如何跨两个独立的 Google Cloud Platform (GCP) 项目授予对资源的访问权限？答案

【问题标题】：How do you grant access to resources across two separate Google Cloud Platform (GCP) projects?如何跨两个独立的 Google Cloud Platform (GCP) 项目授予对资源的访问权限？
【发布时间】：2019-02-28 02:13:33
【问题描述】：

假设您有两个项目，ID = engine-project-1 和 storage-project-1。

engine-project-1 有一个基本的 App Engine 应用，它需要访问 storage-project-1 的存储桶中的图像文件。默认情况下，engine-project-1 被拒绝访问 storage-project-1

如何授予engine-project-1 中的app-engine-service 角色(engine-project-1@appspot.gserviceaccount.com) 访问storage-project-1 帐户中的存储角色(roles/storage.objectViewer) 的权限？

【问题讨论】：

标签： google-cloud-platform

【解决方案1】：

用例 -- 允许外部 App Engine 应用访问构建状态

对于本示例，在${SOURCE_PROJECT_ID} 中运行的应用引擎应用需要访问${GOOGLE_CLOUD_PROJECT} 中的构建状态。

这可以使用为项目 id = ${GOOGLE_CLOUD_PROJECT} 激活的云 shell 轻松完成

向外部服务原则授予角色


gcloud projects add-iam-policy-binding $GOOGLE_CLOUD_PROJECT \
--member=serviceAccount:${SOURCE_PROJECT_ID}@appspot.gserviceaccount.com \
--role=roles/cloudbuild.builds.viewer \