kubernetes - 权限错误:服务帐户无权访问cloud-ml平台

Question

我正在运行Kubeflow管道(docker方法)，并且集群使用端点导航到仪表板。创建簇之后，按照此链接Deploy Kubeflow中提到的说明进行操作。一切都成功创建，集群生成了端点，并且端点运行正常。

端点链接将类似于https://appname.endpoints.projectname.cloud.goog。

除了最后一个管道之外，管道的所有工作负荷都可以正常工作。在最后一个工作负载中，我试图将作业提交给cloud-ml引擎。但它记录显示该应用程序无权访问该项目。这是日志的完整图像。

ERROR: (gcloud.ml-engine.versions.create) PERMISSION_DENIED: Request had insufficient authentication scopes.

ERROR: (gcloud.ml-engine.jobs.submit.prediction) User [clustername@project_name.iam.gserviceaccount.com] does not have permission to access project [project_name] (or it may not exist): Request had insufficient authentication scopes.

从日志中可以明显看出，该服务帐户无权访问项目本身。但是，我尝试将Cloud ML Service的访问权限授予该服务帐户，但是仍然抛出相同的错误。

向该应用程序提供Cloud ML服务凭据的任何其他方法。

Answer 1

检查两件事:

1)GCP IAM:如果clustername-user@projectname.iam.gserviceaccount.com具有ML Engine Admin权限。

2)您的管道DSL:如果cloud-ml引擎步骤调用apply(gcp.use_gcp_secret('user-gcp-sa'))，例如https://github.com/kubeflow/pipelines/blob/ea07b33b8e7173a05138d9dbbd7e1ce20c959db3/samples/tfx/taxi-cab-classification-pipeline.py#L67