java - Google Cloud Run for Anthos on GKE 的服务如何连接到不同组织的不同项目上的 Firestore？

Question

我在 GKE 上创建了 Cloud Run for Anthos 服务。然后，我想让它连接到不同组织项目上的 Firestore。它如何连接到 Firestore？

我在 OrganizationA 的 ProjectA 上创建了 Cloud Run for Anthos on GKE 服务。Cloud Run服务的编程语言是Java，google-cloud-firestore库。

并且，我在 OrganizationB(无组织)的 ProjectB 上创建了一个 Firestore 数据库。

然后，尝试将 Cloud Run Service 访问 FirestoreDB，我收到如下错误消息。

{"message":"Internal Server Error: com.google.api.gax.rpc.PermissionDeniedException: io.grpc.StatusRuntimeException: PERMISSION_DENIED: Missing or insufficient permissions."}

Answer 1

一切取决于您的要求。根据这个page ，授予服务帐户 roles/datastore.user或roles/datastore.viewer在项目 B 的 IAM 部分中(单击“添加”并粘贴服务帐户的电子邮件)。

根据您的 GKE 部署，服务帐户可以是默认计算服务帐户 ( <projectNumber>-compute@developer.gserviceaccount.com ) 或其他帐户(如果您自定义了集群/workload Identity)