# #google-cloud-platform #google-compute-engine
Вопрос:
Я хочу ограничить создание виртуальных машин в проектах GCP. Любой обходной путь для этого запроса.
Комментарии:
1. Нужна дополнительная информация о ситуации. Разве вы не можете просто не дать роль для этого пользователям/учетным записям служб, имеющим доступ к проекту? Я думаю, что если вам не нужно ничего, связанного с вычислительным двигателем, вы могли бы полностью отказаться от API, но это имеет много последствий и для других продуктов, а также для iirc.
2. Вы также можете использовать ограничения политики организации
3. Пожалуйста, проясните вашу конкретную проблему или предоставьте дополнительные сведения, чтобы точно указать, что вам нужно. Поскольку это написано в настоящее время, трудно точно сказать, о чем вы просите.
Ответ №1:
Возможно, вам захочется попробовать роли IAM, если вы правильно сегментируете роли среди пользователей своей организации, вы можете запретить всем пользователям/группам создавать VMw в своем проекте GCP. Вот еще одна ссылка, касающаяся IAM
Ответ №2:
Роль вычислительного IAM слишком широка. Если вы хотите получить более точный контроль, вам необходимо создать пользовательскую роль без этого разрешения compute.instances.create
Ответ №3:
Вы можете назначить в IAM только разрешение на создание экземпляра. Вот некоторые документы о том, какие роли вы можете использовать.
В случае IAM каждый метод API в API Compute Engine требует, чтобы личность, отправляющая запрос API, имела соответствующие разрешения на использование ресурса. Разрешения предоставляются путем настройки политик, которые предоставляют роли участнику (пользователю, группе или учетной записи службы) вашего проекта.
В следующих таблицах описаны предопределенные роли IAM вычислительного механизма, а также разрешения, содержащиеся в каждой роли. Каждая роль содержит набор разрешений, подходящий для конкретной задачи. Например, роли администратора экземпляра предоставляют разрешения на управление экземплярами, роли, связанные с сетью, включают разрешения на управление ресурсами, связанными с сетью, а роль безопасности включает разрешения на управление ресурсами, связанными с безопасностью, такими как брандмауэры и SSL-сертификаты.
Compute Admin role
Name Description Permissions
roles/compute.admin
Full control of all Compute Engine resources.
Если пользователь будет управлять экземплярами виртуальных машин, настроенными для запуска от имени учетной записи службы, необходимо также предоставить роль роли/iam.serviceAccountUser.
compute.*
resourcemanager.projects.get
resourcemanager.projects.list
serviceusage.quotas.get
serviceusage.services.get
serviceusage.services.list
нажмите здесь для получения дополнительной документации.