google-cloud-platform - 云跑: Connecting to a CloudSQL database on another GCP Project

Question

我在将 [项目 A] Cloud Run 实例连接到 [项目 B] Cloud SQL 实例时遇到问题。

我已经按照本文所述设置了服务帐户权限:https://cloud.google.com/sql/docs/mysql/connect-run

是这样的:

• 我在 [项目 B] 上创建了一个具有 Cloud SQL 管理员和 Cloud SQL 客户端权限的服务帐号。
• 我在 [项目 A] 上为 Cloud Run 实例创建了一个服务帐号，此帐号在 [项目 B] 的服务帐号上拥有用户角色

这两个项目都启用了 Cloud SQL Admin API，如果我在 [项目 B] 上构建相同的 Cloud Run 实例，它的连接不会出现任何问题，所以我认为这是一个权限问题。

我在[项目 A] Cloud Run 日志中收到的错误是:googleapi: 错误 403: 客户端无权发出此请求。, notAuthorized

Answer 1

我复制了您的错误并设法修复了该问题，而无需在项目 A (Cloud Run) 和项目 B(Cloud SQL) 上手动创建服务帐号.

当您在 Cloud Run 中部署服务时，它会使用 default Compute Engine service account就像这样: [email protected] 。

然后，我打开 项目 B 上 Cloud SQL 所在的 Cloud IAM 页面，然后从 项目 B 授予服务帐户的角色strong>项目 A(云运行)，具有 Cloud SQL 客户端 或 Cloud SQL 管理员 权限。

我授予[email protected]的项目 B Cloud IAM 页面的示例屏幕截图来自 Cloud Run 的 服务帐户:

您还可以在修订选项卡 -> 安全选项卡中查看您的云运行使用的服务帐户