如何解决服务代理权限过高的IAM推荐器告警问题？

问题背景 #

Google Cloud Security Command Center检测到漏洞：IAM推荐器发现格式为[PROJECT_NUMBER]@cloudservices.gserviceaccount.com的Google APIs服务代理被授予了Owner/Editor/Viewer这类基础IAM角色，这类角色权限过高，属于遗留角色不应授予服务代理。该账号为Google Cloud自动创建，未手动配置过角色。用户疑问：修改该自动创建账号的权限是否安全？如何在不破坏依赖服务的前提下修复？移除Editor角色会有什么后果？

一、修改该服务账号权限是否安全？ #

只要遵循最小权限原则并提前确认依赖服务的权限需求，修改是安全的。这类自动创建的服务代理仅需完成特定任务的必要权限，宽泛的基础角色完全没必要。但直接移除所有权限或错误替换角色可能导致依赖服务故障，操作前必须做足分析。

二、不破坏依赖服务的修复步骤 #

• 第一步：排查权限实际使用情况

  • 用IAM Policy Analyzer查看该账号的权限调用记录，确认它实际用到的权限：

    gcloud logging read "protoPayload.authenticationInfo.principalEmail=[PROJECT_NUMBER]@cloudservices.gserviceaccount.com" --project=YOUR_PROJECT_ID --limit=100
    

  • 核对该账号关联的Google服务（比如Cloud Deployment Manager、App Engine这类会默认使用该代理的服务），确认这些服务的官方权限要求。

• 第二步：替换为最小权限角色

  • 优先使用Google提供的预定义细分角色：比如该账号用于云存储操作，替换为roles/storage.objectAdmin（按需选择更细粒度角色）；用于部署任务则用roles/deploymentmanager.editor。
  • 若预定义角色仍权限过宽，创建自定义IAM角色，仅包含该账号实际调用的权限。

• 第三步：测试验证

  • 有测试环境的话，先在测试环境替换权限，观察依赖服务运行状态。
  • 无测试环境的话，先添加最小权限角色，再移除基础角色，短时间内监控服务日志和运行指标，确认无异常后再保留配置。

三、移除Editor角色的潜在后果 #

• 若该服务代理正被某些Google服务依赖（如自动部署、后台资源管理任务），移除Editor角色可能导致：
  • Cloud Deployment Manager无法创建/更新资源
  • App Engine自动部署流程失败
  • 部分Google Cloud服务的后台维护任务中断
• 若该账号未被任何服务实际使用，移除Editor角色不会产生任何影响。权限使用分析是判断的核心前提。

内容的提问来源于stack exchange，提问作者marian.vladoi