如何为GCP MemoryStore实例/集群实现细粒度访问权限控制？

一、独立VPC+VPC访问控制实现隔离 #

可以通过为每个MemoryStore集群配置独立VPC实现服务账号的访问限制，具体操作如下：

• 创建MemoryStore实例时，为每个集群指定专属VPC。
• 将需要访问该集群的服务账号关联资源（如GCE实例、Cloud Run服务）部署至同一VPC，或通过VPC peering/共享VPC建立必要网络连通。
• 配置VPC防火墙规则，仅允许目标服务账号对应的资源IP/子网访问该MemoryStore的端口（Redis默认6379，Memcached默认11211），拒绝其他来源请求。
• 该方式从网络层彻底隔离集群，即便服务账号拥有项目级MemoryStore权限，也无法跨VPC访问其他集群。

二、其他可选方案 #

1. 同VPC内子网级隔离 #

无需创建多VPC，可在同一VPC下通过子网实现隔离：

• 为每个MemoryStore集群分配专属子网，部署时指定该子网。
• 配置防火墙规则，仅允许特定服务账号关联资源所在子网访问目标集群的子网端口，拒绝其他子网请求。
• 此方式管理更简洁，可达到与多VPC近似的隔离效果。

2. Redis原生ACL（仅适用于MemoryStore for Redis） #

针对Redis集群，可结合原生ACL实现细粒度控制：

• 启用MemoryStore的IAM身份验证，将GCP服务账号映射为Redis用户。
• 为每个服务账号对应的Redis用户配置ACL规则，限制其仅能访问特定数据库、执行指定命令（如仅允许读操作）。
• 该方案从应用层补充IAM的不足，即使服务账号能网络访问集群，也仅能执行授权操作。

3. IAM条件限制（有限支持） #

虽然MemoryStore暂不支持实例级IAM直接绑定，但可通过IAM条件缩小权限范围：

• 为服务账号授予MemoryStore角色时，添加条件限制，例如仅允许在特定VPC/子网环境下使用权限，或仅允许访问带有指定标签的实例（需确认当前GCP对MemoryStore的IAM条件支持情况）。
• 示例条件：resource.matchLabels('cluster:target-cluster')，仅当访问的实例带有cluster:target-cluster标签时，权限生效。

4. 代理层访问控制 #

部署中间代理服务（如Envoy、Redis Proxy）统一管理访问：

• 所有服务账号的访问请求必须经过代理层。
• 在代理层实现身份验证（校验服务账号）与授权逻辑（仅允许访问指定集群）。
• 适合复杂访问控制场景，但需额外维护代理服务。

内容的提问来源于stack exchange，提问作者RandomQuests