如何配置Service Account密钥到期前自动邮件过期提醒

针对批量固定过期时间的用户托管Service Account密钥到期前邮件提醒需求，直接用云平台原生能力就能实现，不需要额外采购第三方工具，两种常用方案按需选就行：

方案1：低代码批量方案（适合密钥量级大、多项目/多文件夹统一管理的场景） #

• 先开启云资产清单服务，服务会自动同步全范围内所有用户托管SA密钥的元数据，包括所属服务账号、密钥ID、精确过期时间、状态等信息，不需要手动逐项目遍历拉取
• 在云监控中新建自定义告警策略，指标选择iam.googleapis.com/service_account_key/expiry_time，筛选条件指定密钥类型为USER_MANAGED，直接过滤掉平台自动托管的SA密钥（这类密钥会自动轮换，不需要人工处理）
• 配置告警触发规则：按你需要的提醒时间设置阈值，比如需要提前7天提醒，就配置规则为「密钥剩余有效期 < 7243600秒」时触发告警；如果要多轮提醒，可以再加两条规则，分别对应剩余3天、剩余1天的阈值
• 通知渠道直接绑定邮件类型，支持配置单个收件人、业务群组邮箱，通知频率设为24小时最多发送1次即可，避免重复发邮件造成骚扰。如果需要按密钥归属发给不同负责人，可以给对应SA打上owner类的标签，在告警路由里配置标签匹配规则，自动把提醒推送给对应责任人，不需要人工维护收件人映射表。

方案2：轻量定时脚本方案（适合密钥量小、不想开通过多云服务的场景） #

• 用官方IAM SDK写个简单的巡检脚本，逻辑很简单：拉取所有状态为ACTIVE的用户托管SA密钥，逐一把密钥的validBeforeTime字段和当前时间比对，计算剩余有效期
• 脚本内加判断逻辑：剩余有效期命中你设置的提醒时间点时，直接调用邮件推送能力发通知，邮件内容记得写清密钥所属SA、密钥ID、具体过期时间、轮换操作步骤，别只发空泛的过期提醒
• 把脚本部署到定时任务或者云函数上，设置每天凌晨低峰期跑一次就行，注意给运行脚本的身份只分配serviceAccountKeys.list、serviceAccountKeys.get的最小必要权限，不要给多余权限。

避坑提醒 #

• 平台默认的SA密钥过期提醒只会提前3天发给项目所有者，没法自定义提前时间、也没法自定义收件人，要满足灵活的提醒需求必须自己配置上述规则，别等默认通知很容易漏
• 巡检/告警规则里一定要过滤掉已经被禁用、删除的密钥，避免发无效提醒
• 如果有合规要求，可以在提醒规则里加个兜底，密钥过期当天如果还没轮换，直接给安全管理员发升级通知。

内容的提问来源于stack exchange，提问作者Gaurav Gupta