Container Registry 服務帳戶

Container Registry 服務代理人是 Google 代管的服務帳戶，可在與 Google Cloud服務互動時代表 Container Registry 執行動作。

為確保安全性原則 (最低權限) 的執行，在 2020 年 10 月 5 日之後啟用 Container Registry API 的專案中，這個服務帳戶會獲得 Container Registry 服務代理人角色。這個角色具備下列權限：

• 發布主題：pubsub.topics.publish
• 讀取儲存空間物件 ACL：storage.objects.getIamPolicy
• 讀取儲存空間物件資料和中繼資料：storage.objects.get
• 列出值區中的儲存空間物件，並讀取物件中繼資料：storage.objects.list

先前，Container Registry 服務帳戶已獲授予「編輯者」角色。由於「編輯者」角色會授予在專案中建立及刪除大部分資源的權限，因此如果 Container Registry 服務帳戶具有這個角色，建議您限制權限。

找出服務帳戶 ID

Container Registry 服務帳戶的 ID 如下所示：

service-[PROJECT_NUMBER]@containerregistry.iam.gserviceaccount.com

如要尋找服務帳戶，請查看有權存取專案的實體清單。

主控台

1. 前往「身分與存取權管理」頁面。

2. 如要將 Google 管理的帳戶新增至主體清單，請勾選「包含 Google 提供的角色授予項目」核取方塊。

3. 如要篩選清單，請在「Filter」欄位中輸入 containerregistry。

gcloud

執行下列指令，列出包含字串 containerregistry 的使用者主體：

gcloud projects get-iam-policy PROJECT-ID \
    --flatten="bindings[].members"
    --filter="containerregistry"

將 PROJECT-ID 替換為您的 Google Cloud 專案 ID。

確認目前的權限

如要驗證 Container Registry 服務帳戶目前的權限，請執行以下指令：

gcloud projects get-iam-policy PROJECT-ID  \
    --flatten="bindings[].members" \
    --format='table(bindings.role)' \
    --filter="bindings.members:[e-mail]"

地點

• PROJECT-ID 是 Google Cloud 專案 ID。
• PROJECT-NUMBER 是 Google Cloud 專案編號。

您可以在 Google Cloud 主控台中取得專案 ID 和專案編號，也可以使用下列指令：

PROJECT=$(gcloud config get-value project)
echo $PROJECT && gcloud projects list --filter="$PROJECT" --format="value(PROJECT_NUMBER)"

變更權限

如要授予 Container Registry 服務代理人角色並撤銷編輯者角色，請按照下列步驟操作：

1. 使用下列指令授予 Container Registry Service Agent 角色：

   gcloud projects add-iam-policy-binding PROJECT-ID \
   --member=serviceAccount:[e-mail] --role=roles/containerregistry.ServiceAgent
   

2. 使用下列指令撤銷「編輯者」角色：

   gcloud projects remove-iam-policy-binding PROJECT-ID \
   --member=serviceAccount:[e-mail] --role=roles/editor