限制服务内的服务帐户访问

Question

背景：

我有 2 个服务，A 和 B，都需要访问服务 X，都在 Cloud Run 上运行。 服务 X 需要身份验证，因为 A 和 B 都有自己的服务帐户，我给了他们服务 X 的调用者角色，确保访问令牌设置在标头上，所以一切正常。

实际问题：

我想限制对服务 X 中特定 API 的访问。例如：我希望服务 A 只能使用 READ 端点，但 B 也能够使用 WRITE 端点。 有什么方法可以包含自定义范围或声明以访问 GCP 从服务帐户生成的令牌，以便我可以在 API 级别进行精细访问控制？

注意：我来自 Azure 背景，我们可以在其中设置 API 范围，并将这些范围分配给帐户。 试图了解 GCP 上是否有等效项。

Answer 1

在 gcp 中，我们可以在调用 API 时创建一个自定义角色服务帐户，在您的情况下，您需要创建 2 个具有自定义角色的服务帐户，一个具有查看器角色，另一个具有作家或编辑器角色。

这是一个博客，解释了创建具有自定义角色的服务帐户的过程。

拨打 API 时，请确保您使用正确的服务帐户分别执行读取和写入操作。