求支持多云（含GCP）的ServiceAccount密钥管理工具：可按角色/项目过滤

1. GCP原生组合：IAM + Secret Manager #

• 完全适配GCP生态，所有ServiceAccount（SA）的权限配置统一在IAM中管理，可直接查看每个SA绑定的项目级角色、资源专属权限
• 用Secret Manager加密存储SA密钥，支持按项目、自定义标签（如role:data-editor、biz:analytics）分组，快速筛选目标密钥
• 可通过gcloud iam service-accounts list、gcloud iam service-accounts get-iam-policy命令批量导出SA权限数据，完成存量资源的梳理
• 非GCP的SA密钥也可存入Secret Manager，用标签区分云服务商，实现跨云凭据统一存储

2. HashiCorp Vault #

• 跨云兼容，支持存储GCP、AWS、Azure等主流云的SA密钥及各类凭据
• 可通过自定义标签与策略给SA打标记（如project:web-prod、role:admin），实现按角色、项目维度快速检索
• 内置权限审计模块，能清晰展示每个SA的权限范围，还支持密钥自动轮换，降低泄露风险
• 提供CLI、Web UI两种操作方式，批量管理大量SA效率更高

3. AWS Secrets Manager（跨云场景适配） #

• 虽为AWS原生工具，但支持存储GCP等其他云的SA密钥，通过标签机制按项目、角色分类管理
• 可关联权限策略，直观查看每个SA对应的权限配置，同时支持密钥自动轮换功能
• 适合已接入AWS生态，需要统一管理跨云凭据的用户

存量资源梳理建议 #

• 先对现有SA做一次全面整理：给每个SA补全项目、角色标签，同步更新权限记录
• 定期通过工具的审计功能排查冗余SA，及时清理权限过期或闲置的账号

内容的提问来源于stack exchange，提问作者Hexca