如何允许GCP标识修改特定服务帐户

Question

我有一个Terraform用来管理我的云资源的服务帐户，我们称之为resource-manager-sa。我需要给予它足够的访问权限来创建/删除/编辑其他服务帐户，但不能更改它自己或项目中不应该接触的其他SAs。

我试着在那里添加一个条件，但看起来‘服务帐户’不是可以在条件（？）中使用的资源类型之一。下面是绑定该角色的HCL片段（我使用Terraform的事实与此无关）：

resource "google_project_iam_member" "service-account" {
  project = var.project
  role    = "roles/iam.serviceAccountAdmin"
  member  = "serviceAccount:${google_service_account.resource-manager-sa.email}"

  condition {
    title      = "Can manage Blah Blah SA"
    expression = "resource.name.extract('/serviceAccounts/{name}').startsWith('blah-blah@')"
  }
}

当我删除该条件时，一切正常，但resource-manager-sa的权限远远超过它所需的权限。它甚至可以修改自己来提升自己的权限。在我添加boom条件后,它无法访问任何服务帐户：

错误：读取或编辑服务帐户“projects/***/ServiceAccounts/blah-blah@**.iam.gServiceAccount.com”时出错：GoogleAPI：错误403：对服务帐户projects/***/ServiceAccounts/blah-blah@**.iam.gServiceAccounts.get执行此操作需要权限iam.serviceAccounts.get，禁止

我觉得我在这里做了一些根本错误的事情，但我找不到一个很好的示例配置来实现我在这里试图实现的目标。




Answer 1

服务帐户也是一种资源。因此，您可以在服务帐户级别而不是项目级别为标识分配IAM权限。这意味着您可以创建一个没有权限/角色的服务帐户，并将该服务帐户权限授予另一个服务帐户。

使用Terraform查看google_service_account_iam_member资源。这将为您提供您所要求的粒度，并且不允许权限提升。