Google Cloud DNS - 如何将权限限制在一个区域以进行 acme 挑战?
Google Cloud DNS - how to restrict permission just to one zone for acme challenge?
有没有办法将 Google Cloud IAM 服务帐户限制在 Coud DNS 中的一个区域?我想用它来自动颁发 ACME DNS-01 证书,但我不想添加对所有 domains/zones 的完全控制。我尝试将条件设置为服务帐户,但它不起作用 - 区域名称可能不是资源?
service account condition
文档说最低的资源是 Project,因此确保 acme challenge 的唯一可能性是为该域拥有单独的 Project 和自己的服务帐户?
https://cloud.google.com/dns/docs/access-control
如果您查看 Cloud DNS API,您会发现没有 API 路径包含 getIamPolicy
或 setIamPolicy
。这表明您不能在资源级别定义 IAM 权限,而只能在项目级别定义:访问或不访问整个 API.
因此您不能将区域的管理限制为专用服务帐户。但是,您可以创建另一个项目并在所需的管理区域上执行 DNS 对等互连,并仅授予该项目的服务帐户。
有没有办法将 Google Cloud IAM 服务帐户限制在 Coud DNS 中的一个区域?我想用它来自动颁发 ACME DNS-01 证书,但我不想添加对所有 domains/zones 的完全控制。我尝试将条件设置为服务帐户,但它不起作用 - 区域名称可能不是资源?
service account condition
文档说最低的资源是 Project,因此确保 acme challenge 的唯一可能性是为该域拥有单独的 Project 和自己的服务帐户? https://cloud.google.com/dns/docs/access-control
如果您查看 Cloud DNS API,您会发现没有 API 路径包含 getIamPolicy
或 setIamPolicy
。这表明您不能在资源级别定义 IAM 权限,而只能在项目级别定义:访问或不访问整个 API.
因此您不能将区域的管理限制为专用服务帐户。但是,您可以创建另一个项目并在所需的管理区域上执行 DNS 对等互连,并仅授予该项目的服务帐户。