我想授予服务帐号对我项目中每个存储桶的只读访问权限。这样做的最佳做法是什么？
here 的答案建议其中之一：
bucket.get 访问这些对我来说似乎都不理想，因为：
有什么方法可以避免bucket.get 要求并且仍然可以访问存储桶中的对象吗？还是有另一种我不知道的提供访问权限的方法？
【问题讨论】：
标签： google-cloud-storage service-accounts google-cloud-iam
最接近的预构建角色是对象查看器。这允许列出和读取对象。它不包括 storage.buckets.get 权限，但这不是通常需要的 - 弄乱存储桶元数据实际上是一种管理功能。它也不包括 storage.buckets.list ，它更常用，但仍然不是 GCS 正常使用模式的一部分 - 通常在设计应用程序时，您有固定数量的存储桶用于特定目的，因此列表不是有用。
如果您确实想提供服务帐户存储桶列表并获得权限，则必须在项目上创建自定义角色。这很简单，你可以这样做：
gcloud iam roles create StorageViewerLister --project=$YOUR_POJECT --permissions=storage.objects.get,storage.objects.list,storage.buckets.get,storage.buckets.list
gcloud projects add-iam-policy-binding $YOUR_PROJECT --member=$YOUR_SERVICE_ACCOUNT --role=StorageViewerLister
【讨论】：
client = google.cloud.storage.Client() 创建了一个GCS 客户端。据我所知，要获取对象，我必须首先通过client.get_bucket(bucket_name) 获取它们所在的存储桶。有没有办法避免这种情况？