通过Deployment Manager配置GCS存储桶文件夹只读权限及IAM条件遇阻求助

Deployment Manager官方的iam_member模板默认不支持直接配置IAM条件，需要直接调用GCS的IAM Policy API实现。可以通过gcp-types/storage-v1:buckets.setIamPolicy资源类型定义带条件的IAM绑定，示例配置如下：

resources:
- name: my-gcs-bucket-iam
  type: gcp-types/storage-v1:buckets.setIamPolicy
  properties:
    bucket: my-bucket-name
    bindings:
    - role: roles/storage.objectViewer
      members:
      - user:user@example.com
      condition:
        title: "ReadOnlyAfterSpecificTime"
        description: "Allow read only after 2024-01-01"
        expression: "request.time > timestamp('2024-01-01T00:00:00Z')"

该配置直接调用存储桶的IAM策略设置接口，支持添加自定义条件。需确保Deployment Manager服务账号拥有storage.buckets.setIamPolicy权限，否则会执行失败。

GCS中的文件夹是虚拟路径前缀，而非实际目录，权限机制和传统文件系统不同：

• storage.objects.list权限作用于存储桶级别（或父路径前缀），因为列出对象的操作是查询存储桶内符合前缀的对象集合，仅给单个文件夹路径授予该权限无法生效。
• 正确的权限组合：
  • 为用户授予存储桶范围的storage.objects.list权限，通过条件限制仅允许列出前缀为folder-path/的对象
  • 同时为用户授予前缀为folder-path/的storage.objects.get权限（即只读权限）

示例IAM绑定逻辑（单个绑定整合权限与条件）：

bindings:
- role: roles/storage.objectViewer
  members:
  - user:user@example.com
  condition:
    title: "RestrictToSpecificFolder"
    expression: "resource.name.startsWith('projects/_/buckets/my-bucket/objects/folder-path/')"

这样配置后，用户既能列出folder-path/下的所有对象，也能读取这些对象，同时无法访问存储桶内其他路径的内容。

内容的提问来源于stack exchange，提问作者Muhammad Aqeel