如何仅授予服务帐户对一个存储桶（Google Cloud）的访问权限？

Question

如何让服务帐户只能访问一个存储桶？ 如果您只是为了以防万一想让另一个3rd 方服务访问您的私有存储桶？

问题是默认情况下（服务帐户）可以访问所有存储桶，我不知道如何将其限制为仅一个存储桶。

是否可以从仪表板或仅控制台实现此目的？ 如果可以从仪表板中获得，那么我想知道其中的步骤。

谢谢你。

编辑**

我有 3 个存储桶，当我创建一个具有（对象查看器）权限的服务帐户时，它会自动添加到所有 3 个存储桶中，当我尝试从我不希望它访问的任何存储桶的权限中删除它时，我收到这条消息说（成员是从另一个策略继承的，不能被删除。）

Answer 1

如果您将 go 转到Google Cloud Storage Console ，您将找到 GCP 项目的存储桶列表。 单击相关项目右侧的三个垂直点，然后选择“编辑存储桶权限”。 然后，您可以使用“添加成员”为相关服务帐户授予适当的权限。

Answer 2

您需要创建一个 IAM 条目并通过指定条件来限制访问。

例如，如果我希望用户user.email@domain.ext以Storage Object Admin权限访问存储桶b_1

1. 浏览到您的存储桶b_1
2. 在烤肉串菜单上（三个垂直点）> 编辑访问
3. 添加主体： user.email@domain.ext
4. 指定角色：存储 Object 管理员
5. 指定条件
   • 输入条件标题
   • 输入描述
   • 在条件生成器select条件类型： Resource > Name
   • 在运算符select is或Starts With等开头。
   • 输入您的存储桶名称projects/<your_project>/buckets/b_1
6. 您可能需要输入其他条件类型，例如Resource > Type和 select storage.googleapis.com/Bucket