google-cloud-platform - 使用不在 IAM 中的用户创建的 Google Cloud 资源

Question

情况：

• 我有一个 GCP 项目 ( owner) 属于我无权访问的组织，所以我在No Organization
• 用户 ( [e-mail]) 为现有的 pubsub 主题创建了订阅，我在活动和审计日志下看到
• 此用户在 IAM 中对我不可见（例如，作为editor，或具有某些 pubsub 特定角色）
• 我也无法在任何与发布/订阅相关的主题/订阅中看到该用户，具有角色，特别是在他创建订阅的主题中

概括：

• [e-mail]创建了一个潜艇。
• 我不知道他从哪里得到这个角色（继承？）

问题：

1. 这个人是否有可能editor在组织中（或项目上方的某个文件夹），但我在项目的 IAM 部分中没有看到该角色？
2. 如果不是，该角色可以从哪里继承？

标签： google-cloud-platformgoogle-cloud-pubsubgoogle-iam

Answer 1

创建订阅

要订阅 Pub/Sub 主题，用户应该能够创建订阅对象。为此，需要对主题的pubsub.subscriptions.create权限。它可以通过以下方式显式分配到主题或从父级别（项目、文件夹、组织）继承：

• 从项目级别或更高级别继承的自定义角色；
• 在 Pub/Sub 主题级别分配或从父级别继承的预定义角色pubsub.editor或pubsub.admin ；
• 从项目或服务资源级别或更高级别继承的原始角色编辑器或所有者；例如，新创建的 VM 实例正在代表的Compute Engine 默认服务帐户在它所属的项目中具有编辑角色。

查看角色分配

要跟踪从何处继承有效权限，需要列出以下 Permssions：

• resourcemanager.organizations.getIamPolicy
• resourcemanager.folders.getIamPolicy
• resourcemanager.projects.getIamPolicy

包含该权限的 IAM 预定义角色是：

• resourcemanager.organizationAdmin
• iam.securityAdmin
• iam.securityReviewer

可以追溯到文件夹级别的 IAM 预定义角色是：

• resourcemanager.folderAdmin
• resourcemanager.folderEditor
• resourcemanager.folderIamAdmin

IAM 原始角色：

• 查看器
• 编辑
• 所有者

要获得所产生权限的全面视图，您应该被授予在 IAM 层次结构中尽可能高分配的上述角色（最好是在组织级别），以获得足够的管理范围进行调查。

您看不到位于您拥有的管理范围之外的绑定。因此，您看不到权限继承的级别以及授予权限的安全主题。

回到问题

1. 这个人是否有可能在组织（或项目上方的某个文件夹）中拥有例如编辑器，但我在项目的 IAM 部分中没有看到该角色？
   • 是的
2. 如果不是，该角色可以从哪里继承？
   • 项目上方的组织级别和所有文件夹级别（可以嵌套）。

供应商文件

IAM 角色

云发布/订阅 | 访问控制 | 角色

自定义角色权限的支持级别