如何配置Google Cloud Storage仅允许自有应用访问隐私敏感图片？

IAM + 服务账号/认证系统方案（推荐长期访问场景） #

这是符合你需求的常规可行方案，具体实施路径如下：

• 存储桶基础配置：确保存储桶保持默认的私有状态，禁用所有公共访问权限，从根源避免未授权的公开访问。
• 专用服务账号创建：新建一个仅用于自有应用访问的服务账号，为其分配roles/storage.objectViewer权限（仅授予对象读取权限，遵循最小权限原则），不赋予多余权限。
• 移动端访问配置：
  • 若使用Firebase，可直接借助Firebase Storage（底层基于GCS）的安全规则，限制仅已通过你应用认证的用户访问，或验证请求的应用包名/签名，确保只有你的移动端应用能发起访问。
  • 不使用Firebase的话，可通过Google Cloud Identity Platform实现用户认证，让移动端应用获取关联服务账号权限的临时凭证，以此访问GCS资源。
• 网页端访问配置：
  • 可通过Google Sign-In完成用户身份验证，利用Google Cloud Client Library获取带权限的访问令牌，直接调用GCS API访问资源。
  • 若不想让前端直接接触GCS，可搭建后端中间层（如Cloud Run/Cloud Functions），在中间层验证请求来源（例如检查应用专属API密钥、请求签名），验证通过后由中间层从GCS获取资源返回给前端。

签名URL方案（适合临时访问场景） #

签名URL并非唯一解决方案，它更适配临时授权访问的场景：

• 由你的后端服务生成带有有效期的签名URL（可设置1小时、1天等），返回给前端应用，前端通过该URL直接访问GCS资源。
• 优势是无需用户登录，且权限过期后自动失效，适合分享临时访问链接的场景；但如果是自有应用长期访问资源，IAM方案更高效，无需每次生成签名。

AWS对应能力对比 #

AWS S3完全具备同等能力，对应方案如下：

• IAM类方案：可通过Cognito认证用户并获取STS临时凭证访问S3，或配置Bucket Policy限制访问来源为你的应用域名（网页端）、IAM角色/用户（移动端），也可通过VPC端点限制S3访问在私有网络内。
• 预签名URL：与GCS签名URL逻辑一致，由后端生成临时访问链接，控制访问有效期。

内容的提问来源于stack exchange，提问作者barley