【GCP】Cloud Storage 버킷에 대한 액세스 권한

Google Cloud Platform을 사용하고 있습니다. Storage 의 bucket 에 액세스권이 없게 분노해 버려, 빠졌으므로 메모해 둡니다.

문제는 GCP에 배포 한 컨테이너가 Cloud Storage에 액세스하기 위해 python script에서 Storage에서 다운로드하기 위해 client.get_bucket("my_bucket")

Forbidden('GET https://storage.googleapis.com/storage/v1/b/projectname-bucketname?projection=noAcl:[email protected] 
does not have storage.bucket.get access to the Google Cloud Storage Bucket`

라고 해서 에러가 된다는 증상이었습니다. (내부에서 REST API를 부르고 있네요...)

원래 Storage에 대한 액세스 권한 설정이 충분하지 않았습니다.

원래 무엇을 하고 있었는가. Project에 대한 서비스 계정을 만든 다음 Storage에 읽기/쓰기로 서비스 계정에 role를 부여했습니다. 이것으로 충분하다고 생각했습니다.

project=$(gcloud config get-value core/project 2> /dev/null)
gcloud iam service-accounts create $sa_name \
        --description "サービスアカウントの説明" \
        --display-name "$sa_name"
gcloud projects add-iam-policy-binding ${project} \
 --member serviceAccount:$sa_name@${project}.iam.gserviceaccount.com \
 --role roles/storage.objectCreator

그러나 Storage object에 대한 액세스 권한 설정으로 bucket에 액세스하기에는 충분하지 않았습니다. 왜냐하면. . .

Storage.objectViwer에는 bucket 액세스 권한이 없습니다.

Storage에 대한 액세스 권한은 여기에서 볼 수 있듯이 object와 bucket에 따라 다릅니다.

htps : // c ぉ d. 오, ぇ. 코 m / s 토라 게 / 드 cs / 아세스 s - t t l / 어 m-peer mishion s? hl = 그럼

아래에서 확인할 수 있습니다.

$ gcloud iam roles describe roles/storage.objectViewer
description: Read access to GCS objects.
etag: AA==
includedPermissions:
- resourcemanager.projects.get
- resourcemanager.projects.list
- storage.objects.get
- storage.objects.list
name: roles/storage.objectViewer
stage: GA
title: Storage Object Viewer

반면에 storage.admin은 위와 함께

- storage.buckets.create
- storage.buckets.delete
- storage.buckets.get
- storage.buckets.getIamPolicy
- storage.buckets.list
- storage.buckets.setIamPolicy
- storage.buckets.update

또한 부여됩니다. 하지만 실제로 서비스 계정에 Storage admin이라는 것도 좋지 않다고 생각됩니다.

현재 서비스 계정의 역할은 다음 명령으로 확인할 수 있습니다.

$ gcloud projects get-iam-policy プロジェクト --flatten="bindings[].members" --format='table(bindings.rol
e)' --filter='bindings.members:サービスアカウント名@プロジェクト.iam.gserviceaccount.com'
ROLE
roles/pubsub.admin
roles/pubsub.editor
roles/pubsub.publisher
roles/storage.objectCreator
roles/storage.objectViewer