谷歌云——如何按标签或名称授予对一组机密的访问权限？

Question

我希望能够基于命名约定，或者更好地基于标签，授予谷歌云中的服务号对多个秘密的访问权限。

到目前为止，GCP似乎只提供基于组织、文件夹、项目或机密级别的访问权限，除此之外，您无法对IAM的设置有任何更细致的了解。看这里

我想也许GCP的IAM条件会让我在这里有更多的灵活性，但我也没有任何运气。使用下面的地形-我的SA仍然可以访问项目级别的所有机密。

resource "google_project_iam_member" "access_secrets" {
project = var.project_id
role    = "roles/secretmanager.secretAccessor"
member  = "serviceAccount:${google_service_account.service-a.email}"
provider = google-beta
  
condition {
   title       = "all-service-a-secrets"
   description = "All Service A secrets"
   expression  = "resource.name.startsWith('projects/my-project/secrets/service-a-secrets')"
  }
}

由于主要使用AWS，我觉得权限更灵活一些。看来，也许答案是更自由地使用项目，但我还没有找到很多关于利用GCP项目的最佳方法的意见。

Answer 1

这目前不可能实现，但已列入2020年的路线图。

Answer 2

我正在使用IAM条件策略根据命名约定授予对机密的访问权限。

例如，以下条件策略仅授予用户对以“dev-myapp1-”开头的秘密的访问权限

resource "google_project_iam_binding" "SecretCreator" {
  project = "my-project-id"
  role    = "projects/my-project-id/roles/SecretCreator"

  members = [
    "user:[e-mail]",
  ]

resource "google_project_iam_binding" "SecretManagerAdmin" {
  project = "my-project-id"
  role    = "roles/secretmanager.admin"

  members = [
    "user:[e-mail]",
  ]

  condition {
    title       = "dev-myapp1-*"
    expression  = "resource.name.startsWith(\"projects/123456789012/secrets/dev-myapp1-\")" 
    # "123456789012" is the Project Number. You need to use Project Number in expression not the Project ID
    #You can get the Project Number by running the command : gcloud projects describe my-project-id
  }
}

resource "google_project_iam_binding" "SecretListViewer" {
  project = "my-project-id"
  role    = "projects/my-project-id/roles/SecretListViewer"

  members = [
    "user:[e-mail]",
  ]

}

resource "google_project_iam_binding" "SecretManagerViewer" {
  project = "my-project-id"
  role    = "roles/secretmanager.viewer"

  members = [
    "user:[e-mail]",
  ]

}

您可能需要在项目中创建两个自定义角色才能使用此条件策略。您可以使用下面的地形模板在项目中创建自定义角色。

resource "google_project_iam_custom_role" "SecretListViewer" {
  role_id     = "SecretListViewer"
  title       = "SecretListViewer"
  description = "SecretListViewer"
  permissions = ["secretmanager.secrets.list"]
}

resource "google_project_iam_custom_role" "SecretCreator" {
  role_id     = "SecretCreator"
  title       = "SecretCreator"
  description = "SecretCreator"
  permissions = ["secretmanager.secrets.create"]
}

有了这个，用户应该能够创建任何名称的秘密，但不能添加内容，或查看或使用它，如果名称不是以"dev-myapp1-"开头。他将有充分的权限来管理"dev-myapp1-"的秘密。但他将无法查看内容或管理其他秘密。

Answer 3

现在可以使用资源实现这一点（不确定何时实现）。名称startsWith——然而，这让我大吃一惊，你必须在URL中使用数字项目ID，而不是项目名称。