google-app-engine - 使用服务帐户更新 App Engine cron 时授权失败

Question

我一直在尝试编写 App Engine Python 应用程序并通过服务帐户管理它(因为我正在使用我不信任我的 Google 帐户凭据的机器进行开发)。

我已经成功地让应用程序部署新的代码版本(提示:您不仅需要在 IAM 控制台中授予 App Engine 服务帐户“Deployer”和“Service Admin”权限，可能还需要授予“Admin”权限——我最终给出了所有三个)，但您还需要确保它对用于暂存和部署的 GCS 存储桶具有写入权限，名为 myapp.appspot.com 和 staging.myapp.appspot .com*)，但我无法部署新的 cron.yaml。当我尝试时:

$ gcloud app deploy cron.yaml 
You are about to update the following configurations:
 - myapp/cron  (from [.../myapp/cron.yaml])
Do you want to continue (Y/n)?  

Updating config [cron]...failed.                                                                                    
ERROR: (gcloud.app.deploy) Server responded with code [403]:
  Forbidden Unexpected HTTP status 403.
  You do not have permission to modify this app (app_id=u'p~myapp').

如果我使用 --verbosity=debug 运行 gcloud app deploy，我可以看到它正在向 https://appengine.google 发出请求。 com/api/cron/update?app_id=myapp 并返回 403。

我已尝试授予服务帐户项目编辑者或所有者权限，但这没有用。 (尽管如果有必要，我会认为这是一个错误。)

*:在这个问题中，我的项目 ID 的所有实例都已替换为 myapp。

Answer 1

为了部署新的 cron.yaml 文件，您要添加到服务帐户的特定角色是 Cloud Scheduler Admin:

https://cloud.google.com/appengine/docs/standard/python/granting-project-access#deploying_using_iam_roles