GCP IAM 和服务账户

Q: 什么是GCP IAM 和服务账户？它解决什么问题？

身份和访问管理，角色、服务账户、Workload Identity 和 IAM Conditions。 它可帮助开发者在不自建基础设施的前提下完成部署、存储与扩展，是云服务选型的核心参考。

Q: GCP IAM 和服务账户 的最佳实践有哪些？

GCP IAM 和服务账户 的最佳实践包括：GKE 用 Workload Identity — 无密钥、IAM 映射、最安全；每工作负载一 SA — 最小权限、爆炸半径限；用 IAM Recommender — 自动建议移除未用权限。其中首条「GKE 用 Workload Identity — 无密钥、IAM 映射、最安全」应作为团队默认规范写入 IaC 模板。

身份和访问管理，角色、服务账户、Workload Identity 和 IAM Conditions。

GCP高级

为什么

GCP IAM 跨所有服务统一 — 角色、服务账户和条件。Workload Identity 让 GKE pod 充当服务账户（无密钥）。IAM Conditions 加时间/资源约束。

何时使用

每项目配置 IAM — 最小权限、工作负载服务账户、GKE 用 Workload Identity。定期审查。

如何做

1. 角色 — 预定义（roles/storage.objectViewer）或自定义 2. 服务账户 — gcloud iam service-accounts create、用于工作负载 3. Workload Identity — GKE pod → SA、无密钥、推荐 4. 密钥 — 仅外部系统、定期轮换 5. IAM Conditions — 时间限、资源限授予 6. 策略 — gcloud projects get-iam-policy、set-iam-policy 7. 组织策略 — 约束（如限制区域、禁用默认 SA） 8. IAM Recommender — 建议移除多余权限

示例

# 创建服务账户 + 授予角色 gcloud iam service-accounts create app-sa \ --display-name "应用服务账户" gcloud projects add-iam-policy-binding my-project \ --member serviceAccount:[email protected] \ --role roles/storage.objectViewer # Workload Identity — GKE pod 用 SA gcloud iam service-accounts add-iam-policy-binding [email protected] \ --role roles/iam.workloadIdentityUser \ --member serviceAccount:proj.svc.id.goog[default/my-sa] # k8s 注解 metadata: { annotations: { iam.gke.io/gcp-service-account: "[email protected]" } }

常见问题

⚠服务账户密钥泄露 — 用 Workload Identity、避免可下载密钥
⚠默认 SA 太强 — 每工作负载创建自定义 SA、最小权限
⚠策略太大 — 用 IAM Conditions、非多个单独绑定

最佳实践

✓GKE 用 Workload Identity — 无密钥、IAM 映射、最安全
✓每工作负载一 SA — 最小权限、爆炸半径限
✓用 IAM Recommender — 自动建议移除未用权限

常见问题解答

什么是GCP IAM 和服务账户？它解决什么问题？

身份和访问管理，角色、服务账户、Workload Identity 和 IAM Conditions。它可帮助开发者在不自建基础设施的前提下完成部署、存储与扩展，是云服务选型的核心参考。

如何在 5 分钟内上手GCP IAM 和服务账户？

两步即可跑通：① 角色 — 预定义（roles/storage.objectViewer）或自定义；② 服务账户 — gcloud iam service-accounts create、用于工作负载。建议先用免费套餐验证流程，再接入生产环境。