寻求GCP gcloud脚本：获取组织内所有项目IAM角色并与指定文件角色匹配输出项目ID及角色

我来帮你搞定这个需求，下面是完整的bash脚本实现，包含了项目IAM角色收集和与目标角色列表比对的核心功能，还加了一些实用的错误处理和优化：

完整脚本代码 #

创建一个名为iam-role-compare.sh的文件，粘贴以下内容：

#!/bin/bash

# 先检查比对文件是否存在，避免白忙活
if [ ! -f "compare.txt" ]; then
    echo "❌ Error: 找不到compare.txt文件，请确保它在当前目录下！"
    exit 1
fi

# 处理compare.txt里的角色列表——不管是一行多个还是每行一个，都转成数组，同时过滤空行
readarray -t TARGET_ROLES < <(tr ' ' '\n' < compare.txt | grep -v '^$')

# 获取组织内所有项目的ID（只取纯ID，去掉默认输出的表头和其他列）
ALL_PROJECTS=$(gcloud projects list --format='value(projectId)')

# 遍历每个项目，开始处理
for PROJECT_ID in $ALL_PROJECTS; do
    echo "🔍 正在处理项目: $PROJECT_ID"
    
    # 获取当前项目的所有IAM角色，去重（避免同一个角色重复比对）
    PROJECT_ROLES=$(gcloud projects get-iam-policy $PROJECT_ID --format='value(bindings.role)' 2>/dev/null | sort | uniq)
    
    # 如果获取IAM策略失败（比如权限不够），提示后跳过这个项目
    if [ $? -ne 0 ]; then
        echo "⚠️  警告: 无法获取项目$PROJECT_ID的IAM策略，请检查权限"
        continue
    fi
    
    # 逐个比对当前项目的角色和目标列表
    for ROLE in $PROJECT_ROLES; do
        if [[ " ${TARGET_ROLES[@]} " =~ " $ROLE " ]]; then
            echo "✅ 匹配成功: 项目=$PROJECT_ID, 角色=$ROLE"
        fi
    done
done

脚本细节说明 #

• 文件校验：开头先检查compare.txt是否存在，避免脚本运行到一半才报错
• 角色列表兼容：不管你的compare.txt是一行用空格分隔多个角色，还是每行一个角色，脚本都能正确解析成比对数组，还会自动过滤空行
• 精准项目ID获取：用gcloud projects list --format='value(projectId)'直接拿到纯项目ID，不会带默认输出的表头和名称列，避免后续处理出错
• 去重优化：获取项目角色时做了去重处理，同一个项目里的重复角色不会反复比对，节省时间
• 错误容错：如果某个项目因为权限问题无法读取IAM策略，脚本会给出提示并继续处理下一个项目，不会直接中断
• 清晰输出：用 emoji 标记不同状态，让输出结果更易读

使用步骤 #

1. 确保你已经通过gcloud auth login完成身份验证，并且拥有组织内项目的IAM策略读取权限
2. 把需要比对的角色列表写入compare.txt，比如：

   roles/abc roles/xyz roles/123
   roles/example.admin roles/billing.xyz
   

3. 给脚本添加执行权限：chmod +x iam-role-compare.sh
4. 运行脚本：./iam-role-compare.sh
   • 如果需要把结果保存到文件，可执行：./iam-role-compare.sh > match-results.txt

额外实用优化 #

• 指定文件夹项目：如果只需要处理某个文件夹下的项目，可以修改获取项目列表的命令，比如：

  ALL_PROJECTS=$(gcloud projects list --format='value(projectId)' --filter="parent.id=folders/你的文件夹ID")
  

• API限流处理：如果组织内项目很多，怕触发GCP API调用限制，可以在循环里加个短暂延迟：

  for PROJECT_ID in $ALL_PROJECTS; do
      echo "🔍 正在处理项目: $PROJECT_ID"
      # ... 其他代码 ...
      sleep 1  # 延迟1秒，降低API调用频率
  done
  

内容的提问来源于stack exchange，提问作者help seeker10211