限制服务帐户仅列出/查看单个 VPC

Question

我创建了一个具有多个 VPC 的 GCP 项目，例如 vpc-a、vpc-b、vpc-c。 我创建了两个服务帐户 - svc-acct-a 和 svc-acct-b

要求： 在执行 gcloud 计算网络列表时

1. svc-acct-a 应该只列出 vpc-a
2. svc-acct-b 应该列出 vpc-a、vpc-b 和 vpc-c

实现这一目标的最佳方法是什么？请详细描述所需的命令或UI配置。

我找不到在 VPC 级别分配 IAM 角色的方法。

Answer 1

您不能在 VPC 级别添加权限，只能在子网级别添加权限。另外，IAM Condition 不支持VPC or Subnet resource types，也不能作为选项。

最后是list方法，如果账户（服务或用户）有权限访问该API，API内容不会根据权限过滤（对所有API调用有效，不适用于VPC/子网）：将返回完整列表。