google-app-engine - 服务帐户需要什么权限才能使用 gcloud 部署到 Google App Engine？

Question

我创建了一个服务帐户，以便将项目部署到 Google App Engine。

我创建的服务帐户具有以下两个角色:

1. App Engine -> App Engine 部署器
2. 存储 -> 存储对象管理

我下载了 json key 文件，然后运行这些命令:

gcloud auth activate-service-account --key-file key.json
gcloud -q app deploy app_deploy.yaml --version 1.0 --promote

我收到此错误消息:

ERROR: (gcloud.app.deploy) Error Response: [403] Operation not allowed

Details: [
  [
    {
      "@type": "type.googleapis.com/google.rpc.ResourceInfo",
      "description": "The \"appengine.applications.get\" permission is required.",
      "resourceType": "gae.api"
    }
  ]
]

我错过了添加什么角色？

Answer 1

截至 2020 年 1 月，documentation for App Engine Roles状态:

Note: The App Engine Deployer (roles/appengine.deployer) role alone grants adequate permission to deploy using the App Engine Admin API. To use other App Engine tooling, like gcloud commands, you must also have the Compute Storage Admin (roles/compute.storageAdmin) and Cloud Build Editor (cloudbuild.builds.editor) roles.

然而，这并不完全正确:

1. cloudbuild.builds.editor 不够(我怀疑这里的文档有错误)。实际上，CLI 显然需要 cloudbuild.builds.builder 提供的 storage.objects.list 权限。 .
2. 部署后，您会收到错误消息，因为您无权更改流量拆分。因此，您需要 roles/appengine.serviceAdmin。

所以，这是对我有用的角色列表:

• roles/appengine.deployer
• roles/appengine.serviceAdmin
• roles/compute.storageAdmin
• roles/cloudbuild.builds.builder