google-app-engine - 向第三方授予对 Google Cloud Storage 存储桶的访问权限

Question

我需要第三方将一些文件上传到 Google Cloud Storage 存储桶。授予他们访问权限的最佳(或最简单)方法是什么？

Answer 1

前两种方法要求用户拥有有效的 Google 帐户。我在这个答案中忽略了 Google Identity Platform。如果用户有一个 Gmail 帐户，那么这意味着他们也有一个 Google 帐户。第三种方法使用 Google 服务帐户。

方法 1:使用 Google Cloud Storage Console:

• 转到存储 -> 浏览器。

• 检查所需的存储桶。在右侧面板的 permissions 下，点击 Add 按钮。

• 添加用户的 Google 帐户电子邮件地址。选择Storage Object Creator。

授予的角色是roles/storage.objectCreator。此角色授予用户在存储桶中创建对象的权限，但用户无法删除或覆盖对象。

Link to Cloud Storage Roles

方法 2:使用 gsutl CLI:

gsutil iam ch user:username@example.com:ObjectCreator gs://examplebucket

Link to gcloud IAM

读取当前存储桶 IAM 策略的命令:

gsutil iam get gs://examplebucket

方法 3:使用 Google 服务帐户

在 Google Cloud Console 中创建 Google 服务帐户

1. 转到 IAM 和管理 -> 服务帐户
2. 点击创建服务账户
3. 输入服务帐户名称和服务帐户描述
4. 点击创建
5. 在下一个屏幕服务帐户权限中，选择一个角色。
6. 选择Storage -> Storage Object Creator
7. 点击继续
8. 点击创建 key
9. 检查 JSON 单选按钮以获取 Key type
10. 将 json 文件保存到您的本地计算机。

您现在拥有 Google 服务帐户 凭据，可以使用 gsutil、gcloud 和软件程序进行设置。

Setting up gcloud with Service Account Credentials