借助VPC Service Controls管控GCS存储桶：能否开放单个存储桶公网访问？

可以将其中一个GCS存储桶设置为对所有人公开可用，但需要调整VPC Service Controls的管控配置来兼容公开访问，具体说明如下：

核心限制与解决逻辑 #

VPC Service Controls默认会拦截所有未在管控规则内的外部流量，包括无身份验证的公开访问请求。直接给存储桶添加allUsers权限的话，外部请求会被VPC管控策略阻断，无法正常访问。因此需要先为目标存储桶配置管控例外，再设置公开权限。

具体操作步骤 #

• 调整VPC Service Controls访问级别：
  在你的VPC Service Controls边界（perimeter）中，为目标存储桶创建或修改访问级别，添加允许无身份验证互联网访问的规则。例如，创建一个包含allUsers作为主体的访问级别，或者在现有访问级别中为该桶添加例外，允许来自任意IP的无身份验证请求。
• 配置存储桶公开权限：
  给目标存储桶添加IAM权限，将roles/storage.objectViewer（或其他所需的公开角色）授予allUsers。如果需要公开桶内所有对象，确保桶的默认对象权限也同步配置，或者直接设置桶级别的公开权限。

注意事项 #

• 仅调整目标存储桶的管控规则即可，其他存储桶（B、C）会继续保持原有的VPC管控限制，不受影响。
• 公开存储桶会突破VPC Service Controls的隔离保护，务必确认该桶内的内容适合对外公开，避免数据泄露风险。
• 配置完成后，需用外部IP验证访问：尝试访问该桶的公开对象，确认可以正常获取；同时验证其他受管控的桶仍无法从外部访问，确保管控策略未被意外放宽。

内容的提问来源于stack exchange，提问作者Xavier123