google-cloud-platform - 找不到从接收器创建的服务帐号

Question

我正在通过运行以下命令(作为组织管理员)创建接收器:

gcloud logging sinks create vpc_flow_sink storage.googleapis.com/<storage_bucket_name> --include-children --organization=<organization_id> --log-filter="resource.type="gce_subnetwork" AND logName:"logs/compute.googleapis.com%2Fvpc_flows""

命令执行成功并输出如下文本:

Created [https://logging.googleapis.com/v2/organizations/<organization_id>/sinks/<sink_name>].
Please remember to grant serviceAccount:o<organization_id>-511237@gcp-sa-logging.iam.gserviceaccount.com the Storage Object Creator role on the bucket.

但是，当我去实际申请存储桶的权限时，我找不到这个帐户(无论是在项目中还是在组织中)。当我运行时，这些帐户也不会出现:

gcloud organizations get-iam-policy <organization_id>

当我描述接收器时，服务帐户存在于 writerIdentity 字段中:

gcloud beta logging sinks describe vpc_flow_sink --organization <organization_id>
...
writerIdentity: serviceAccount:o<organization_id>-511237@gcp-sa-logging.iam.gserviceaccount.com
...

作为引用，为了尝试调试此问题，我附加了以下角色:组织角色管理员、日志记录管理员、所有者、项目所有者、组织管理员、存储管理员。

我真的不知道该怎么做，我该如何着手向存储桶授予此帐户的角色？

Answer 1

将权限应用于您的导出目的地时，请勿复制:

serviceAccount:o<organization_id>-511237@gcp-sa-logging.iam.gserviceaccount.com

而是使用 serviceAccount: 之后的所有内容

o<organization_id>-511237@gcp-sa-logging.iam.gserviceaccount.com ...

Google 随后将识别该服务帐户。但是，我仍然无法通过 gcloud organizations get-iam-policy <organization_id> 检测到它