如何创建不继承主体权限、仅含最小权限的Google GCP服务账号

步骤1：创建基础服务账号 #

• 打开GCP控制台，进入「IAM与管理」>「服务账号」页面
• 点击「创建服务账号」，填写名称（比如chat-bot-minimal-sa）和ID，描述按需填写，完成创建即可。

步骤2：确保无多余继承权限 #

• 服务账号创建后默认不会自动继承项目的宽泛权限（比如Editor、Owner），不要手动添加任何预定义角色，只保留系统默认的「服务账号用户」角色——这是服务账号正常工作的必要基础权限，无法移除。

步骤3：配置指定权限范围 #

• 在服务账号列表里，点击目标账号的「编辑」按钮进入详情页
• 切换到「权限范围」标签，点击「添加权限范围」
• 搜索并选中https://www.googleapis.com/auth/chat.bot，点击「添加」后保存更改。

可选：验证权限配置 #

• 用gcloud命令行查看服务账号的权限策略，确认无多余权限：

  gcloud iam service-accounts get-iam-policy your-service-account@your-project.iam.gserviceaccount.com
  

• 输出结果里应该只显示基础的服务账号权限，以及你添加的chat.bot权限范围。

内容的提问来源于stack exchange，提问作者Ko Ohhashi