google-cloud-storage - Google Cloud Storage 对 ACL/IAM 和旧权限感到困惑

Question

我有一个存储桶，我希望其内容可以公开阅读。但是，我不希望用户能够通过从 URL 中删除键名来列出所有内容。

为简单起见，请假设我是通过控制台设置这些权限的。

设置 Storage Object Viewer为 allUsers允许我访问对象以及列出内容。

设置 Storage Legacy Object Reader为 allusers允许我访问对象但不列出内容。

这对我来说似乎很奇怪，为什么该许可是“传统”许可？这是否意味着它将来会被删除？这对我来说是一个非常重要的功能。

此外，如果不打算删除它，我如何确保以后发布到此存储桶的所有内容都继承该存储桶的权限？

先感谢您。

Answer 1

它是“旧版”，因为它与通过旧版 READER 角色授予对象的 IAM 前权限完全匹配。

我不能肯定地说这些遗留角色的计划是什么(有 5 个)，但如果它们被弃用，肯定需要一个弃用期和公告。

如果您对使用“传统”角色感到不舒服(或者在没有完全适合您的用例的策划角色的任何情况下)，您始终可以创建一个具有您需要的权限集的自定义角色。
https://cloud.google.com/iam/docs/creating-custom-roles

至于“我如何确保以后发布到此存储桶的所有内容都继承存储桶的权限”。存储桶 IAM 策略始终由存储桶中的所有对象继承。由于您有一个角色将“storage.objects.get”授予存储桶策略上的 allUsers，它将应用于存储桶中的所有对象。