如何为Google Cloud Storage REST API授予指定目录级读写权限

嘿，刚好我对GCS的权限配置很熟悉，来给你捋清楚怎么实现这个需求！首先得明确一个核心点：Google Cloud Storage是对象存储服务，没有传统意义上的“目录”——那些看起来像文件夹的路径，本质是对象键的前缀。所以要实现只给bucket/directoryName/下的内容授权，我们得用IAM条件绑定（这是GCS推荐的现代权限管理方式，比旧的对象ACL好用多了）。

GCS的IAM支持基于条件的权限规则，我们可以通过匹配对象键的前缀，让用户只能访问特定“目录”下的所有对象，而不是整个bucket。

假设你已经拿到了有效的OAuth Token（需要包含storage.buckets.setIamPolicy权限对应的scope，比如https://www.googleapis.com/auth/devstorage.bucketAdmin或full_control），下面是具体的操作：

1. 准备IAM绑定的请求内容 #

我们要给目标用户添加一个带条件的角色绑定，比如roles/storage.objectAdmin（对应读写权限），条件限定对象必须以directoryName/为前缀（注意末尾的斜杠，确保匹配所有子对象和子目录）。

方式一：PUT请求（覆盖整个IAM政策） #

如果确认不会影响现有其他权限，可以用PUT请求直接设置完整的IAM政策，请求体示例：

{
  "bindings": [
    // 这里保留你bucket已有的其他绑定
    {
      "role": "roles/storage.objectAdmin",
      "members": [
        "user:target-user@example.com"
      ],
      "condition": {
        "title": "Restrict access to directoryName",
        "description": "Allow read/write only for objects under directoryName/",
        "expression": "resource.name.startsWith('projects/_/buckets/your-bucket-name/objects/directoryName/')"
      }
    }
  ]
}

方式二：PATCH请求（更安全，仅添加新绑定） #

为了避免覆盖现有权限，更推荐用PATCH请求来追加新的绑定，请求体采用JSON Patch格式：

[
  {
    "op": "add",
    "path": "/bindings/-",
    "value": {
      "role": "roles/storage.objectAdmin",
      "members": ["user:target-user@example.com"],
      "condition": {
        "title": "Restrict access to directoryName",
        "description": "Allow read/write only for objects under directoryName/",
        "expression": "resource.name.startsWith('projects/_/buckets/your-bucket-name/objects/directoryName/')"
      }
    }
  }
]

2. 调用REST API执行权限更新 #

根据你选择的请求方式，发送对应的HTTP请求：

• PUT请求：

  • URL：https://storage.googleapis.com/storage/v1/b/your-bucket-name/iam
  • 请求方法：PUT
  • 请求头：
    • Authorization: Bearer YOUR_OAUTH_TOKEN
    • Content-Type: application/json
  • 请求体：上面的PUT版JSON内容

• PATCH请求：

  • URL：https://storage.googleapis.com/storage/v1/b/your-bucket-name/iam
  • 请求方法：PATCH
  • 请求头：
    • Authorization: Bearer YOUR_OAUTH_TOKEN
    • Content-Type: application/json-patch+json
  • 请求体：上面的PATCH版JSON内容

• 权限范围：确保你的OAuth Token拥有storage.buckets.setIamPolicy权限，否则API会返回权限不足的错误。
• 条件表达式准确性：resource.name的格式必须是projects/_/buckets/[bucket名]/objects/[前缀]，这里的_是固定写法，代表GCS的全局项目标识。
• 权限调整：如果只需要给用户只读权限，把角色换成roles/storage.objectViewer即可。
• 避免使用对象ACL：旧的对象ACL需要给每个对象单独设置权限，新上传的对象不会自动继承，维护成本极高，IAM条件是动态匹配的，新上传的符合前缀的对象会自动应用权限。

内容的提问来源于stack exchange，提问作者Abhi