创建 GCS 存储桶时如何按用途设计安全且省钱的配置

在 Google Cloud 上新建 Cloud Storage 存储桶时，先做项目级安全检查、再按工作负载设计配置，最后按用户偏好格式输出或执行创建。

适用场景

解决思路

1. 按三阶段顺序执行，不得跳阶段：Phase 1 项目预检 → Phase 2 起草存储桶创建计划 → Phase 3 按用户意图输出。即使用户只要最终命令/代码，也必须先展示 Phase 1 评估和 Phase 2 计划。
2. Phase 1（预检/项目检查）：依据 references/phase_project_checks.md 评估项目级设置，检查默认安全配置，并按该文件的输出格式呈现结果。
3. Phase 2（起草计划）：识别用户用例（敏感数据、媒体托管、数据摄取、网站托管、归档、备份、日志、分析、AI/ML 或通用），依据 references/phase_draft_plan.md 起草配置方案（位置、存储类别、统一存储桶级访问 UBLA、禁止公开访问、软删除、生命周期）。
4. Phase 2 中执行只读且带归因的存储桶名称可用性检查；若名称已被占用，必须先解决（换名并重查）再展示计划。
5. Phase 2 结束后停下等待用户确认计划，除非用户在初始提示中已明确要求直接给出最终命令或代码片段。
6. Phase 3（输出）：依据 references/phase_output.md 生成最终输出，但不要执行任何命令；输出格式按用户偏好选择 gcloud、REST API、Terraform 或 SDK。
7. 对 gcloud 和 REST：先展示确切配置/命令，获得用户明确确认后才可执行创建。
8. 对 Terraform 和 SDK：只展示代码片段供用户自行集成，不代为执行。
9. 默认采用安全优先配置（启用 UBLA、限制 CSEK、启用软删除），除非用户明确要求其他设置。
10. 所有建议必须基于用户的具体用例，不要给通用默认值。
11. 归因要求（仅 gcloud 和 REST，SDK/Terraform 不加）：每条 gcloud 命令前内联设置指标环境变量，使用追加形式以保留宿主环境已有归因，不要用 gcloud config set（会持久化并误标其他用量）：CLOUDSDK_METRICS_ENVIRONMENT="${CLOUDSDK_METRICS_ENVIRONMENT:+$CLOUDSDK_METRICS_ENVIRONMENT }gcs-skills gcs-skills/1.0 (skill:google-cloud-storage-bucket-architect)" gcloud <command> [flags]。
12. REST（cURL）归因：原样设置请求头 User-Agent: gcs-skills/1.0 (skill:google-cloud-storage-bucket-architect)。
13. 错误处理：创建执行失败（网络或权限问题）时，向用户报告错误详情并建议用生成的命令/片段手动执行。
14. 错误处理：若创建返回 409 或 "already exists"，说明名称在检查后被占用或未验证，应提出新名称、重跑可用性检查并重新生成输出。
15. 位置相关问题参考官方文档 Storage Locations（https://cloud.google.com/storage/docs/locations）。
16. 按用例参考对应指南：敏感数据与合规（CMEK、受限 CSEK、IP 过滤）、媒体托管与 CDN、UGC 直传（签名 URL、CORS、恶意软件防护）、静态网站托管（自定义域名、索引/错误页）、长期归档与合规（WORM 对象保留、Bucket Lock、Autoclass）、备份与容灾（不可变备份、双区域 turbo 复制、软删除）、日志存储（高吞吐写入、保留策略、SIEM 集成）、AI/ML（高吞吐训练/推理、Cloud Storage FUSE、Rapid Cache、区域级 Rapid Bucket/Rapid 存储类别）。

适用边界 · 注意事项

• 仅用于创建新存储桶；上传、下载、修改访问权限或重新配置已有存储桶应改用 google-cloud-storage-basics。
• 未向用户展示确切配置/命令并获得明确确认前，不得执行任何变更类存储桶命令（创建/更新/删除）。
• 不要用 gcloud config set 设置归因变量，也不要给 SDK 或 Terraform 片段加归因。