Google Compute Engine用户与权限管理最佳实践及自动化方案咨询

一、无需SSH完成用户/组、权限配置的方法 #

1. 启动脚本（Startup Scripts）自动化配置 #

把你手动执行的所有Linux命令写成脚本，让GCE在实例启动时自动运行，完全不用手动登录操作。

比如你可以写这样的脚本：

#!/bin/bash
# 创建专属用户组
groupadd internal-tools-group

# 创建用户并加入组（按需添加）
useradd -m -G internal-tools-group alice
useradd -m -G internal-tools-group bob

# 创建内部工具目录并设置权限
mkdir -p /opt/internal-tools
chown root:internal-tools-group /opt/internal-tools
chmod 750 /opt/internal-tools

# 给特定应用设置权限
chmod 700 /opt/internal-tools/app.sh
chown alice:internal-tools-group /opt/internal-tools/app.sh

使用方式：

• 控制台创建VM时，在「自定义实例选项」→「元数据」中添加键startup-script，值填上述脚本内容。
• 用gcloud命令的话：gcloud compute instances create vm-name --metadata startup-script="#!/bin/bash..."

2. 自定义镜像固化配置 #

如果你已经手动配置好了一个实例，直接把它做成自定义镜像，之后新VM用这个镜像启动，就能直接继承所有用户、组、权限配置：

1. 停止已配置完成的实例。
2. 在GCP控制台选择「创建镜像」，选择该实例的磁盘作为源，完成镜像创建。
3. 后续创建VM时，选择这个自定义镜像即可。

二、系统化限制内部工具访问的方案 #

1. 基于Linux用户组的权限隔离 #

核心思路是把所有需要访问内部工具的用户归到同一个专属组（比如internal-tools-group），然后通过文件系统权限锁死访问：

• 工具目录设置为chmod 750：只有所有者（root）能读写执行，组内用户能读和执行，其他用户完全无权限。
• 敏感文件/应用可以设置更严格的chmod 700，只有指定用户或组能访问。
• 配合启动脚本或自定义镜像，把这个权限规则固化，确保每个新实例都自动生效。

2. 结合GCP IAM控制VM访问权限 #

从VM访问源头进行管控：

• 给需要访问VM的用户分配roles/compute.osLogin或roles/compute.osAdminLogin角色，未授权用户无法通过SSH或OS Login登录VM。
• 启用OS Login功能后，还能直接把GCP IAM用户/组映射到Linux用户/组：比如把GCP IAM组gcp-internal-tools-team映射到Linux组internal-tools-group，用户登录时自动加入对应组，不用手动创建本地用户，管理更高效。

三、是否应该用安装后脚本？ #

非常推荐用启动脚本（也就是你说的安装后脚本），原因很直接：

• 避免手动操作的失误，确保每次配置完全一致。
• 脚本可以存进版本控制，修改、追溯配置都很方便。
• 后续要添加用户、调整权限，只需要改脚本，不用逐个VM手动操作，扩展性强。

内容的提问来源于stack exchange，提问作者Zoodiac Diablo