使用 roles/storage.legacyBucketWriter 在存储桶中读/写是不是很糟糕？

Question

我发现自己使用了很多具有以下权限的 roles/storage.legacyBucketWriter：

• storage.buckets.get
• storage.objects.create
• storage.objects.delete
• storage.objects.list

可能没关系，但我觉得使用名称中带有 legacy 的角色让我感到很奇怪......

我也不想创建自定义角色，因为它似乎有点过分，因为有这个角色适合需要。

是的，有一个角色 roles/storage.objectAdmin，但它缺少 storage.buckets.get 权限。

你怎么看？

Answer 1

请记住，旧角色与 GCP 上的原始角色相关，它是“旧版”，因为它与通过对象上的旧角色授予的 pre-IAM 权限完全匹配。这完全取决于您的用例，最佳推荐做法是遵循最小权限原则。

请记住官方documentation中提到的：

“旧版存储桶 IAM 角色与存储桶 ACL 协同工作：当您添加或删除旧版存储桶角色时，与存储桶关联的 ACL 会反映您的更改。”

此外，请考虑table 中描述的读/写旧角色的范围。

最后看一下安全、ACL 和访问控制的section，以遵循为云存储服务推荐的最佳实践。