google-cloud-platform - Google Cloud Platform中的Project Browser角色和Project Viewer角色有什么区别

Question

根据控制台弹出窗口，“项目浏览器”角色具有对项目资源的浏览权限，而“项目查看器”具有对这些资源的读取权限。

这是否意味着使用浏览器角色我只能列出存储在项目存储区中的文件名，但是我需要查看者角色才能下载这些文件？

Answer 1

Does this mean that with the browser role I can only list the filenames stored in the project's buckets but I need viewer role to download those files?

浏览器角色 roles/browser没有访问Google Cloud Storage的任何权限。您无法列出存储桶中的对象。查看者角色 roles/viewer没有查看(下载)Google Cloud Storage对象的权限。

为了更好地理解角色，您需要知道角色包含哪些权限。

如果您扮演 roles/browser角色并查看权限:

gcloud iam roles describe roles/browser

您将发现此角色具有以下六个权限:

description: Access to browse GCP resources.
etag: AA==
includedPermissions:
- resourcemanager.folders.get
- resourcemanager.folders.list
- resourcemanager.organizations.get
- resourcemanager.projects.get
- resourcemanager.projects.getIamPolicy
- resourcemanager.projects.list
name: roles/browser
stage: GA
title: Browser

请注意，此角色无权访问Google Cloud Storage。

相比之下，如果查看 roles/viewer的权限，您会发现此角色具有721权限。我已将此 list 限制为仅存储权限:

storage.buckets.list

您将看到此角色仅具有列出存储桶内容的权限。没有授予查看存储桶中对象内容的权限。

为了查看(下载)Google Cloud Storage对象，您需要 storage.objects.get权限。这包含在角色 roles/storage.object.viewer， roles/storage.objectAdmin， roles/storage.admin和 roles/storage.legacyObjectReader中。