GCP中能否为负载均衡器/Cloud CDN创建服务账号？存储桶访问问题

1. 是否需要为存储桶设置公共读权限？ #

不需要，而且强烈不建议设置存储桶公共读权限——这会让任何人都能访问桶内所有资源，哪怕是测试环境，也存在数据泄露或被滥用的风险。出现AccessDenied错误的核心原因是负载均衡器（LB）没有被授予访问存储桶对象的权限，而非必须开放公共访问。

2. 如何为负载均衡器绑定服务账号优化访问控制？ #

可以通过给LB的后端服务绑定自定义服务账号，仅授予该账号存储桶的对象读取权限，实现最小权限原则：

• 第一步：创建专用服务账号
  在GCP控制台或用gcloud命令创建服务账号：

  gcloud iam service-accounts create lb-storage-sa --display-name "LB Storage Access SA"
  

• 第二步：给服务账号授予存储桶读取权限
  为该服务账号绑定roles/storage.objectViewer角色（仅能读取桶内对象，无修改/删除权限）：

  gsutil iam ch serviceAccount:lb-storage-sa@[你的项目ID].iam.gserviceaccount.com:roles/storage.objectViewer gs://my-bucket
  

• 第三步：配置负载均衡器后端服务使用该服务账号
  1. 进入GCP控制台的负载均衡页面，找到自动生成的LB
  2. 编辑LB的后端服务（类型为Cloud Storage桶的那个）
  3. 在服务账号选项中，选择刚创建的lb-storage-sa
  4. 保存并更新LB配置

3. 能否为负载均衡器/Cloud CDN创建服务账号？ #

负载均衡器本身不单独创建专属服务账号，但可以为其后端服务指定自定义服务账号——Cloud CDN依赖LB的后端配置，因此这个服务账号会被CDN用来拉取存储桶资源。另外，GCP也提供默认的Compute Engine服务账号，但使用自定义服务账号能更精准地控制权限范围，避免过度授权。

内容的提问来源于stack exchange，提问作者RamPrakash