使用gsutil复制Google Cloud Storage存储桶未保留IAM权限，求建议

AI 小北

2026-7-29

解决gsutil cp -pr复制GCS存储桶时IAM权限未保留的问题

首先要明确：gsutil cp -p仅能保留对象级的自定义ACL，存储桶级的IAM权限不会被该命令复制，这是工具的设计逻辑。以下是可行的解决方案：

迁移存储桶级IAM权限
先导出源存储桶的IAM配置到本地文件：
```
gsutil iam get gs://<bucketname1> > bucket_iam_config.json
```
再将配置导入到目标存储桶：
```
gsutil iam set bucket_iam_config.json gs://<bucketname2>
```
注意：该操作会覆盖目标桶现有IAM配置，若需追加权限，需先手动合并源桶与目标桶的IAM规则后再执行导入。
校验对象级权限状态
默认继承桶权限的对象，复制后会自动继承目标桶的权限，这属于正常逻辑，并非-p选项失效。可通过以下命令对比源对象与目标对象的ACL：
```
# 查看源对象ACL
gsutil acl get gs://<bucketname1>/[目标对象路径]
# 查看目标对象ACL
gsutil acl get gs://<bucketname2>/[目标对象路径]
```
只有源对象设置了自定义ACL时，-p才会将其同步到目标对象。
使用gcloud storage工具替代（推荐）
谷歌较新的gcloud storage工具对权限复制的支持更完善，执行以下命令可同步对象的ACL、元数据等信息：
```
gcloud storage cp -r --preserve-all gs://<bucketname1> gs://<bucketname2>
```
结合前述的IAM迁移命令，可完整同步存储桶与对象的权限体系。
验证权限生效情况
操作完成后，通过以下命令检查目标桶的IAM配置：
```
gsutil iam get gs://<bucketname2>
```
同时测试具体对象的访问权限，确保权限符合预期。