具有项目所有者的 GCP 服务帐户可以向用户帐户授予权限吗？

Question

我获得了一个具有测试项目所有者权限的服务帐户和 json 文件。我可以授予我 gmail.com 帐户的权限，以便能够通过普通门户 cloud.google.com 视图管理项目吗？

这对我来说似乎倒退了 - 我希望有权访问该项目的用户必须将我的 gmail.com 帐户授予该服务帐户。

我刚刚开始，所以如果我在这里遗漏了什么，请告诉我。谢谢。

Answer 1

是否存在具有所有者权限的服务帐户的特定原因？

服务帐户旨在使用该服务帐户所需的特定权限执行服务到服务集成。在我看来，大包装器所有者特权是一种反模式。

我建议您与您的管理员交谈，以向您提供您的 google 帐户的所有权（仅当您确实需要它时），并且只创建具有最低权限的服务帐户，就好像您的服务帐户凭据被泄露一样，风险会非常大巨大的。

更新：

以下是步骤，但您需要小心，如果您应该这样做，请询问您的管理员。

首先，使用您的服务帐户（拥有所有者访问权限）登录 gcloud，

gcloud auth activate-service-account your-service-account@google.com  --key-file=/path/key.json --project=testproject

其次，在您的项目中使用创建新用户，

gcloud projects add-iam-policy-binding my-project \
--member=user:my-user@example.com --role=roles/viewer

参考资料：

1. https://cloud.google.com/sdk/gcloud/reference/auth/activate-service-account
2. https://cloud.google.com/iam/docs/granting-changing-revoking-access#updating-gcloud