存储库GCP项目级角色绑定

Question

我正在尝试应用下面的角色绑定，将存储管理角色授予Vault中的GCP角色集。

resource "//cloudresourcemanager.googleapis.com/projects/{project_id_number}" {
  roles = [
    "roles/storage.admin"
  ]
}

我希望授予项目级别的访问权限，而不是特定的bucket，以便GCP roleset能够访问和读/写Google容器注册表。

当我尝试在Vault中创建此roleset时,我得到以下错误：

Error writing data to gcp/roleset/my-roleset: Error making API request.

URL: PUT http://127.0.0.1:8200/v1/gcp/roleset/my-roleset
Code: 400. Errors:

* unable to set policy: googleapi: Error 403: The caller does not have permission

我的Vault集群正在GKE集群中运行，该集群具有所有云API的OAuth作用域，我是项目所有者，并且Vault正在使用的服务帐户具有以下权限：

• 云KMS加密密钥加密/解密器
• 服务帐户执行元
• 服务帐户管理
• 服务帐户密钥管理
• 服务帐户令牌创建者
• 日志编写器
• 存储管理
• 存储对象管理

我已经尝试给服务帐户同时赋予编辑器和所有者角色，但仍然得到相同的错误。

首先，我是否使用了正确的资源来为项目级别的存储管理角色创建一个roleset？

其次，如果是的话，是什么导致了这个权限错误？

Answer 1

我以前重新创建了集群并跳过了这一步：

vault write gcp/config credentials=@credentials.json

添加密钥文件修复了这一点。

还有一个可能的情况是，在这里按照创建自定义角色的步骤并添加该自定义角色起到了一定的作用。