GCP 允许列出 GCS 对象但禁止下载答案

【问题标题】：GCP permission to list GCS objects but forbidden to downloadGCP 允许列出 GCS 对象但禁止下载
【发布时间】：2021-03-21 15:04:05
【问题描述】：

我在 GCS 存储桶上保存了一些敏感数据。现在，要求是生成 GCS 对象的 V4 签名 url，并只允许某些用户下载拥有该 url 的对象。但是，其他用户应该只能看到 GCS 上存在该对象，但不应允许下载该对象。

为此，我们创建了一个具有Storage Admin 角色的服务帐户（是的，我们可以进一步限制这一点）并用于生成网址。然而，问题是，任何拥有storage object viewer 角色的用户都能够下载我们不想要的对象。有什么方法可以限制除服务帐户之外的所有其他用户下载对象吗？

另外，我尝试创建一个自定义角色，该角色被赋予 storage.buckets.list 和 storage.objects.get 或 storage.objects.list 权限，然后将该角色分配给所需的用户，但在这两种情况下，用户都能够下载文件。除了这两个权限，我找不到任何其他可以限制下载的权限。

【问题讨论】：

标签： google-cloud-platform google-cloud-storage google-iam google-cloud-iam

【解决方案1】：

应用于您的项目的 IAM 政策定义了用户可以对您项目中的所有对象或存储桶执行的操作。应用于单个存储桶的 IAM 策略定义了用户可以对特定存储桶和其中的对象执行的操作。

1.为您的存储桶创建一个 IAM 策略，让一个用户对该存储桶进行管理控制。同时，您可以将另一个用户添加到您的项目范围的 IAM 策略，使该用户能够查看您项目的任何存储桶中的对象。

2.转到您的存储桶并定义成员和分配的角色，这使成员能够在 Cloud Storage 以及更普遍的 Google Cloud 中执行操作。

这是来自 GCP 文档的链接：https://cloud.google.com/storage/docs/collaboration

【讨论】：