在现有存储桶中创建或更新 IP 过滤规则。

控制台

1. 在 Google Cloud 控制台中，前往 Cloud Storage 存储桶页面。

   进入“存储桶”

2. 在存储桶列表中，点击要更新的存储桶的名称。

3. 在存储桶详情页面上，点击配置标签页。

4. 在权限部分中，前往 IP 过滤。然后，点击 edit 修改 IP 过滤配置。

5. 在 IP 过滤页面上，点击 add_box配置。

6. 在配置 IP 过滤 叠加窗口中，根据您要指定的 IP 过滤配置，使用相应的导航菜单。完成每个部分中的步骤后，点击继续以继续执行下一步。

公共 IP 地址

如需允许从公共 IP 地址进行访问，请执行以下操作：

1. 点击公共互联网。

2. 在显示的公共互联网窗格的允许的 IP 范围字段中指定一个或多个 IPv4 地址范围或 IPv6 CIDR 范围。例如 192.0.2.0/24 或 2001:db8::/32。如果您指定了无效条目，系统会显示一条错误消息，指明哪些条目需要更正。

VPC 网络

如需允许从 VPC 网络进行访问，请执行以下操作：

1. 点击 VPC 网络。

2. 在显示的 VPC 网络窗格中，针对每个网络执行以下操作：

   1. 点击添加 VPC 网络。
   2. 在新建 VPC 网络部分中，指定以下信息：
      • 在项目 ID 字段中，输入您的项目 ID。
      • 在网络名称字段中，输入您的网络名称。
      • 在允许的 IP 范围字段中，输入一个或多个 IPv4 或 IPv6 CIDR 范围，例如 192.0.2.0/24、2001:db8::/32。如果您指定了无效条目，系统会显示一条错误消息，指明哪些条目需要更正。
   3. 点击完成。

其他设置

如需允许来自其他组织的受信任 Google Cloud 服务代理和 VPC 网络绕过您的 IP 过滤配置，请执行以下操作：

1. 点击其他设置。

2. 在显示的其他设置窗格中，执行以下操作：

3. 在 Google Cloud 服务代理访问权限部分中，选择以下单选按钮之一：

   • 允许服务代理访问权限：可让 BigLake、Storage Insights、Vertex AI 和 BigQuery 等 Google Cloud 服务在需要访问相应存储桶时绕过 IP 过滤验证。

   • 拒绝服务代理访问权限：对 Google Cloud 服务代理强制执行 IP 过滤条件规则。

4. 在（可选）跨组织 VPC 访问部分中，执行以下操作之一：

   • 如需允许来自不同 Google Cloud 组织中指定 VPC 网络的访问，请点击切换开关以切换到允许位置。

   • 如需阻止来自 Google Cloud 组织外部 VPC 网络的访问，请点击切换开关以切换到拒绝（默认状态）位置。

查看

如需查看 IP 过滤配置，请执行以下操作：

1. 在显示的查看窗格中，点击公共互联网或 VPC 网络旁边的 expand_more 展开箭头，查看指定的 IP 范围或 VPC，并验证其他设置配置。

2. 如果您需要修改设置，请点击返回，返回到之前的配置步骤。

3. 查看所有配置后，点击启用以保存 IP 过滤配置。

gcloud

1. 验证您是否已安装 Google Cloud CLI 526.0.0 版或更高版本：

   gcloud version | head -n1
   

2. 如果您安装的是早期 gcloud CLI 版本，请更新版本：

   gcloud components update --version=526.0.0
   

3. 创建一个 JSON 文件，用于定义传入请求的规则。如需查看示例以及有关如何构造存储桶 IP 过滤规则的信息，请参阅存储桶 IP 过滤配置。

       {
         "mode":"MODE",
         "publicNetworkSource":{
             "allowedIpCidrRanges":[
               "RANGE_CIDR",
               "..."
             ]
         },
         "vpcNetworkSources":[
             {
               "network":"projects/PROJECT_ID/global/networks/NETWORK_NAME",
               "allowedIpCidrRanges":[
                   "RANGE_CIDR",
                   "..."
               ]
             },
             "..."
         ],
         "allowCrossOrgVpcs": ALLOW_CROSS_ORG_VPCS,
         "allowAllServiceAgentAccess": ALLOW_ALL_SERVICE_AGENT_ACCESS
       }
       

