Cloud Storage權限存取的奧妙

今天介紹一下Cloud Storage如何使用專案角色認證來給予權限... 首先，我們需要到要請求存取的專案中，找出一些專案的資訊... 包含專案ID與專案的Role ID，這兩個直可以對應在Bucket權限設定中的Project與Group兩個Entity上，簡單的設定說明如下：

讀取專案ID，然後複製下來...

在權限授與的地方，可以用文字owners-, editors-, viewers-等字眼，後面加上project id作為授與權限的對象，再給予Access的權限對應，即可將bucket授與對象專案的相對角色相關權限。

例如，給予project 288********的所有editor角色具備write的權限，則可以使用

ENTITY = project

NAME = 288********

ACCESS = Writer

這樣的一組設定來完成

另外，如果透過專案的Role ID來做權限授與的話，也可以達到相似的效果，這邊可以在Storage的setting頁面找到這個專案的對應role id

這邊可以直接複製role id直接貼到NAME欄位，然後ENTITY選擇Group，在給予對應的Access權限...

在存完檔案之後，重新瀏覽後，可以發現該設定會被轉換成專案的對應權限...

透過這樣的設定，我們可以簡單的讓專案之間彼此可以互相傳遞資料，而不用特別去auth個人的帳戶給執行主機，也可以避免一些存取上的風險 :D

最後，可能有人會想到使用vm instance的service account來做權限授與...

下面是一個GCE instance，目前開放auth使用instance內建的service account (有掛active那組)

而在另一個專案的bucket給予這個instance內建的account權限之後：

經測試可以正常存取該bucket

但如果使用A專案所建立的Service Account去認證Cloud SDK(參考這邊)，則最後無法去存取已經授與權限的Service Account....

結論：

1. 我們可以使用project與role的權限授與方式來給予其他專案存取此專案Bucket的權限

2. Service Account會跟隨專案，即使其他專案給予這個Service Account存取權限，也無法跨專案存取Bucket

以上，給大家參考

留言

這個網誌中的熱門文章

存取docker container內的檔案

Docker既然是container概念存在，就想到應該可以透過原filesystem找到對應的container內的檔案 Google了一下，在/var/lib/docker/這個目錄底下可以找到對應的container實際存在的位置... 列印一下目錄可以發現aufs/mnt下有一堆長檔名的資料夾... 透過docker ps或是進入到docker container後，可以看得到docker的instance id 範例中是：61ba7253b842 因此進入到"/var/lib/docker/aufs/mnt/"後，後面加讓instance id後，在透過tab補字可以列出該container相關資訊其中會包含一個有"-init"跟一個純instance id的資料夾... 列表一下這兩個資料夾其中無"-init"的目錄存放的就是container對應的磁碟位置測試一下檔案的存取....，切到該目錄下，touch一個檔案... 結果真的可以在container內部看到對應touch出來的檔案透過可見的目錄位置，container與host在某個層鍍上可以互通許多東西喲... 檔案傳輸也不用再透過scp或ftp方式存取，超方便的拉！

閱讀完整內容

Google指令碼基本操作介紹 - Web Server篇

Google的指令碼是什麼東西呢？！原則上他就是Google的一份靜態檔案，但是透過Google的雲端服務平台的一些能力，將靜態檔案內的scriptlet片段拉到Google的後端作運算，寫起來就像在寫JavaScript(這邊說Node.js可能比較貼切，因為同為server side language)或JSP，而在scriptlet片段中，則可以操作許多Google的API服務，甚至他提供你連接JDBC的能力、URL呼叫的能力...等，宛如就是一套完整的雲端程式語言(這樣說應該不為過拉，這真是個創新！)，有並駕於App Engine的氣勢喔！ Google指令碼的範圍很廣，筆者也仍在摸索中，之前介紹過透過Sheet+指令碼做一個簡單的URL監控( 這裡 )，而本篇簡單介紹一下指令碼如何製作一個Web Server(嚴格說起來是Web Page拉，但是具備Server端運作功能喔！)。您將可以體驗到No-Hosting Web Server的威力！指令碼是Google Drive的一個服務，Google將指令碼(Code)以檔案方式寄存在Drive中，類似的靜態檔案服務的應用，最近滿火紅的！首先開啟指令碼時候，選擇"作為網路應用程式的指令碼"，檔案開啟後，會有愈設定程式碼片段供編輯程式碼片段大致上如下，是一個doGet function，Web base的指令碼需要認得doGet()作為server的進入點如果選擇到空白專案的話，只要把doGet function建上即可作為一個Cloud IDE，Google當然也有把Code Hint擺上來，透過簡單的提示，寫啟程是來就更容易拉！而Web部分物件的建立主要是透過 HtmlService 這個模組來進行操作，我們利用他來output html, load static html page, load template html page..等，範例如下： Output HTML: // Script-as-app template. function doGet(e) { return HtmlService. createHtmlOutput ("<h1>HELLO!</h1>...

閱讀完整內容

透過Google Apps Script結合Google Form做即時郵件通知

體驗過Google Apps Script的功能後，也發現他結合GmailApps的模組 GmailApps的應用可以用在表單填寫完成後，做發信的通知例如您開立了一個訂購的表單，為了要在第一時間通知商家有訂單進入就可以直接呼叫Gmail做發信的通知，讓手持Smart Phone的我們可以很快的知道生意上門了！下面規劃三個function，其中： onCommit()：為form commit時候觸發的function，需要掛載於form commit trigger上 jsonArrToTable()：目的將json array解析成為一個Table getLastRowTable()：目的將整個table的回傳過濾為剩下第一筆(表頭，含有Form的欄位說明)與最後一筆(原則上就是剛剛送出的那一筆表單) 完整程式碼如下： function onCommit(){ var sheet = SpreadsheetApp.getActiveSheet(); var rows = sheet.getDataRange(); var numRows = rows.getNumRows(); var values = rows.getValues(); var content = getLastRowTable(values); var htmlBody = "Hi Admin: <br/><br/>有訂單拉，檢查一下吧！ <br/><br/>" + content + '<br/><br/>Send by Google Apps'; GmailApp.sendEmail( " your-email-address@gmail.com ", "Order Confirm Notice", htmlBody, {from: ' from-email-...

閱讀完整內容

尋找Google的創新

搜尋此網誌