GCP 中“列出”IAM 权限的说明

Question

只是为了扩展这个问题： Google Cloud Platform 中的 Project Browser 角色和 Project Viewer 角色有什么区别

@John Hanley 已经给出了很好的答案。 但要进一步澄清：“列表”权限的含义是什么？ “列表”是否意味着“您可以列出/查看它”但“您无法访问它”？ 如果是这样，IAM 角色：

角色/浏览器

其中包含权限（ https://cloud.google.com/iam/docs/understanding-roles#project-roles ）：

资源管理器.projects.list

应该能够看到所有项目的资源，包括 Cloud Storage（作为项目的子资源）！ 为什么那么该答案指出，使用此角色您无法列出存储桶中的对象。 ? 我希望你可以（只是）看到所有嵌套的资源！

谢谢

Answer 1

根据官方文档链接，链接：

resourcemanager.projects.list 权限允许用户列出他们拥有的项目。

例如， storage.buckets.list 权限允许成员列出您项目中的存储桶

要列出存储桶的内容，您需要 storage.objects.list

Answer 2

因此，我发现Google Cloud Platform 中 Project Browser role 和 Project Viewer role 之间的区别是什么这个问题的答案具有误导性：

storage.buckets.list -> 你会看到这个角色只有列出bucket内容的权限。 没有权限查看存储桶中对象的内容。

这不是真的！ 该角色授予您仅列出存储桶的权限。 为了列出存储桶的内容，需要角色：

角色/storage.objectViewer

更糟糕的是，在 Google 控制台中，您会看到一条消息，说要查看对象需要“storage.buckets.list”权限。 这不是 GCP 错误吗？

Answer 3

列表权限工作显示一个顶级而不是一个层次级别，浏览允许浏览内容但不能阅读它，这是不同的访问级别。

列出它与浏览不同，您可以列出存储桶（例如您拥有的存储桶列表），但您不必能够浏览它们上的内容。

Answer 4

资源管理器.projects.list

允许您在包含项目（通常是组织或文件夹）的父资源下列出项目。 换句话说，您可以为给定的文件夹或组织调用此 API： https : //cloud.google.com/resource-manager/reference/rest/v1/projects/list

storage.buckets.list

允许您在包含存储桶的父资源下列出存储桶，通常是一个项目。 换句话说，您可以为给定项目调用此 API： https : //cloud.google.com/storage/docs/json_api/v1/buckets/list