • 772

Estou tentando identificar o serviço apropriado para permitir que apenas um determinado intervalo de IP faça solicitações ao API Gateway e armazenamento em nuvem. Isso ocorre porque queremos aceitar apenas solicitações provenientes da cloudflare. Encontramos serviços como Cloud NAT e regras de firewall VPC, mas é difícil dizer se eles se aplicam ao API Gateway e armazenamento em nuvem. E como temos um orçamento pequeno, não queremos habilitar e desabilitar todos os serviços. Idealmente, queremos que todos os nossos serviços também aceitem solicitações do mesmo intervalo de IP. Existe um serviço de nuvem do Google que pode conseguir isso?

firewall

1 respostas

  1. Best Answer

    Para Cloud Storage, atualmente é apresentada uma solicitação de recurso que permitirá a restrição de acesso ao Google Cloud Storage por endereço IP. Como isso ainda não foi confirmado nem implementado, uma solução alternativa será usar o VPC Service Controls , que você pode seguir nesta documentação .

    Outra solução alternativa é configurar um balanceador de carga HTTPS com seu bucket como back-end e uma política do Cloud Armor que filtrará o endereço IP de entrada que está tentando se conectar ao Cloud Storage. Isso é discutido em outro post .

    Infelizmente para o API Gateway, ele não oferece suporte a filtros de entrada , como Internalou Internal and Cloud Load Balancingconfigurações de restrição de entrada. Esse é o comportamento de um gateway de API, pois não faz parte da rede VPC na qual o serviço Cloud Run está localizado. Você deve ser capaz de usar o API Gateway como um back-end para seu balanceador de carga, mas não poderá filtrar o tráfego de entrada do balanceador de carga por seus IPs de entrada, pois a restrição de entrada é definida para permitir todas as solicitações, incluindo solicitações diretamente Allde a Internet para o URL run.app. Uma solicitação de recurso também é apresentada para isso por meio deste link . Uma alternativa que você pode explorar seria Identity Aware Proxy for Cloud Runa discutida neste documento .

    Para acompanhar o status/progresso da(s) solicitação(ões) de recurso mencionada(s), siga os respectivos links de solicitação de recurso e clique no botão +1e starpara ser notificado sobre suas atualizações.

    • 1

relate perguntas