   其中：

   • MODE 是存储桶 IP 过滤配置的模式。有效值为 Enabled 和 Disabled。如果设置为 Enabled，则会对存储桶应用 IP 过滤规则。系统会根据这些规则评估对存储桶的所有传入请求。设置为 Disabled 时，所有传入请求均可访问存储桶。

   • RANGE_CIDR 是允许访问存储桶的公共网络 IPv4 或 IPv6 地址范围。您可以以列表形式输入一个或多个地址范围。

   • PROJECT_ID 是虚拟私有云 (VPC) 网络所在项目的 ID。如需配置多个 VPC 网络，您需要指定每个网络所在的项目。

   • NETWORK_NAME 是可以访问存储桶的 VPC 网络的名称。如需配置多个 VPC 网络，您需要为每个网络指定一个名称。

   • ALLOW_CROSS_ORG_VPCS 是一个布尔值，用于指示是否允许在 vpcNetworkSources 中定义的 VPC 网络源自其他组织。此字段是可选字段。如果设置为 true，则请求允许使用跨组织 VPC 网络。如果设置为 false，则请求会将 VPC 网络限制为与存储桶位于同一组织。如果未指定，则默认值为 false。 此字段仅在 vpcNetworkSources 不为空时适用。

   • ALLOW_ALL_SERVICE_AGENT_ACCESS 是一个布尔值，用于指示是否允许服务代理访问存储桶，无论 IP 过滤条件配置如何。如果值为 true，则其他 Google Cloud 服务可以使用服务代理访问存储桶，而无需进行基于 IP 的验证。

4. 如需更新存储桶 IP 过滤规则，请在开发环境中运行 gcloud storage buckets update 命令：

   gcloud storage buckets update gs://BUCKET_NAME --ip-filter-file=IP_FILTER_CONFIG_FILE

   其中：

   • BUCKET_NAME 是您的存储桶的名称。 例如 my-bucket。
   • IP_FILTER_CONFIG_FILE 是您创建的 JSON 文件。

JSON API

1. 安装并初始化 gcloud CLI，以便为 Authorization 标头生成访问令牌。

2. 创建一个包含存储桶设置的 JSON 文件，其中必须包含存储桶的 name 和 ipFilter 配置字段。如需查看示例以及有关如何构造存储桶 IP 过滤规则的信息，请参阅存储桶 IP 过滤配置。

   {
     "ipFilter":{
         "mode":"MODE",
         "publicNetworkSource":{
           "allowedIpCidrRanges":[
               "RANGE_CIDR",
               "..."
           ]
         },
         "vpcNetworkSources":[
           {
               "network":"projects/PROJECT_ID/global/networks/NETWORK_NAME",
               "allowedIpCidrRanges":[
                 "RANGE_CIDR",
                 "..."
               ]
           },
           "..."
         ],
         "allowCrossOrgVpcs": ALLOW_CROSS_ORG_VPCS,
         "allowAllServiceAgentAccess": ALLOW_ALL_SERVICE_AGENT_ACCESS
     }
   }

   其中：

   • MODE 是 IP 过滤条件配置的状态。有效值为 Enabled 和 Disabled。如果设置为 Enabled，则会对存储桶应用 IP 过滤规则，并根据这些规则评估存储桶的所有传入请求。设置为 Disabled 时，所有传入请求都可以访问存储桶及其数据，不进行任何评估。

   • RANGE_CIDR 是允许访问存储桶的公共网络 IPv4 或 IPv6 地址范围。您可以以列表形式输入一个或多个地址范围。

   • PROJECT_ID 是 VPC 网络所在项目的 ID。如需配置多个 VPC 网络，您需要指定每个网络所在的项目。

   • NETWORK_NAME 是可以访问存储桶的 VPC 网络的名称。如需配置多个 VPC 网络，您需要为每个网络指定一个名称。

   • ALLOW_ALL_SERVICE_AGENT_ACCESS 是一个布尔值，用于指示是否允许服务代理访问存储桶，无论 IP 过滤条件配置如何。如果值为 true，则其他 Google Cloud 服务可以使用服务代理访问存储桶，而无需进行基于 IP 的验证。

