In der heutigen cloudbasierten Welt sollten sensible Daten so sicher wie möglich aufbewahrt werden. Die IP-Filterung ermöglicht es Ihnen, zu steuern, wer auf Ihren Speicher zugreift, indem Sie sie für Ihre Google Cloud Buckets aktivieren, sodass nur vertrauenswürdige Netzwerke Zugriff erhalten. Dieser Leitfaden führt Sie Schritt für Schritt durch die Einrichtung der IP-Filterung.

Was ist IP-Filterung?

Die IP-Filterung beschränkt den Zugriff auf einen Bucket, indem sie den Zugriff nur von bestimmten IP-Bereichen oder Netzwerken zulässt. Sie gewährt Zugriff auf Ihre Daten, während sie Traffic-Anfragen von unbekannten oder bösartigen Quellen blockiert.

Wichtige Anwendungsfälle für die IP-Filterung von Google Cloud Buckets

1. Compliance-Anforderungen

• Beschreibung: Stellen Sie sicher, dass nur autorisierte Benutzer auf den Bucket zugreifen können, um gesetzliche oder branchenspezifische Vorschriften zum Datenschutz zu erfüllen.‍
• Kernpunkt: Einhaltung gesetzlicher Vorschriften (Einhaltung von Datenschutzbestimmungen)

‍2. Öffentliche Buckets schützen

• Beschreibung: Verbesserte Sicherheit verhindert unbefugten Zugriff auf öffentlich zugängliche Buckets, indem der Traffic auf vertrauenswürdige IPs beschränkt wird. Dies schützt sensible öffentliche Ressourcen vor bösartigen Aktivitäten.‍
• Kernpunkt: Zugriffskontrolle für öffentliche Daten

‍3. VPC-Integration

• Beschreibung: Privates Networking beschränkt den Bucket-Zugriff auf bestimmte Virtual Private Cloud (VPC)-Netzwerke. Dies gewährleistet sichere Interaktionen innerhalb einer klar definierten Netzwerkbegrenzung und verbessert den Datenschutz.‍
• Kernpunkt: Netzwerk-spezifischer Zugriff

‍4. Kontrolliertes Testen

• Beschreibung: Die Zugriffsbeschränkung während der Testphasen stellt sicher, dass der Bucket-Zugriff nur auf ausgewählte IPs oder Systeme beschränkt ist. Dies gewährleistet die Kontrolle über die Testumgebung und reduziert unbeabsichtigte Datenexposition.‍
• Kernpunkt: Kontrolle der Testumgebung

‍5. Verbesserte Überwachung

• Beschreibung: Vereinfacht Audits, indem der Zugriff auf bekannte und vertrauenswürdige IPs beschränkt wird. Das heißt, indem der Zugriff nur von vertrauenswürdigen IPs zugelassen wird, reduzieren Sie die Anzahl unbekannter oder verdächtiger Interaktionen. Dies erleichtert die Nachverfolgung, wer wann auf den Bucket zugegriffen hat, vereinfacht Audits und verbessert die Transparenz.‍
• Kernpunkt: Vereinfachte Audit-Protokolle

‍Unterstützte Standorte

‍Die Bucket-IP-Filterung ist an den folgenden Standorten verfügbar:

• asia-south1
• asia-south2
• asia-southeast1
• asia-southeast2
• asia-east1
• asia-east2
• europe-west1
• europe-west2
• us-central1
• us-east1
• us-east4
• us-west1

‍Einschränkungen‍

Die Bucket-IP-Filterung weist die folgenden Einschränkungen auf:

• Maximale Anzahl von IP-CIDR-Blöcken: In der IP-Filterregel für einen Bucket können Sie maximal 200 IP-CIDR-Blöcke über öffentliche und VPC-Netzwerke hinweg angeben.
• Maximale Anzahl von VPC-Netzwerken: In den IP-Filterregeln für einen Bucket können Sie maximal 25 VPC-Netzwerke angeben.
• Unterstützung für zwei Regionen: Die IP-Filterung wird für Buckets mit zwei Regionen nicht unterstützt.
• Blockierte Google Cloud-Dienste: Das Aktivieren der IP-Filterung für Cloud Storage-Buckets schränkt den Zugriff für einige Google Cloud-Dienste ein, unabhängig davon, ob diese einen Dienst-Agenten für die Interaktion mit Cloud Storage verwenden.

‍So aktivieren Sie die IP-Filterung für Buckets

Schritt 1: Installieren Sie die Google Cloud CLI (Befehlszeilenschnittstelle) auf dem Server

‍Stellen Sie eine SSH-Verbindung zu Ihrer Instanz her und installieren Sie die Google Cloud CLI mit dem folgenden Befehl:

sudo snap install google-cloud-cli --classic

‍

Authentifizieren Sie sich bei Google Cloud:

gcloud auth login

Sie werden aufgefordert, den Zugriff auf Ihr Google-Konto zu gewähren.

Google Cloud SDK möchte auf Ihr Google-Konto zugreifen

Legen Sie die gewünschte Projekt-ID fest:

gcloud config set project [PROJECT_ID]

‍Schritt 2: Überprüfen Sie Ihren Bucket

1. Listen Sie alle Buckets in Ihrem Projekt auf: gcloud storage buckets list
2. Suchen Sie den Bucket-Namen, den Sie konfigurieren möchten.

