时间戳

首页 > 解决方案 > 如何确保 GCP 服务帐号没有管理员权限？

google-cloud-platform - 如何确保 GCP 服务帐号没有管理员权限？

问题描述

我想确保 Google Cloud Platform 服务帐号没有管理员权限。

此外，我想阻止用户创建具有管理员权限的服务帐户，或向现有服务帐户添加管理员权限。

您知道通过策略确保这一点的方法吗？

标签： google-cloud-platformadminidentitypolicy

解决方案

您可以根据用户需要执行的操作来使用细化权限。

可以限制资源，甚至使用这些细粒度的权限，您可以创建基于计算管理员的自定义角色，并且只需删除遵循语法“ ..setIamPolicy”的所有权限。IE

compute.instances.setIamPolicy
compute.licenses.setIamPolicy
compute.machineImages.setIamPolicy
compute.licenseCodes.setIamPolicy

这可以限制用户设置 IAM 绑定，但一般来说它是有限的，对于用户，而不仅仅是服务帐户。仅用于 SA 是不可能的。

我建议您跟进 IAM最佳实践，这样您就可以更好地管理您的安全性，如果需要，您可以创建功能请求，以支持IAM 条件角色绑定。

推荐阅读