如何在 Google Cloud 的 SDK 中记录应用程序使用的所有权限

Question

我有一个沙盒项目，目前我是该项目的所有者。 这给了我很大的开发自由，我写了一堆 python 代码，使用以下内容：

Storage
Security Center
Storage Notifications
Datastore
Secret Manager
Pub/Sub

我想记录此应用程序使用的所有权限。 在 GCP 中有什么方法可以做到这一点吗？ 也许在 Logging API 或类似的？

我需要这个，这样我就不必手动识别我打算创建的角色的所有权限，因此应用程序遵循最小特权原则。

谢谢！

Answer 1

就像guillaume blaquiere建议的那样，当您尝试获取应用程序的权限相关数据时，需要考虑两个或更多因素。 在 GCP 中，所有已执行或需要执行的活动都需要服务帐户或用户帐户。 如果我们为这些服务帐户和用户帐户启用了审计日志，我们可以获得正在使用的权限，前提是这些日志有 90 天的保留期，正如guillaume blaquiere提到的那样。 由于您不想使用服务帐户，因此请改用运行时配置器。

运行时配置器可用于为您的应用程序提供运行时权限。 本文档可帮助您更多地了解运行时配置器。 有许多功能可用，运行时配置器支持多种编程语言。 在这些函数中有一个名为 watch() 的 function，它为您提供了对 gcp 环境所做更改的详细信息，您可以将从 watch() function 接收到的数据写入日志文件，并可以相应地工作。