   • ALLOW_CROSS_ORG_VPCS 是一个布尔值，用于指示是否允许在 vpcNetworkSources 列表中定义的 VPC 网络源自其他组织。此字段是可选字段。如果设置为 true，则请求允许使用跨组织 VPC 网络。如果设置为 false，则请求会将 VPC 网络限制为与存储桶位于同一组织。如果未指定，则默认值为 false。 此字段仅在 vpcNetworkSources 不为空时适用。

3. 使用 cURL，通过 PATCH bucket 请求调用 JSON API：

   curl -X PATCH --data-binary @JSON_FILE_NAME \
     -H "Authorization: Bearer $(gcloud auth print-access-token)" \
     -H "Content-Type: application/json" \
     "https://storage.googleapis.com/storage/v1/b/BUCKET_NAME?project=PROJECT_ID"

   其中：

   • JSON_FILE_NAME 是您创建的 JSON 文件的名称。
   • BUCKET_NAME 是您的存储分区的名称。
   • PROJECT_ID 是与存储桶关联的项目的 ID。例如 my-project。

控制台

1. 在 Google Cloud 控制台中，前往 Cloud Storage 存储桶页面。

   进入“存储桶”

2. 在存储桶列表中，点击要更新的存储桶的名称。

3. 在存储桶详情页面上，点击配置标签页。

4. 在权限部分中，前往 IP 过滤。然后，点击 edit 修改 IP 过滤配置。

   系统会显示 IP 过滤页面。

5. 在管理 Google Cloud 服务代理访问权限部分中，执行以下操作之一：

   • 如需允许服务代理访问权限，请完成以下步骤：

     1. 点击 circle 已停用，将设置更改为 check_circle 已启用。

     2. 如需确认要允许访问，请在启用字段中输入 Enable。

   • 如需拒绝服务代理访问权限，请完成以下步骤：

     1. 点击 check_circle 已启用，将设置更改为 circle 已停用。

     2. 如需确认要拒绝访问，请在停用字段中输入 Disable。

   系统会显示一条通知消息，确认更改已完成。

gcloud

如需更新存储桶的服务代理访问权限，请使用 gcloud storage buckets update 命令，并将 allowAllServiceAgentAccess 字段设置为 true 以允许访问权限或设置为 false 以拒绝访问权限。如需查看详细说明，请参阅在现有存储桶中创建或更新 IP 过滤规则。

JSON API

如需更新服务代理访问权限，您可以使用 PATCH 请求来更新相应存储桶的 ipFilter 配置。将 allowAllServiceAgentAccess 字段设置为 true 以允许访问权限，或设置为 false 以拒绝访问权限。如需查看详细说明，请参阅在现有存储桶中创建或更新 IP 过滤规则。

控制台

1. 在 Google Cloud 控制台中，前往 Cloud Storage 存储桶页面。

   进入“存储桶”

2. 在存储桶列表中，点击要更新的存储桶的名称。

3. 在存储桶详情页面上，点击配置标签页。

4. 在权限部分中，前往 IP 过滤。然后，点击 edit 修改 IP 过滤配置。

   系统会显示 IP 过滤页面。

5. 在管理跨组织 VPC 访问权限部分中，执行以下操作之一：

   • 如需允许跨组织 VPC 访问权限，请完成以下步骤：

     1. 点击 circle 已停用，将设置更改为 check_circle 已启用。

     2. 如需确认要允许访问，请在启用字段中输入 Enable。

   • 如需拒绝跨组织 VPC 访问权限，请完成以下步骤：

     1. 点击 check_circle 已启用，将设置更改为 circle 已停用。

     2. 如需确认要拒绝访问，请在停用字段中输入 Disable。

   系统会显示一条通知消息，确认更改已完成。

gcloud

如需更新存储桶的跨组织 VPC 访问权限，请使用 gcloud storage buckets update 命令，并将 allowCrossOrgVpcs 字段设置为 true 以允许访问权限或设置为 false 以拒绝访问权限。如需查看详细说明，请参阅在现有存储桶中创建或更新 IP 过滤规则。

JSON API

如需更新跨组织 VPC 访问权限，您可以使用 PATCH 请求来更新相应存储桶的 ipFilter 配置。将 allowCrossOrgVpcs 字段设置为 true 以允许访问权限，或设置为 false 以拒绝访问权限。如需查看详细说明，请参阅在现有存储桶中创建或更新 IP 过滤规则。