在GCP中能否使用单个轮换器自动轮换多个服务账号的密钥

定期轮换服务账号密钥是谷歌云官方推荐的安全最佳实践，你咨询的两个场景均可以实现，具体说明和实现方案如下：

结论：可以实现
你提到的「单个轮换密钥」对应一个专门用于执行轮换操作的管理类服务账号，仅需要给该账号授予对应权限即可覆盖同一项目内的所有服务账号密钥轮换需求，实现方案如下：

• 在当前项目中创建专属的密钥轮换管理服务账号，仅用于执行密钥轮换逻辑，不用于其他业务访问
• 给该管理服务账号授予当前项目的roles/iam.serviceAccountKeyAdmin角色，该角色仅具备服务账号密钥的创建、删除、查看权限，没有其他多余操作权限，符合最小权限原则
• 部署自动化轮换逻辑（可通过定时任务、Cloud Function+Cloud Scheduler等方式触发），标准执行流程为：遍历项目内所有需要轮换的目标服务账号 → 为每个服务账号生成新密钥 → 将新密钥同步到业务侧使用的密钥存储位置（如Secret Manager）→ 验证业务使用新密钥可正常访问服务 → 删除过期的旧密钥
• 配置IAM操作审计日志告警，监控异常的密钥创建、删除操作，降低误操作风险

结论：可以实现
不需要在每个项目单独部署轮换管理服务账号，仅需要给同一个中心管理服务账号授予跨项目的密钥管理权限即可，实现方案如下：

• 选定一个中心项目部署密钥轮换管理服务账号，所有轮换逻辑均在中心项目侧执行
• 在所有需要管理服务账号密钥的业务项目中，给该中心管理服务账号授予roles/iam.serviceAccountKeyAdmin角色；如果所有业务项目归属于同一个IAM文件夹，可直接在文件夹层级授予该权限，后续新加入文件夹的项目会自动继承权限，减少重复配置成本
• 自动化轮换逻辑和单项目场景基本一致，仅需要在遍历目标服务账号的步骤中增加项目维度的遍历，依次处理每个业务项目下的目标服务账号即可
• 跨项目场景建议额外配置IAM权限边界，限制该管理服务账号仅能操作指定名称前缀/指定标签的服务账号，避免越权操作项目内其他核心服务账号

注意：上述两种场景下，用于执行轮换操作的管理服务账号自身的密钥也需要定期轮换，建议将其自身也纳入轮换列表，或者直接使用Workload Identity等无密钥方式运行轮换逻辑，从根源规避管理密钥泄露的风险。

内容的提问来源于stack exchange，提问作者Aniket Ghole