VPC Service Controlその2

はじめに

VPC Service Controlの境界ブリッジ(service perimeter bridge)を試してみます。
https://cloud.google.com/vpc-service-controls/docs/share-across-perimeters

VPC Service Controlの標準境界の記事はこちら。
https://qiita.com/atsumjp/items/096d101ba60f16b94349

境界ブリッジがない場合

以下の様に②つの標準境界を作成し、それぞれProdとDevのプロジェクトを追加します。

この状態で、gsutil cpコマンドでProdプロジェクトのバケットからDevプロジェクトのバケットにファイルをコピーした場合失敗します。

$ gsutil cp gs://bucket-a/test.txt gs://bucket-b/
Copying gs://bucket-a/test.txt [Content-Type=text/plain]...
AccessDeniedException: 403 Request is prohibited by organization's policy. vpcServiceControlsUniqueIdentifier: fde60e46b2154e0a

境界ブリッジがある場合

境界ブリッジを作成し、ProdプロジェクトとDevプロジェクトを追加します。

この状態としては、以下のようなイメージになります。

この状態で先程のgsutil cpコマンドを実行するとコピーが成功します。

$ gsutil cp gs://bucket-a/test.txt gs://bucket-b/
Copying gs://bucket-a/test.txt　[Content-Type=text/plain]...
/ [1 files][  913.0 B/  913.0 B]
Operation completed over 1 objects/913.0 B.

VPC Service Controlに直接関係ないけど、プロジェクト跨いでバケット間でデータをコピーするのが、単一ユーザをプロジェクトごとに権限付与する仕組みなため、AWSよりシンプルに感じます

投稿内容は私個人の意見であり、所属企業・部門見解を代表するものではありません。