7 天 GCP 入門計畫

使用 Console 與 Cloud Shell Bash。需要在獨立練習專案建立／讀取／刪除 bucket 和物件的權限，並能啟用 Storage API、查看 IAM 與有效的 Billing。若組織政策禁止某項設定，停止並記錄待辦，不繞過政策。 儲存與操作可能收費；本練習不要求授予公開存取。

1. 先記錄本次名稱。在私人筆記保存 Project ID、目前帳號、bucket 名稱及物件名稱 cloudon-intro.txt。bucket 名稱需全球唯一，可用 coa-intro-你的隨機字串（小寫英數與連字號）；勿放個資。即使後續失敗，也用這份記錄清理。
2. 建立一個全新的可丟棄 bucket。在 Cloud Storage → Buckets 選建立，核對專案，選單一區域 us-central1、Standard，關閉自動類別調整。選「統一存取（Uniform）」並啟用「公開存取防護（Public access prevention）」。不要加入 allUsers 或 allAuthenticatedUsers。
3. 核對資料保護。僅對這個全新、只放可丟棄資料的 bucket 停用 Soft Delete，不啟用物件版本控管或保留政策，也不要鎖定保留政策。 這讓測試刪除後不保留復原副本；正式資料應依復原需求另行設定。若政策強制保留，停止本練習並記錄限制，勿修改組織政策。
4. 上傳與驗證。在本機建立 UTF-8 純文字檔 cloudon-intro.txt，內容為 CloudOn private storage practice，上傳到 bucket 根目錄。下載後核對內容；查看權限與設定，確認統一存取及公開存取防護均啟用。 具名 IAM 成員與繼承角色仍可能有權限，防護並不代表只有你能讀。
5. 可選：用只讀指令交叉核對。在 Cloud Shell Bash 替換下方兩個佔位值，使用有權限的同一身分。查看 JSON 的 iamConfiguration 區塊：uniformBucketLevelAccess 裡的 enabled 應為 true；publicAccessPrevention 應為 enforced，或對照 Console 中同義的顯示欄位。檢查 IAM 沒有公開成員，cat 讀到剛才的文字。 這是已驗證身分的讀取，不能用來證明匿名存取被拒絕；專案／上層繼承授權另在 IAM 查看。

   (
     set -eu
     INTRO_STORAGE_PROJECT='YOUR_PROJECT_ID'
     INTRO_STORAGE_BUCKET='YOUR_BUCKET_NAME'
     case "$INTRO_STORAGE_PROJECT:$INTRO_STORAGE_BUCKET" in
       *YOUR_*) echo '請先替換 Project ID 與本次 bucket 名稱' >&2; exit 1 ;;
     esac
     gcloud storage buckets describe "gs://$INTRO_STORAGE_BUCKET" \
       --project="$INTRO_STORAGE_PROJECT" --raw --format=json
     gcloud storage buckets get-iam-policy "gs://$INTRO_STORAGE_BUCKET" \
       --project="$INTRO_STORAGE_PROJECT" --format=json
     gcloud storage cat "gs://$INTRO_STORAGE_BUCKET/cloudon-intro.txt" \
       --project="$INTRO_STORAGE_PROJECT"
   )

6. 清理，即使只完成一半也要做。依筆記在正確專案找到本次 bucket，先刪除唯一的測試物件，再刪除這個空 bucket。 不使用全選刪除、不刪其他 bucket。若建立失敗，先檢查它是否已存在；若上傳失敗，仍需刪除已建立的空 bucket。 碰到權限錯誤、保留限制或清單載入失敗時，記下錯誤與待清理名稱，不能當作刪除成功。
7. 核對結果。重新整理同一專案的 bucket 清單並搜尋精確名稱，確認查詢成功且本次 bucket 不存在。 若曾在啟用軟刪除時刪過物件，後來停用不會提前清掉既有軟刪除副本；要另外檢查保留狀態與費用。 最後查看 Billing 報表，留意資料可能延遲；不以即時零元作為唯一清理證據。

官方參考：建立 bucket、公開存取防護、軟刪除、刪除 bucket。