GCP特定存储桶如何配置自定义访问策略 解决继承权限无法修改问题

GCP IAM权限默认遵循从上到下的继承逻辑，项目级授予的Storage Admin等存储相关权限会自动作用于项目下所有存储桶，因此直接在桶级操作撤销继承权限会触发无法修改的提示，可通过以下步骤配置独立的自定义访问规则：

操作步骤 #

• 提前梳理必要的访问主体清单：包括你自己的管理账号、Airflow运行所需的服务账号、需要写入权限的少量成员，避免禁用继承后出现权限缺失导致业务故障
• 进入目标DAG存储桶的权限管理页面，勾选禁用父级权限继承选项，确认操作后，所有继承自组织、文件夹、项目级的IAM权限都会在当前桶失效，原继承而来的Storage Admin权限也会自动移除，不再对当前桶生效
• 按需配置桶级自定义权限：
  • 给需要写入权限的成员授予roles/storage.objectCreator角色（仅支持上传创建新对象，无法修改、删除已有对象，安全性更高），如果需要支持修改删除对象可授予roles/storage.objectAdmin角色
  • 如有更细粒度的权限控制需求，可添加IAM条件，例如限制仅能操作指定前缀的DAG文件、仅允许指定IP段访问等，进一步收窄权限范围

gcloud 命令行操作参考 #

如果偏好使用命令行操作，可参考以下指令：

1. 禁用桶的父级权限继承（提前将自定义权限写入policy.json文件）：
   gcloud storage buckets set-iam-policy gs://<你的DAG存储桶名称> policy.json
   policy.json示例结构：

{
"bindings": [
{
"role": "roles/storage.objectCreator",
"members": [
"user:user1@example.com",
"serviceAccount:airflow-sa@your-project.iam.gserviceaccount.com"
]
}
],
"options": {
"inheritance": "INHERITANCE_BLOCKED"
}
}

2. 单独添加成员权限：
   gcloud storage buckets add-iam-policy-binding gs://<你的DAG存储桶名称> --member=user:<目标成员账号> --role=roles/storage.objectCreator

注意事项 #

• 如使用GCP托管的Composer服务，需要提前将Composer对应的服务账号、Worker服务账号的访问权限添加到桶级，否则会出现DAG无法加载、任务运行失败的问题
• 禁止给非管理类成员授予roles/storage.admin角色，该角色包含删除存储桶、修改桶配置等高风险操作权限

内容的提问来源于stack exchange，提问作者Shubham Sharma