‍Schritt 3: JSON-Konfiguration vorbereiten

‍Erstellen Sie eine JSON-Datei, um Ihre IP-Filterregeln zu definieren:

• Öffnen Sie einen Texteditor, um die Datei zu erstellen:

nano ip-filter-config.json oder vim ip-filter-config.json

• Fügen Sie die folgende Konfiguration hinzu und speichern Sie die Datei:

{

 "mode": "Enabled",

 "publicNetworkSource":

   {

   "allowedIpCidrRanges": ["RANGE_CIDR"]

   },

 "vpcNetworkSources":

     [

             {

                    "network": "projects/PROJECT_ID/global/networks/NETWORK_NAME",

                     "allowedIpCidrRanges": ["RANGE_CIDR"]

             }

     ]

}

Ersetzen Sie die IP-Bereiche und VPC-Netzwerkdetails durch Ihre spezifischen Anforderungen.

Schritt 4: Konfiguration anwenden

Führen Sie den folgenden Befehl aus, um Ihren Bucket mit der IP-Filterkonfiguration zu aktualisieren:

gcloud alpha storage buckets update [BUCKET_NAME(gsutil URI)] --ip-filter-file=ip-filter-config.json

‍Schritt 5: Konfiguration überprüfen

‍Nachdem Sie die Regeln angewendet haben, beschreiben Sie den Bucket, um die Änderungen zu bestätigen:

gcloud storage buckets describe [BUCKET_NAME(gsutil URI)]

Sie können die IP-Filterkonfiguration im Bucket sehen.

Schritt 5: Zugriff testen

• Stellen Sie sicher, dass Anfragen von zugelassenen IPs auf den Bucket zugreifen können.

• Überprüfen Sie, dass nicht-zugelassenen IPs der Zugriff verweigert wird.

So deaktivieren oder entfernen Sie die IP-Filterung IP-Filterung deaktivieren

• Um die Deaktivierung vorzunehmen, ändern Sie das JSON von „Enabled“ zu „Disabled“ und aktualisieren Sie den Bucket, um die geänderte Konfiguration anzuwenden.

{ 

 "mode": "Disabled",

 "publicNetworkSource":

   {

   "allowedIpCidrRanges": ["RANGE_CIDR"]

   },

 "vpcNetworkSources":

     [

             {

       "network": "projects/PROJECT_ID/global/networks/NETWORK_NAME",

                     "allowedIpCidrRanges": ["RANGE_CIDR"]

             }

     ]

}

‍

Aktualisieren Sie den Bucket mit der geänderten Konfiguration:

‍

gcloud alpha storage buckets update [BUCKET_NAME(gsutil URI)] --ip-filter-file=ip-filter-config.json

‍

Entfernen der IP-Filterkonfiguration

• So entfernen Sie eine bestehende IP-Filterkonfiguration aus dem Bucket:

gcloud alpha storage buckets update [BUCKET_NAME(gsutil URI)] --ipfiltering --clear-ip-filter

‍

Durch die Aktivierung der IP-Filterung können Sie Ihre Google Cloud Buckets vor unbefugtem Zugriff schützen und die Einhaltung der Sicherheitsrichtlinien Ihres Unternehmens gewährleisten. Ganz gleich, ob Sie sensible Daten sichern oder den Zugriff während Tests einschränken, diese Schritte bieten einen robusten Rahmen für die effektive Verwaltung der Bucket-Sicherheit.

IP-Filterregeln für Buckets umgehen:

Das Umgehen von IP-Filterregeln für Buckets befreit Nutzer oder Dienstkonten von IP-Filterbeschränkungen beim Erstellen, Löschen oder Konfigurieren von Buckets, während die Regeln für andere weiterhin durchgesetzt werden. Weitere Informationen zur IP-Filterung von Buckets finden Sie unter IP-Filterung von Buckets (https://cloud.google.com/storage/docs/ip-filtering-overview).

Es ist entscheidend, eine Möglichkeit zu haben, den Zugriff auf Ihren Bucket wiederherzustellen, falls Sie versehentlich Ihre eigene IP-Adresse blockieren. Dies kann aus folgenden Gründen geschehen:

• Bucket-Sperre: Wenn Sie versehentlich eine Regel hinzufügen, die Ihre eigene IP-Adresse oder den IP-Bereich Ihres gesamten Netzwerks blockiert.
• Unerwartete IP-Änderung: In einigen Fällen kann sich Ihre IP-Adresse aufgrund von Netzwerkänderungen unerwartet ändern, und Sie könnten sich ausgesperrt wiederfinden.

Um bestimmten Nutzern oder Dienstkonten das Umgehen von IP-Filterbeschränkungen für einen Bucket zu ermöglichen, erteilen Sie ihnen die Berechtigung storage.buckets.exemptFromIpFilter mithilfe einer benutzerdefinierten Rolle. Diese Berechtigung befreit den Nutzer oder das Dienstkonto von IP-Filterregeln für Bucket-Operationen wie das Erstellen, Löschen oder Konfigurieren von Buckets. Gehen Sie dazu wie folgt vor:

1. Identifizieren Sie den Nutzer oder das Dienstkonto, das die IP-Filterbeschränkungen für bestimmte Buckets umgehen muss.
2. Erstellen Sie eine benutzerdefinierte Rolle.(https://cloud.google.com/iam/docs/creating-custom-roles)
3. Fügen Sie die storage.buckets.exemptFromIpFilter Berechtigung zur Rolle hinzu.
4. Weisen Sie dem identifizierten Nutzer oder Dienstkonto die benutzerdefinierte Rolle auf Projektebene zu.

Informationen zum Zuweisen von Rollen finden Sie unter Rolle zuweisen (https://cloud.google.com/iam/docs/manage-access-service-accounts#grant-single-role)