Google Cloud Platform 创建自定义 IAM 角色并限制对存储桶的访问答案

【问题标题】：Google Cloud Platform creating custom IAM role and limiting access to a storage bucketGoogle Cloud Platform 创建自定义 IAM 角色并限制对存储桶的访问
【发布时间】：2019-10-31 16:09:34
【问题描述】：

在 Google Cloud Platform 'IAM & Admin' => 'Roles' 我创建了一个自定义角色，但我没有看到将角色限制为特定存储桶的方法。

我正在选择Storage Object Admin 权限，但它似乎是全局应用于所有存储桶。如何将我创建的自定义角色限制为特定存储桶？

【问题讨论】：

标签： google-cloud-platform google-cloud-storage google-cloud-iam

【解决方案1】：

如何将我创建的自定义角色限制为特定存储桶？

答案是你不能。但是，您可以使用不同的方法来实现您的目标。

1) 请勿授予此用户（IAM 成员）任何访问 Cloud Storage 的权限（角色）。

2) 使用“gsutil iam”命令将用户的身份（电子邮件地址）添加到存储桶中。

我写了两篇文章更详细地讨论了这个问题。 link 和 link

重要的是，您不是将权限分配给用户，而是将用户分配给存储桶。在我的文章中，我展示了如何创建一个没有权限的服务帐户，然后可以访问 Cloud Storage、KMS 等。

【讨论】：

我不是想分配一个用户（电子邮件），而是一个正在运行的 GCE VM 实例到一个特定的存储桶。在 AWS 中，这是通过 IAM 角色完成的。我猜在 GCP 中有一种方法可以做到这一点。
有，我刚刚给了你答案。在我的回答中将用户一词更改为计算引擎服务帐户。