google-cloud-platform - GCP 只读角色（查看者角色）允许从 Google Container Registry 拉取图像

Question

有没有人找到一种解决方法来拒绝用户从 Google 容器注册表中提取图像，只具有查看者角色？？？Iam 策略约束尚不支持存储桶拒绝。想知道如何解决此问题，同时允许用户查看者角色查看 GCP 资源。

标签： google-cloud-platformgoogle-cloud-storagegoogle-compute-enginegoogle-container-registry

Answer 1

“查看者”组的成员有权读取工件存储桶中的对象，因为他们是存储桶（以及所有新存储桶，默认情况下）的旧 ACL中的读取器。因此，您必须通过更改旧 ACL 而不是 IAM ACL 来修复它：

1. 转到https://console.cloud.google.com/storage/browser?project=your-project-123
2. 编辑工件存储桶的存储桶权限
3. 从“Storage Legacy Bucket Reader”中删除“Viewers of project: your-project-123”

将来这可能会成为 IAM 控制的功能（在这种情况下，IAM 自定义角色将是解决方案）。