google-cloud-platform - 无需管理员权限即可通过 SSH 连接到 VM 的 IAM 角色

Question

背景

要通过 ssh 进入 Google Compute Engine 中的 VM 实例，我需要为用户提供 instanceAdmin 角色，这将管理控制权授予用户，这有时可能是一个安全问题。

查询

Google Compute Engine 是否提供任何 IAM 角色，允许用户通过 SSH 连接到实例，在其上运行程序但没有管理员访问权限(不向用户提供实例管理员角色)？？

Answer 1

TL;博士 - 不，与 the list of Google Compute engine (GCE) IAM roles provided ，您不能使用 IAM 角色来实现您的要求。

SSH key 配置的 IAM 角色

以下角色允许通过 SSH 进入 GCE VM:
Compute Engine Instance Admin又名 roles/compute.instanceAdmin.v1Service account actor又名 roles/iam.serviceAccountActor
配置 SSH key

由于 GCE 使用元数据服务器来提供 SSH key ，您将需要权限 compute.instances.setMetadata来提供 key 。配置完成后，您必须使用自己的自定义机制来分发 key 。

换句话说，您必须自己在 GCE 实例上创建具有所需权限的其他用户，并控制向所需用户提供/分发 SSH key 。

GCE 提​​供了使用 REST API 或 gcloud 管理 SSH key 的工具。 .

请阅读以下详细解释该过程的指南:

SSH Keys

Adding and removing SSH keys

Provisioning the keys on the client side and connecting to the instance

Supported Images

GCE 将使用元数据服务器来提供 SSH key ，它仅在以下 2016 年 2 月/3 月之后创建的图像上受支持。

• CentOS 6 and 7 February 10th, 2016
• Debian 8 February 10th, 2016
• openSUSE 13 February 10th, 2016
• RHEL 6 and 7 February 10th, 2016
• SUSE 11 and 12 March 1st, 2016
• Ubuntu 16.04 LTS and 14.04 LTS March 3rd, 2016
• Ubuntu 12.04 LTS March 29th, 2016