GCP存储认证浏览器下载

Question

我一直在尝试为我们的GCS存储桶中的文件设置经过身份验证的浏览器下载，但无法使其正常工作。具有READER ACL权限的用户始终会收到Forbidden / 403。

关于Cookie-based authentication的部分说明这应该有效，就像在Authenticated Browser Downloads上一样。

我尝试使用Storage Object Viewer和storage.objects.get权限的自定义角色为user@domain.com创建项目级IAM条目。

然后尝试通过控制台和通过以下方式直接在存储桶和文件上直接设置user@domain.com READ权限：

gsutil acl ch -u user@domain.com:R gs://<bucket>
gsutil acl ch -u user@domain.com:R gs://<bucket>/file

我也试过设置默认ACL。

我正在测试来自其他浏览器的下载内容（同时尝试使用Chrome和Safari）。

当我请求https://storage.cloud.google.com/<bucket>/file时，系统会提示我进行身份验证，但始终收到Forbidden / 403。

有没有办法看到权限被拒绝的地方/原因？我错过了什么？

Answer 1

以下设置适合我。

Bucket Name: bb1
Object Name: test1.txt
Test Account: sample@gmail.com

IAM和管理员转到IAM并添加“sample@gmail.com”。将角色“Project-> Viewer”赋予此新帐户。
角色获得角色并创建自定义角色“示例下载角色”。授予权限：storage.buckets.get storage.buckets.list storage.objects.get storage.objects.list
桶转到存储桶bb1并从存储桶旁边的菜单中选择“编辑存储桶权限”。您将看到它已添加为“查看者”的示例帐户，其中继承了权限。添加示例帐户并分配我们在上面创建的自定义角色。
测试在新的浏览器中，注销所有Google帐户并尝试使用以下网址：https://storage.cloud.google.com/bb1/test1.txt 这是假设对象直接在桶下。您将被重定向到谷歌页面进行登录。确保此Google帐户的先前安全配置不会与此新配置冲突。