如何通过gcloud CLI为GCP用户分配仅24小时有效期的角色？

1. 先纠正CEL表达式的逻辑错误 #

你原来写的request.time < request.time + duration('86400s')完全不对——request.time是用户发起请求的时间，加24小时后肯定比自身晚，这个条件会永远成立，角色根本不会过期。

要实现从绑定角色这一刻起，24小时后失效，有两种方式：

• 直接写固定的UTC过期时间：比如现在是2024-05-20T14:30:00Z，24小时后就是2024-05-21T14:30:00Z，表达式写成request.time < timestamp('2024-05-21T14:30:00Z')
• 用Shell命令动态计算过期时间（适合自动化场景）：在bash里用date命令生成24小时后的UTC时间戳

2. 修正--condition参数的格式错误 #

报错的原因有两个：

• 键名大小写不对：要求的是Description（首字母大写），你写的是小写的description
• 引号冲突：原命令里--condition用单引号包裹，里面的duration('86400s')也用了单引号，导致命令解析失败，需要把外层换成双引号

固定过期时间的正确命令 #

gcloud projects add-iam-policy-binding project_name \
  --member='user:my_email_address@gmail.com' \
  --role='roles/storage.admin' \
  --condition="expression=request.time < timestamp('2024-05-21T14:30:00Z'),title=sample_condition,Description=sample_description"

动态计算过期时间的命令（bash环境） #

# 生成24小时后的UTC时间戳
EXPIRY_TIME=$(date -u -d "+24 hours" +"%Y-%m-%dT%H:%M:%SZ")

# 执行绑定命令
gcloud projects add-iam-policy-binding project_name \
  --member='user:my_email_address@gmail.com' \
  --role='roles/storage.admin' \
  --condition="expression=request.time < timestamp('${EXPIRY_TIME}'),title=sample_condition,Description=sample_description"

3. 额外注意事项 #

• 时间必须用UTC格式，结尾带Z，否则会解析失败
• --condition里的键值对用逗号分隔，不要加空格（避免解析出错）
• 每个condition的title要唯一，同一个IAM绑定不能重复使用相同标题

内容的提问来源于stack exchange，提问作者Pratik Mishra