python - 服务帐户没有对 Google Cloud Storage 的 storage.objects.get 访问权限

Question

我在 Google Cloud Console 中创建了一个服务帐户并选择了角色 Storage/Storage Admin(即对 GCS 资源的完全控制)。

gcloud projects get-iam-policy my_project 好像是indicate该角色实际上已被选中:

- members:
  - serviceAccount:my_sa@my_project.iam.gserviceaccount.com
  role: roles/storage.admin
- members:
  - serviceAccount:my_sa@my_project.iam.gserviceaccount.com
  role: roles/storage.objectAdmin
- members:
  - serviceAccount:my_sa@my_project.iam.gserviceaccount.com
  role: roles/storage.objectCreator

和documentation清楚地表明角色 roles/storage.admin 包含权限 storage.objects.*(以及 storage.buckets.*)。

但是，当我尝试将该服务帐户与适用于 Python 的 Google 云存储客户端库结合使用时，我收到此错误消息:

my_sa@my_project.iam.gserviceaccount.com does not have storage.objects.get access to my_project/my_bucket.

那么为什么所选角色在这种情况下还不够？

Answer 1

问题显然是服务帐户与太多角色相关联，这可能是之前配置尝试的结果。

这些步骤解决了问题:

• 删除了 IAM & Admin/IAM 下违规服务帐户(成员)my_sa 的所有(三个)角色
• 删除 IAM & Admin/Service accounts 下的 my_sa
• 重新创建了 my_sa(再次使用角色 Storage/Storage Admin)

效果是这样的:

• my_sa 在 IAM & Admin/IAM 下显示一个角色(Storage Admin)
• my_sa 显示为 Storage/Browser/my_bucket/Edit bucket permissions