GKE 上的 Google Cloud Run for Anthos 服务如何连接到不同组织的不同项目上的 Firestore？

Question

我在 GKE 上为 Anthos 提供了 Cloud Run 服务。 然后，我想让它连接到不同组织项目上的 Firestore。 它如何连接到 Firestore？

我在 OrganizationA 的 ProjectA 上的 GKE 上创建了 Cloud Run for Anthos 服务。 Cloud Run 服务的编程语言为 Java，google-cloud-firestore 库。

而且，我在 OrganizationB（无组织）的 ProjectB 上创建了一个 Firestore 数据库。

然后，尝试将 Cloud Run 服务访问到 FirestoreDB，我收到了类似打击的错误消息。

{"message":"Internal Server Error: com.google.api.gax.rpc.PermissionDeniedException: io.grpc.StatusRuntimeException: PERMISSION_DENIED: Missing or insufficient permissions."}

Answer 1

一切都取决于您的要求。 根据此页面，在项目 B 的 IAM 部分中为服务帐户授予roles/datastore.user存储.user 或roles/datastore.viewer .viewer（单击添加并粘贴服务帐户的 email）。

根据您的 GKE 部署，服务帐户可以是默认计算服务帐户 ( <projectNumber>-compute@developer.gserviceaccount.com ) 或其他如果您自定义了集群/ 工作负载身份