GCP中配置IAM主体指定日期范围存储桶访问权限失败求助

核心问题分析 #

你编写的条件表达式存在逻辑矛盾：

{ 
  "expression": "request.time < timestamp(\"2023-03-24T18:30:00.000Z\") && request.time > timestamp(\"2023-03-29T18:30:00.000Z\")",
  "title": "permission" 
}

这个表达式要求请求时间同时早于2023-03-24且晚于2023-03-29，这在时间逻辑上不可能成立。因此该条件永远返回false，IAM绑定的权限相当于没有任何时间限制（或直接失效，若用户无其他权限），导致你看到超出日期范围仍能访问的现象。

正确的条件表达式 #

要实现2023-03-24 18:30 UTC到2023-03-29 18:30 UTC之间的访问控制，需将表达式调整为请求时间在起始时间之后、结束时间之前：

{ 
  "expression": "request.time > timestamp(\"2023-03-24T18:30:00.000Z\") && request.time < timestamp(\"2023-03-29T18:30:00.000Z\")",
  "title": "Restrict bucket access to specified date range" 
}

验证与排查步骤 #

• 确认条件绑定对象：确保该条件附加在目标用户的存储桶权限绑定上（比如storage.objects.list、storage.objects.get等核心权限），且用户没有其他不带条件的同级别权限（如项目/组织级的存储Viewer角色）。
• 时区校验：timestamp()使用UTC时间，测试时需将本地时间转换为UTC，避免因时区差异导致测试时间不在范围内。
• 排查额外权限来源：检查用户是否属于有权限的群组、是否继承了上级资源的权限，或存储桶是否设置了公共访问策略，这些都会绕过你的条件限制。

内容的提问来源于stack exchange，提问作者Samyak Jain