限制Google Cloud存储桶互联网暴露：是否有Cloud Storage内置功能？

Cloud Storage本身就自带IP访问控制能力，不需要仅依赖VPC Service Controls来实现阻止所有IP或白名单特定IP的需求，具体有两种核心实现方式：

• IAM条件约束：在存储桶的IAM角色绑定中添加IP范围条件，精准控制访问来源。比如要允许特定IP段访问，可在绑定规则中设置request.ip() in ['192.168.1.0/24', '203.0.113.5/32']；如果要阻止所有公网IP访问，可配置request.ip() not in ['0.0.0.0/0']（注意需预留内部IP、GCP服务IP的访问权限，避免影响内部业务）。
• ACL规则限制：虽然ACL主要用于细化对象级权限，但也支持添加基于IP的访问规则。比如可以为存储桶添加拒绝所有公网IP的ACL条目，或者仅允许指定IP段的用户拥有读/写权限。

VPC Service Controls是更上层的全局边界隔离方案，适合构建跨GCP服务的安全隔离域，但并非实现存储桶IP访问控制的唯一途径。

内容的提问来源于stack exchange，提问作者thechmodmaster