目標: プロジェクト A の Cloud Storage バケットはプロジェクト B からのみ読み取り可能であることを確認し、正しい認証情報を使用しても、ネットワーク外部の Cloud Storage バケットへのデータ アクセスやコピーを防止します。
解決策: VPC Service Controls を使用してセキュリティ境界を作成します。
手順:
ステップ 1: Google Cloud Console を開きます。
ステップ 2: VPC Service Controls ページに移動します。
ステップ 3: 新しいサービス境界を作成します。
ステップ 4: プロジェクト A とプロジェクト B をサービス境界に追加します。
ステップ 5: 境界構成に Cloud Storage サービスを含めます。
ステップ 6: アクセス レベルを定義して、境界内のリソースのみが Cloud Storage バケットにアクセスできるようにします。
VPC Service Controls 境界を設定することで、定義済みのプロジェクト内にデータへのアクセスと移動を制限するセキュリティ境界を適用でき、IAM 権限を超えた追加の保護レイヤーを提供できます。
参照：
VPC サービスコントロールの概要
VPC サービスコントロールの構成

参照：
Web セキュリティ スキャナは、App Engine、Google Kubernetes Engine（GKE）、Compute Engine ウェブ アプリケーションのセキュリティ上の脆弱性を特定します。https://cloud.google.com/security-command-center/docs/concepts-web-security-scanner-overview

説明/リファレンス: https://cloud.google.com/dlp/docs/reference/rest/v2/InspectJobConfig

説明
このアプローチにより、既存のオンプレミスPKIインフラストラクチャを活用しながら、その影響と手動プロセスを最小限に抑えることができます。Googleの証明機関サービスに従属CAを作成することで、HTTPロードバランサのフロントエンドへの証明書発行プロセスを自動化できます。このソリューションは、ロードバランサの数が増えても適切に拡張できます。