在 GCP IAM 中授予基于对象的权限

Question

用例：

我有一个 GCP 设置：

• 多个Google Kubernetes Engine 集群
• 多个CloudSQL 实例
• 多个GCS buckets

基本上，我想为用户授予比项目范围更细粒度的权限（即用户A只能访问存储桶B，但可以访问CloudSQL实例C和D）

可能的解决方案：

对于 GCS，这是easy and documented。

但是，我找不到其他两个类似的东西。 CloudSQL 文档甚至似乎说它是not possible (All permissions are applied to the project. You cannot apply different permissions based on the instance or other lower-level object.)

探索的解决方法：

• 我尝试创建custom IAM roles。我希望有某种方法可以过滤应用角色的对象，其方式类似于 AWS IAM allows with its Resource filter。 这显然是不可能的。
• 对于 GKE，我可以给每个用户Kubernetes Engine Cluster Viewer 角色（基本上只允许列出集群和有关它们的基本信息，以及使用gcloud cli 工具登录），然后使用Kubernetes RBAC引擎提供非常细粒度的权限。这很好用，但不允许用户使用非常方便的 Google 网络界面，尤其是对于 k8s 的初学者。
• 同样，对于CloudSQL，我可以赋予Cloud SQL Client角色，通过postgres访问控制系统直接管理我的用户。这很好用，但我的用户能够连接到其他实例（当然，他们仍然需要这些实例上的帐户）。此外，不能只在特定实例上进行恢复备份等操作。

那么，我是否遗漏了一些明显的东西，或者有人找到了解决这些限制的方法？

Answer 1

对于 GKE，似乎唯一的选择是使用 RBAC 通过命名空间内的RoleBinding 为用户提供细粒度的权限，或者使用 ClusterRoleBinding 提供集群范围的权限。

关于 CloudSQL，目前不支持基于实例的权限，但您可以在此 link 中跟踪此功能请求的任何更新。