如何列出与gcp服务帐户关联的角色？

Question

在google cloud gui控制台中，我转到“iam&admin”>“service accounts”，并创建了一个名为“my-service-account”的服务帐户，该帐户具有查看器角色。

然后运行以下命令：

gcloud iam service-accounts get-iam-policy [e-mail]

并看到以下输出：

etag: ACAB

根据文档，这意味着该服务帐户没有与其相关联的策略。所以我给它分配了一个“角色”，而这个角色并不包含在它的“政策”中。

如何列出与服务帐户关联的角色？

编辑：感谢这个问题的优秀答案，我现在可以循环所有的项目，并得到我想要的。因此，根据这些cmd工具的版本，这应该列出跨所有项目的单个服务帐户的所有角色绑定：

gcloud projects list | \
  awk '{print $1}' | \
  xargs -I % sh -c "echo ""; echo project:% && \
  gcloud projects get-iam-policy % \
  --flatten='bindings[].members' \
  --format='table(bindings.role)' \
  --filter='bindings.members:[e-mail]' \
  ;" 

Answer 1

在Google Cloud中，您有针对项目和服务帐户的IAM策略。

通过项目的IAM策略，您可以定义谁可以对Google Cloud项目中的资源执行特定操作。将“查看器”角色添加到您的服务帐户中，您修改了项目策略（即您的服务帐户可以在项目中执行的操作）

另一方面，服务帐户的IAM策略用于控制谁拥有所有权，谁可以访问服务帐户及其设置。这是您通过发布的命令检索的内容，但是您没有获得任何信息，因为您获取的是服务帐户的策略，而不是项目的策略。

为了获得包含成员及其相应角色的项目的IAM策略,可以运行以下命令：

gcloud projects get-iam-policy PROJECT_ID

您可以在以下链接中找到有关服务帐户的进一步信息：

html" target="_blank">https://cloud.google.com/iam/docs/service-accounts

https://cloud.google.com/iam/docs/granting-roles-to-service-accounts

Answer 2

要在特定的服务帐户上进行筛选，以下gcloud commmand可以完成以下操作：

gcloud projects get-iam-policy <YOUR GCLOUD PROJECT>  \
--flatten="bindings[].members" \
--format='table(bindings.role)' \
--filter="bindings.members:<YOUR SERVICE ACCOUNT>"

输出很好：

ROLE
roles/cloudtrace.agent
roles/servicemanagement.serviceController
roles/viewer

格式参数当然可以调整以适应您的特定需要。