GCP中是否允许service-account-a模拟service-account-b的权限

你的需求完全可以实现，GCP原生支持服务账号之间的互相模拟操作，完全适配你描述的CI权限隔离场景。

服务账号模拟的核心是给源服务账号（即你场景中的service-account-a@mydomain.google.com）授予目标服务账号（service-account-b@mydomain.google.com）的roles/iam.serviceAccountTokenCreatorIAM角色。拥有该角色后，源服务账号可以生成目标服务账号的短期访问令牌，使用该令牌即可完全以目标服务账号的身份执行各类资源操作。

• 第一步：为源服务账号授予目标服务账号的模拟权限，你可以通过gcloud命令执行配置：

gcloud iam service-accounts add-iam-policy-binding service-account-b@mydomain.google.com \
--member=serviceAccount:service-account-a@mydomain.google.com \
--role=roles/iam.serviceAccountTokenCreator

• 第二步：在绑定了service-account-a的CI实例上，你可以直接生成目标服务账号的访问令牌，命令示例：
  gcloud auth print-access-token --impersonate-service-account=service-account-b@mydomain.google.com
• 第三步：执行部署操作时指定模拟身份即可：如果使用gcloud CLI操作，直接在命令后加--impersonate-service-account=service-account-b@mydomain.google.com参数即可自动完成身份模拟；如果调用GCP OpenAPI，将生成的令牌添加到请求的Authorization: Bearer <令牌内容>头中即可。

• 符合最小权限原则：service-account-a本身仅保留模拟权限，不会额外获得部署相关的资源权限，避免CI实例被攻破后权限扩散
• 安全性更高：模拟生成的访问令牌默认有效期为1小时，可调整最长至12小时，无需长期维护高权限服务账号的密钥文件，降低密钥泄露风险

内容的提问来源于stack exchange，提问作者Molenpad