Cloud Build 无法部署到 Google App Engine - 您无权充当 @appspot.gserviceaccount.com

Question

今天早上我做了一个 PR，它为我的暂存环境触发了 Cloud Build，但未能将结果部署到 GAE。

错误如下：

错误：(gcloud.app.deploy) PERMISSION_DENIED：您无权充当“[redacted]@appspot.gserviceaccount.com”第 4 步：-“@type”：type.googleapis.com/google.rpc。 ResourceInfo 第 4 步：描述：您无权充当此服务帐户。 第 4 步：resourceName：[redacted]@appspot.gserviceaccount.com 第 4 步：resourceType：serviceAccount

当我查看https://console.cloud.google.com/cloud-build/settings/service-account Cloud build 具有以下服务帐户权限ENABLED ：

• 应用引擎管理员
• 云端知识管理系统

检查https://console.cloud.google.com/iam-admin/iam我可以看到 cloudbuild 服务帐户具有以下角色：

• 应用引擎管理员
• 应用引擎部署者
• Cloud Build 服务帐号
• Cloud KMS 加密密钥解密器

Answer 1

根据提供的错误，您似乎需要向您的服务帐户添加一些委托。 这意味着服务帐户可以代表另一个服务帐户执行操作。 不要在项目级别添加此权限，因为它会带来安全风险！ 您可以在下面找到如何在另一个服务帐户上添加roles/iam.serviceAccountUser的示例。

PROJECT_ID=xxxxxx

PROJECT_NUMBER=$(gcloud projects list \
  --format="value(projectNumber)" \
  --filter="projectId=${PROJECT_ID}")

gcloud iam service-accounts add-iam-policy-binding \
    ${PROJECT_ID}@appspot.gserviceaccount.com \
    --member=serviceAccount:${PROJECT_NUMBER}@cloudbuild.gserviceaccount.com \
    --role=roles/iam.serviceAccountUser \
    --project=${PROJECT_ID}

总而言之，服务帐户必须具有iam.serviceAccounts.actAs权限，该权限包含在roles/iam.serviceAccountUser角色中。 可以在此处找到更新的 Google 文档。

Answer 2

我遇到过同样的问题。 对我来说，我必须在 IAM 中将服务帐户用户角色添加到我的圈子 ci 用户。 也许您可以为 cloudbuild 做同样的事情。

Answer 3

我向我的 CI/CD 服务帐户授予Service Account User权限。 那个有效。

IAM 的屏幕截图

我的 Gitlab CI/CD 配置的屏幕截图

Answer 4

首先我们进入权限管理器，选择我们要添加权限的项目。 https://console.cloud.google.com/iam-admin/

Answer 5

要解决此问题，您可以向 CI/CD 管道服务帐户添加Service Account User IAM 权限。

例如。 如果您使用 Cloud Build，请将Service Account User角色添加到您的{project-number}@cloudbuild.gserviceaccount.com服务帐户

Answer 6

看起来这个问题似乎是通过将.ActAs权限添加到 Gitlab 或 CircleCI 帐户来回答的。

我还没有机会进行测试 - 如果其他人有并且可以发布详细信息 - 请这样做；

这是我可以收集到的建议答案： 如何在服务帐户上启用“iam.serviceAccounts.actAs”权限？

Nebulastic 上面有一个很好的答案，但{PROJECT_ID}需要与 Gitlab 或 CircleCI 帐户名交换，而不是名为 account 的项目。