误执行GCP IAM策略致所有权限撤销，如何恢复访问？

问题背景 #

执行gcloud projects set-iam-policy PROJECT_ID viewPolicy.json命令时，因提供的策略仅包含单条自定义角色绑定，直接覆盖了原有项目IAM策略，导致所有用户、服务账号（包括所有者）的权限被全部撤销。

紧急恢复步骤 #

• 通过组织管理员权限恢复：如果项目归属GCP组织，组织管理员可登录GCP控制台进入目标项目IAM页面，手动添加原所有者账号并授予roles/owner角色，再逐步恢复其他必要权限绑定。
• 借助审计日志找回原有策略：
  1. 进入GCP控制台的「日志资源管理器」，搜索以下查询语句定位策略变更记录：

     resource.type="gcp_project"
     protoPayload.methodName="SetIamPolicy"
     protoPayload.serviceData.policyDelta
     

  2. 在日志详情中提取被覆盖前的完整IAM策略内容，写入新的JSON文件（如restorePolicy.json）
  3. 执行命令恢复策略：

     gcloud projects set-iam-policy PROJECT_ID restorePolicy.json
     

• 用命令行紧急添加所有者：若有具备组织级权限的账号，直接执行命令添加所有者：

  gcloud projects add-iam-policy-binding PROJECT_ID --member=user:your-owner-email@example.com --role=roles/owner
  

后续预防措施 #

• 避免直接使用set-iam-policy替换原有策略，改用add-iam-policy-binding添加新权限绑定
• 执行set-iam-policy前，先通过gcloud projects get-iam-policy PROJECT_ID > currentPolicy.json导出当前策略，在其基础上修改后再更新
• 测试自定义策略时，优先在非生产环境验证，确保不会覆盖原有权限绑定

内容的提问来源于stack exchange，提问作者Raj