授予某人访问Google计算引擎上的其中一个实例的权限

Question

我在Google Cloud上有一个项目，我在其中创建了几个vm实例。

我需要让某人只能访问其中一个实例

现在我通过IAM添加它们作为

，让他们可以访问所有实例

1. 计算引擎实例管理员
2. 将她添加为默认计算引擎服务帐户参与者

但是我如何更改它以便只允许他们访问其中一个实例？

由于

Answer 1

可以手动将其公共SSH密钥添加到计算机：the documentation can be found here 您将生成公钥/私钥对，对其进行格式化，将公共密钥对上载到计算机，用户将能够使用私有密钥对连接到计算机。

然后删除Compute Engine Instance Admin角色以取消对其他实例的访问权限。

如果您将其角色保留为默认计算引擎服务帐户参与者，则她可以假定与服务帐户具有相同的权限，默认情况下，该帐户是项目编辑者。
限制此操作的最佳方法是创建一个新服务帐户，仅包含您要授予的范围（可能访问存储或其他一些API），将其设置为实例的服务帐户并将用户添加为其actor。 You can read more here

Answer 2

向GCP上的用户授予SSH的最佳做法是：

1. 编辑VM实例，在“元数据”部分中添加 enable-oslogin=TRUE
2. 在项目级别，向用户添加角色Service Account User和Compute viewer
3. 在实例级别的权限面板上：向用户添加角色Compute OS Admin Login或Compute OS Login