Учетная запись службы GCR имеет права администратора

Невозможно использовать более детализированные роли для учетной записи реестра управляемых контейнеров Google - service-[PROJECT_NUMBER]@containerregistry.iam.gserviceaccount.com. Не уверен, может ли кто-нибудь пролить свет на это.

Кажется, что этой учетной записи службы по умолчанию назначается примитивная роль "редактор", когда вы включаете API реестра контейнеров Google, и вы не можете изменить ее на что-то более детализированное, например cloudbuild.gserviceaccount.com.

Документ Google по облачной сборке https://cloud.google.com/cloud-build/docs/securing-builds/set-service-account-permissions

Но не так много информации о реестре контейнеров https://cloud.google.com/container-registry/docs/overview

Наш инструмент соответствия выбранной ролью редактора используется учетной записью службы GCR. Это слишком большое разрешение только для доступа к GCR.

0 ответов

Другие вопросы по тегам