google-cloud-platform - 将 GCP Cloud IAM 自定义角色的访问权限限制为仅存储桶

Question

AWS 提供了一种通过其 IAM 的方法 policies限制来自 的访问特定用户/角色 到 特定命名资源 .

例如以下权限:

    {
      "Sid": "ThirdStatement",
      "Effect": "Allow",
      "Action": [
        "s3:List*",
        "s3:Get*"
      ],
      "Resource": [
        "arn:aws:s3:::confidential-data",
        "arn:aws:s3:::confidential-data/*"
      ]
    }

将允许所有 List*和 Get* confidential-data 上的操作存储桶及其内容。

但是，我在浏览 GCP 的 custom roles 时找不到这样的选项。 .

现在，我知道对于 GCS 存储桶(这是我的用例)，您可以创建 ACLs达到(或多或少？)相同的结果。

我的问题是，假设我创建了一个由 someone@myaccount-googlecloud.com 标识的服务帐户。我希望这个帐户有 读/写 权限 gs://mybucket-on-google-cloud-storage , 我应该如何格式化 ACL 以执行此操作？

(目前，从组织/文件夹/项目继承任何其他权限对我来说并不重要)

Answer 1

来自 documentation :

Grant the service account foo@developer.gserviceaccount.com WRITE access to the bucket example-bucket:

gsutil acl ch -u foo@developer.gserviceaccount.com:W gs://example-bucket

Grant the service account foo@developer.gserviceaccount.com READ access to the bucket example-bucket:

gsutil acl ch -u foo@developer.gserviceaccount.com:R gs://example-bucket