Не удается удалить доступ ВЛАДЕЛЬЦА к объекту Google Cloud Storage
У меня есть сервер, который записывает некоторые файлы данных в корзину Cloud Storage, используя учетную запись службы, которой я предоставил разрешения «Storage Object Creator» для этой корзины. Я хочу, чтобы права этой учетной записи службы были доступны только для записи.
Насколько я могу судить, разрешение Storage Object Creator также дает доступ для чтения, поэтому я хотел просто удалить разрешение для объектов после того, как они были записаны. Я думал, что могу использовать ACL для этого, но, похоже, это не работает. Если я использую
gsutil acl get gs://bucket/object > acl.json
затем отредактируйте acl.json, чтобы удалить разрешение OWNER для учетной записи службы, затем используйте
gsutil acel set acl.json gs://bucket/object
чтобы обновить ACL, я обнаружил, что ничего не изменилось; разрешение OWNER останется, если я снова проверю ACL. То же самое произойдет, если я попытаюсь удалить разрешение OWNER в веб-интерфейсе Cloud Console.
Есть ли способ отменить это разрешение? Или другой способ добиться этого?
Ответы 2
Вы не можете удалить разрешения OWNER для учетной записи службы, которая загрузила объект, из:
https://cloud.google.com/storage/docs/access-control/lists#bestpractices
The bucket or object owner always has
OWNERpermission of the bucket or object.The owner of a bucket is the project owners group, and the owner of an object is either the user who uploaded the object, or the project owners group if the object was uploaded by an anonymous user.
When you apply a new ACL to a bucket or object, Cloud Storage respectively adds
OWNERpermission to the bucket or object owner if you omit the grants.
Я не пробовал этого, но вы можете загрузить объекты, используя однократную учетную запись службы (назовите ее SA1), затем переписать объекты, используя отдельную учетную запись службы (назовите ее SA2), а затем удалить объекты. SA1 больше не будет владельцем и, следовательно, не будет иметь разрешений на чтение. SA2 по-прежнему будет иметь права на чтение и запись, но нет никакого способа запретить владельцу объекта читать его.
Переименование объекта помогает.
gsutil mv -p gs://bucket/object gs://bucket/object-renamed
gsutil mv -p gs://bucket/object-renamed gs://bucket/object
Учетная запись службы переименователь станет объектом OWNER.