ssh - gcloud 使用本地 key 和项目限制计算 ssh

Question

我们有一个用户可以通过 SSH 连接到谷歌云平台上的虚拟机。

他的 key 被添加到虚拟机，他可以使用 SSH
gcloud compute ssh name-of-vm
但是，以这种方式连接将始终让 gcloud 尝试更新项目范围的元数据

Updating project ssh metadata...failed

失败，因为他只有访问和管理此 VM 的权限

然而很烦人的是 每当他必须以这种方式连接时，他必须等待 GCP 尝试更新元数据，这是不允许的，然后检查机器上的 sshkeys。

命令中是否有一个标志可以跳过检查/更新项目范围的 ssh key ？

是的，我们可以在实例上“阻止项目范围内的 ssh key ”，但这意味着其他项目管理员无法再登录。

我还尝试尽量减少对该用户的访问。

但是，理想情况下，如果允许他通过 SSH 连接到机器、启动和停止实例并将数据存储到存储桶中，他应该拥有什么权利？

Answer 1

你能做的就是enable-oslogin for all the users you need包括管理员在内，在实例上启用操作系统登录会禁用这些实例上基于元数据的 SSH key 配置。

通过 SSH 启动、停止和连接到实例的角色将是 roles/compute.instanceAdmin(考虑到该角色目前处于测试阶段)you can check here a list of the Compute Engine roles available因此您可以选择更适合您需求的那一款。

将数据存入桶中，我觉得最适合的角色是roles/storage.objectCreator允许用户创建对象但不能删除或覆盖对象。