add-iam-policy-binding vs set-iam-policy

Question

1. 我无法理解两者之间的区别。 add-iam-policy-binding 将策略（在角色中定义，包括自定义角色）绑定到项目的 iam 用户（用户、服务帐户、组）。

get-iam-policy/set-iam-policy 也遵循 read-modify-write 模式。

那么，两者之间的基本区别是什么。什么时候使用一个而不是另一个？

我一直在阅读-https://cloud.google.com/iam/docs/overview#permissions

1. 运行这些命令需要什么权限？我收到 add-iam-policy-binding 的权限错误，但 get/set-iam-policy 使用 serviceaccount 可以正常工作。

2. 一旦我理解它，目标就是创建一个组，向其中添加用户。要为组分配权限，请创建一个角色并添加与项目的绑定。在这里，我不确定创建角色绑定如何授予对组的访问权限？还有后期怎么实现？

谢谢

Answer 1

add-iam-policy-binding 是在一个用户步骤中简化读取-修改-写入的一些糖。在引入该服务时，它与其他服务在使用这种机制方面不同，并且通过提供一种更传统的方法添加了add。

add 一次只能绑定一个身份*角色。但是，如果无法进行更改（如果 etag 已更改），它可能（？）重试。而您可以使用get 然后set 进行多项更改。

在封面下，我假设 (d)，add 为您执行 get-modify-write 舞蹈，所以，我很惊讶您不能使用同一帐户来访问 get、set 和add。请包括您运行的命令和输出。

组是在 Google 网上论坛中创建的，我假设是 Google 身份。而不是使用user: 或serviceAccount: 前缀身份，然后使用group:（如果我没记错的话）。

更新您使用的 URL 是一个明确的概述。我刚刚检查了一下，group: 是正确的。

您可以gcloud ... --log-http 让 CLI 向您展示它的工作（底层 REST 调用），这应该显示 add 被分解为 get 后跟 set。如果没有，它正在以其他方式实现这一目标。