我如何让服务帐户访问特定的秘密？

Question

我想授予服务帐户访问Google Secrets Manager中的秘密的权限。

我可以像这样获得这个秘密：

gcloud beta secrets versions access 1 --secret="thesecret" --project="myproject"

但是当我的服务号尝试相同的命令时，gCloud会发出以下错误：

错误：（gcloud.beta.secrets.versions.access）权限被拒绝：请求的身份验证范围不足。

主要问题是：我还需要做些什么来确保服务帐户可以访问该机密？

我已授予该服务帐户“roles/secretmanager.secretAccessor”，其地形如下：

resource google_project_iam_binding the-binding {
  project = myproject
  role = "roles/secretmanager.secretAccessor"
  members = [
    "serviceAccount:[e-mail]",
  ]
}

我可以验证它在gcp控制台中是否有这样的角色：

gcloud projects get-iam-policy myproject  \
--flatten="bindings[].members" \                         
--format='table(bindings.role)' \
--filter="bindings.members:[e-mail]"

    ROLE
    roles/secretmanager.secretAccessor

但文件中有这样一个概念：

如果成员只需要访问单个机密的值，则不要授予该成员访问所有机密的能力。例如，可以在单个机密上授予服务号秘密访问器角色（角色/secretmanager.secret访问器）。

所以，这就像iam策略绑定可以与特定的机密关联一样，但我不确定我可以使用哪些gcloud命令或terraform资源来创建这种关联。

Answer 1

第一个问题是我弄错了我的环境配置使用哪个服务号。所以我已经授予了对服务号的访问权限，但我毕竟没有使用它（显然在我的情况下它们的初始化不一致）。我修复了在尝试访问秘密之前运行此命令：

gcloud config set account [e-mail]

此外，我没有意识到有不止一个toplevel gCloud命令可以让您修改iam策略绑定。我一直在探索gCloud iam...当我需要的是：

gcloud beta secrets add-iam-policy-binding projects/myproject/secrets/mysecret --member serviceAccount:[e-mail] --role roles/secretmanager.secretAccessor