google-cloud-platform - 在 gcp 中限制用户对 VM 的访问

Question

假设两个用户 A 和 B 拥有 GCP 项目的完全访问权限。用户 A 创建虚拟机。完成此操作后，用户 B 似乎可以登录 VM，并且还具有对 VM 的 sudo 访问权限。

我们使用了 enable-oslogin 元数据，但是我们遇到了用户 a 和 b 属于同一组的问题，有没有其他方法可以限制用户 B 的访问

Answer 1

根据 docs你有 2 个选择。

管理实例访问 使用操作系统登录，此功能可让您更精细地控制哪些用户可以连接到您的实例以及他们拥有的权限级别。如果删除 roles/compute.osLogin用户将无法访问项目中的任何 VM (docs) .

要仅授予用户通过 SSH 访问特定实例的权限，您可以按照以下步骤操作 ( docs ):

将该用户添加到具有查看访问权限的项目团队

让该用户使用 ssh-keygen 生成公共(public) SSH key 并为您提供该 key

转到 Cloud Console 的 Compute Engine 部分中的实例 Pane ，选择您要授予用户访问权限的实例

单击“添加元数据”并键入“sshKeys”作为 key 和“:”，其中 username 是用户帐户中“@”之前的字符串，ssh key 是用户在步骤 2 中生成的 key 。