如何限制Google Cloud Logging用户仅查看指定Deployment的日志

该需求可实现，你在通用IAM资源属性列表中找不到对应配置项的原因是：Cloud Logging的细粒度访问控制匹配的是日志条目的内置结构化字段，不属于GCP资源通用元数据属性范畴，不会出现在通用资源属性的下拉选项里。

• 第一步：给目标用户（比如team_A对应的用户组/服务账号）绑定项目级的roles/logging.viewer（日志查看者）基础角色，不要绑定日志管理员、项目编辑者等超出日志查看范围的高权限角色。
• 第二步：给该角色绑定添加IAM条件，不要用可视化的通用资源属性选择器，直接切换到CEL表达式编辑页，写入匹配规则。
  针对你提到的「仅允许查看default命名空间下deployment_A的日志」的场景，匹配表达式如下：

  resource.type == "k8s_container"
  && resource.labels.namespace_name == "default"
  && resource.labels.top_level_controller_name == "deployment_A"
  

• 第三步：保存配置后等待2分钟左右权限生效，用目标账号登录验证即可。

• GKE上报到Cloud Logging的容器日志统一使用k8s_container资源类型，日志自带的resource.labels标签中：
  • namespace_name字段直接对应Pod所在的Kubernetes命名空间
  • top_level_controller_name字段直接对应Pod所属的顶层工作负载名称，Deployment管理的Pod会自动填充Deployment名，无需额外匹配ReplicaSet的随机后缀串
• 配置的条件为强制生效规则：即使用户在日志查询时手动去掉Deployment、命名空间的过滤条件，后端也只会返回符合条件的日志条目，无法绕过权限限制。
• 如果需要排除集群系统日志，可在表达式中补充额外规则，例如添加&& resource.labels.namespace_name != "kube-system"即可屏蔽kube-system命名空间下的所有系统组件日志。
• 若需要给团队授权整个命名空间的所有Deployment日志权限，删掉表达式中top_level_controller_name的判断条件即可。

注：如果你的集群中存在直接创建的裸Pod（不绑定Deployment/StatefulSet等顶层控制器），这类Pod的日志top_level_controller_name字段为空，上述规则不会匹配到这类日志，按需调整规则即可。

内容的提问来源于stack exchange，提问作者MajoriyRuel