如何確保 GCP 服務帳戶沒有管理員權限？

Question

我想確保 Google Cloud Platform 服務帳戶沒有管理員權限。

此外，我想阻止用戶創建具有管理員權限的服務帳戶，或向現有服務帳戶添加管理員權限。

您知道通過策略來確保這一點的方法嗎？

Answer 1

可以限制資源，甚至可以使用這些精細權限，您可以創建基於計算管理員的自定義角色，只需刪除遵循語法“..setIamPolicy”的所有權限。 IE

compute.instances.setIamPolicy
compute.licenses.setIamPolicy
compute.machineImages.setIamPolicy
compute.licenseCodes.setIamPolicy

這可以限制用戶設置 IAM 綁定，但一般來說，對於用戶而言是有限的，而不僅僅是服務帳戶。 僅用於 SA 是不可能的。

我建議您遵循 IAM 最佳實踐，以便更好地管理您的安全性，如果需要，您可以創建功能請求，以支持IAM 條件角色綁定。

Answer 2

創建可以在項目或組織級別完成的自定義角色。 為您創建的自定義角色添加權限。

此外， IAM 策略將允許您通過設置 IAM 策略來控制誰（用戶）對哪些資源具有什么（角色）權限。 （用戶帳戶或服務帳戶，具有角色）。 修改策略后授予所需的角色並調用 setIamPolicy() 進行更新。