问题标签 [google-cloud-iam]

我正在编写一个（嵌入式+移动）应用程序，它通过 REST 和 GRPC API 使用 firestore。每次访问都使用 Firebase 承载令牌进行身份验证，该令牌标识一个 Firebase 用户 ID。

我想使用相同的令牌/firebase uid 从 pubsub 提取通知，并将该 firebase uid 限制为特定主题，但 pubsub 使用 gcp 的 IAM，而不是 firestore authentication 。如何在 pubsub/iam 上引用 firebase 用户？

谢谢！

我们有一个用户可以通过 SSH 连接到 Google Cloud Platform 上的虚拟机。

他的密钥被添加到虚拟机中，他可以使用 SSH

gcloud compute ssh name-of-vm

但是以这种方式连接总是会让 gcloud 尝试更新项目范围的元数据

更新项目 ssh 元数据...失败

它失败了，因为他只有访问和管理此 VM 的权限

但是非常烦人的是，每次他必须以这种方式连接时，他都必须等待 GCP 尝试更新元数据，这是不允许的，然后检查机器上的 sshkey。

1. 命令中是否有一个标志来跳过检查/更新项目范围的 ssh 密钥？

是的，我们可以在实例上“阻止项目范围的 ssh 密钥”，但这意味着其他项目管理员无法再登录。

我还尝试最小化对该用户的访问。

2. 但是，理想情况下，如果允许他通过 SSH 连接到机器、启动和停止实例并将数据存储到存储桶中，他应该拥有什么权利？

我对谷歌云有点陌生，我正在使用存储桶来托管一个静态网站。

当我的主分支更新时，我已经通过构建触发器集成了自动化构建。当我推送到 GitHub 时，我成功地看到了更改，但是当 index.html 等预先存在的文件被更新时，该文件失去了“公开分享”的权限

我已经按照下面的教程进行操作，唯一的区别是您现在在平台上的单个文件级别而不是存储桶的顶层处理对象权限。

https://cloud.google.com/community/tutorials/automated-publishing-container-builder

这是我的 cloudbuild.yaml 文件

我正在尝试通过 IAM 向用户授予API 凭据访问权限。但是，我找不到封装这些权限的现有预定义产品角色。我能找到的最接近的是roles/ iam.serviceAccountTokenCreator在服务帐户下，但这只允许我授予访问权限：

我不想创建服务帐户，而只是另一个可以登录和管理 OAuth 凭据/访问密钥的用户帐户。

我正在使用谷歌云 Kubernetes 服务，它一直在工作，直到我不小心删除了 kubernetes 服务帐户的服务帐户。我已经创建了 Kubernetes 服务帐户。我无法连接到节点删除或删除我的集群。似乎这是权限问题。也不能删除电脑引擎。当我删除 Kubernetes 集群时出现以下错误

(1) Google Compute Engine：“projects/projectid/global/firewalls/gke-kubeworld-383ec9cd-vms”需要“compute.firewalls.delete”权限

(2) Google Compute Engine：“projects/projectid/global/firewalls/gke-kubeworld-383ec9cd-ssh”需要“compute.firewalls.delete”权限

(3) Google Compute Engine：“projects/projectid/global/firewalls/gke-kubeworld-383ec9cd-all”需要“compute.firewalls.delete”权限

(4) Google Compute Engine：“projects/projectid/zones/us-central1-a/instanceGroupManagers/gke-kubeworld-default-pool-90dd280e-grp”需要“compute.instanceGroupManagers.delete”权限

(5.1) Google Compute Engine：“projects/projectid”需要“compute.routes.list”权限

(5.2) Google Compute Engine：“projects/projectid”需要“compute.projects.get”权限

如何配置或授予访问权限以允许这些权限。

我正在尝试在 Google Cloud 的一个项目中列出所有用户及其访问级别。

我可以使用命令提示符命令来做到这一点， gcloud projects get-iam-policy MY_PROJECT

但是，当我尝试使用API进行操作时，我得到{}了响应正文。

有什么理由吗？或者，还有其他方法吗？

TIA

我正在尝试在我的应用程序中使用 Google Cloud Translation API，但每当我尝试翻译某些内容时，它就会出现这个缺少有效 API 的错误。

我已经完成了快速入门步骤，但没有奏效。

我已经尝试了客户端库身份验证中的步骤，但也没有用。

有大量文档解释了如何将 GCP 中的 IAM 角色分配给 GSuite 组织的所有成员，但没有一个文档讨论任何更精细的权限。

是否可以在 GSuite 中创建管理控制台组，然后将特定 IAM 角色应用于 GCP 中该组的所有成员？

似乎有一种方法可以访问特定项目，但不能访问整个组织？

我希望在 GCP 中为项目创建一个具有自定义角色的用户

角色是：

用户可以：

用户不应该有：

可能吗 ？

如果是这样，在自定义角色下需要添加哪些权限