GCP中sys-*项目详解：创建方式、与标准项目差异及区分属性

一、sys-*项目的创建方式 #

• sys-*项目都是GCP后台自动生成的，无需用户手动操作。一般在启用Anthos、Cloud Identity这类特定服务，或是完成组织级初始化配置时，GCP会根据需求自动创建对应的sys-*项目。
• 不同后缀的sys-*项目对应不同系统功能，比如sys-<org-id>-anthos专门用于Anthos服务管理，sys-<org-id>-identity则和Cloud Identity服务绑定。

二、和用户标准项目的核心差异 #

• 创建主体：sys-*项目由GCP系统账户创建，标准项目则是用户（或用户授权的IAM账户）手动创建的。
• 用途限制：sys-*项目只能用来承载GCP内部系统服务，用户不能在里面部署自己的业务资源（比如虚拟机、存储桶），也没法随便修改核心配置；标准项目完全由用户掌控，可自由部署各类资源、调整权限。
• 生命周期：sys-*项目的生命周期由GCP控制，用户无法删除或注销这类项目，当对应的系统服务停用后，GCP会自动清理相关项目；标准项目的创建、删除、归档全由用户操作。
• 权限控制：用户对sys-*项目的权限非常有限，基本只能查看项目基本信息，无法修改IAM策略或添加成员；标准项目的IAM权限由用户完全管理，可灵活分配不同角色给成员。

三、区分二者的实用属性 #

• 项目ID前缀：最直观的标识是项目ID以sys-开头，GCP不建议用户用该前缀命名自有项目，因此标准项目基本不会出现这个标识。
• 创建者账户：通过gcloud projects describe <project-id>命令查看creator字段，sys-*项目的创建者是GCP内部系统账户（格式类似service-<org-id>@gcp-sa-system.iam.gserviceaccount.com），标准项目的创建者则是用户邮箱或普通服务账户。
• 系统标签：部分sys-*项目会带有GCP自动添加的标签，比如goog-managed: true，用户创建的项目默认不会有这类标签（除非手动添加）。
• 启用的服务：sys-*项目中只会启用对应的GCP系统服务，不会有用户手动开启的业务服务；标准项目则根据用户需求启用各类服务。

内容的提问来源于stack exchange，提问作者iron_man