google-cloud-platform - 如何允许用户成为 Google Cloud Platform (GCP) 中服务帐户的参与者？

Question

我有一个我希望能够“充当”的服务帐户(在 AWS 中称为“假设”)。我的项目中名为“bucket-viewer-service-account”的服务帐户如下所示:

$ gcloud projects get-iam-policy myproject
bindings:
- members:
  - serviceAccount:123456789012-compute@developer.gserviceaccount.com
  role: roles/editor
- members:
  - user:me@myemail.com
  role: roles/owner
- members:
  - serviceAccount:bucket-viewer-service-account@myproject.iam.gserviceaccount.com
  role: roles/storage.objectViewer
etag: BwVOE_CkjAo=
version: 1

我想授予其他用户“充当”此服务帐户的能力，并且我已应用以下内容，但还没有走得太远:

$ gcloud iam service-accounts add-iam-policy-binding \
    bucket-viewer-service-account@myproject.iam.gserviceaccount.com \
    --member='user:test.gcp1@myemail.com' --role='roles/iam.serviceAccountActor'
bindings:
- members:
  - user:user:test.gcp1@myemail.com
  role: roles/iam.serviceAccountActor
etag: BwVOFAhEVqY=

这就是我所要做的一切，以便用户 test.gcp1@myemail.com (登录后)可以访问服务帐户可用的资源吗？或者用户是否还需要执行另一个步骤来“假定”服务帐户？

我已经为初学者浏览了许多页的文档 Understanding Service Accounts，但大多数似乎都在考虑使用服务帐户的应用程序，其中文档明确提到用户、组等可以使用服务帐户。

Answer 1

iam.serviceAccountActor role使用户能够创建和管理使用服务帐户的计算引擎实例。

我可能会误解某些内容，但如果您想授予某人直接充当服务帐户的权限，最直接的方法可能是 create a private key代表充当该服务帐户的特定用户的服务帐户的文件，然后向他们提供该私钥文件。