google-cloud-platform - 如何在不让某人成为 Google Cloud Platform 上的项目所有者的情况下授予他们设置权限的权限？

Question

我们正在尝试授予谷歌云平台用户帐户权限以更改其自己的权限以及它创建的服务帐户的权限/角色。目前，用户帐户仅具有其所在项目的默认编辑权限。本质上，我们希望给它所有者帐户除了查看或修改帐单信息之外的所有权限。这可能吗？

我们看过这个视频，但服务帐户上不再存在角色选择下拉菜单。当尝试编辑服务帐户权限以尝试授予它roles/storage.admin权限时，我收到此通知：

项目所有者还尝试将存储管理员角色添加到服务帐户，但角色并未像视频中那样显示。他的屏幕上显示的只有这些选项：

我有两个问题：

1. 我们如何让我的 google 帐户权限来处理我自己的角色和权限以及服务帐户的角色？

2. 向服务帐号添加角色的当前流程是什么？谷歌的文档和视频似乎都不是最新的。

Answer 1

您的第二个屏幕截图显示您尝试在服务帐户上授予角色（作为资源，即谁可以访问服务帐户）。您正在尝试为服务帐户授予项目的存储管理员角色。为此，请转到 IAM 页面，单击“添加”，然后提供服务帐户的电子邮件地址作为成员并选择存储管理员角色。

Answer 2

我不确定这是否完全回答了 #1，但自定义角色（目前处于 alpha 阶段）将使您能够创建具有自定义权限集的角色。这将允许您复制所有者角色并删除计费权限。

至于 #2 - 屏幕截图显示了服务帐户的策略，而不是项目策略。服务帐号的政策决定了谁有权使用该服务帐号，而不是服务帐号拥有哪些权限。您可以在“IAM 和管理 > IAM”选项卡（而不是 IAM 和管理 > 服务帐户选项卡）上找到项目政策。