如何将 Google 服务帐户限制为 Google Cloud Storage 中的单个存储桶？

Question

是否有可能做到这一点？

使用 IAM 的 AWS 中的类似功能确实支持限制对单个存储桶的访问，但从https://cloud.google.com/compute/docs/access/service-accounts看来，它在 GCP 中似乎不可能。

Answer 1

要使用 IAM 权限将服务帐户的访问权限限制为特定存储桶，您可以使用 gsutil：

    gsutil iam ch serviceAccount:${SERVICE_ACCOUNT}@${PROJECT}.iam.gserviceaccount.com:objectViewer gs://${BUCKET}

并为您要授予的每个角色重复此操作（例如objectAdmin）。

文档位于此处将 Cloud IAM 与存储桶结合使用。如果您需要对特定对象进行更精细的控制，则必须使用 ACL。

Answer 2

身份和访问管理 (IAM) 和服务帐户权限是在一般范围内控制对资源的访问的推荐方法；但是，如果您想要自定义各个存储桶及其对象的访问范围，则应该使用访问控制列表。