在云运行上部署时，服务帐户的权限“iam.serviceaccounts.actAs”被拒绝

Question

当我尝试在云上部署我的 docker 映像时，使用以下命令运行： gcloud run deploy --image $MULTI_REGION/$PROJECT/$IMAGE --memory $MEMORY --region $REGION --env-vars-file.env.yaml

我收到错误消息：

将容器部署到项目 [wagon-bootcamp-352706] 区域 [europe-west1] 中的 Cloud Run 服务 [image-name] X 正在部署新服务...
. 正在创建修订...
. 路由流量...
. 正在设置 IAM 政策...
部署失败
错误：（gcloud.run.deploy）用户 [demange.louis@hotmail.fr] 无权访问命名空间实例 [wagon-bootcamp-352706]（或它可能不存在）：权限“iam.serviceaccounts.actAs”拒绝服务帐户 942802053669-compute@developer.gserviceaccount.com（或它可能不存在）。

要检查项目的权限，我使用“gcloud projects get-iam-policy wagon-bootcamp-352706”：

绑定：

• 成员：
  • serviceAccount：service-942802053669@gcp-sa-artifactregistry.iam.gserviceaccount.com 角色：roles/artifactregistry.serviceAgent
• 成员：
  • serviceAccount:service-942802053669@containerregistry.iam.gserviceaccount.com 角色：roles/containerregistry.ServiceAgent
• 成员：
  • 用户：demange.louis@hotmail.fr 角色：角色/iam.serviceAccountUser
• 成员：
  • serviceAccount：service-942802053669@cloud-ml.google.com.iam.gserviceaccount.com 角色：roles/ml.serviceAgent
• 成员：
  • 用户：demange.louis@hotmail.fr 角色：角色/所有者
• 成员：
  • serviceAccount：service-942802053669@gcp-sa-pubsub.iam.gserviceaccount.com 角色：roles/pubsub.serviceAgent
• 成员：
  • serviceAccount:service-942802053669@serverless-robot-prod.iam.gserviceaccount.com 角色：roles/run.serviceAgent
• 成员：
  • 用户：demange.louis@hotmail.fr 角色：角色/storage.admin
• 成员：
  • 用户：demange.louis@hotmail.fr 角色：角色/storage.objectAdmin
• 成员：
  • 用户：demange.louis@hotmail.fr 角色：角色/storage.objectCreator

我还检查了项目“wagon-bootcamp-352706”是一个好项目。

我还在容器注册表中检查了我的图像“图像名称”被很好地推送：图像名称 eu.gcr.io Private

综上所述，权限应该是有效的，之前的推送没问题，项目名也没问题。 唯一不清楚的是错误消息中提到的“帐户 942802053669-compute@developer.gserviceaccount.com”，它不属于我，我不知道它是什么。 有人知道这个问题吗？ 提前致谢。

此致，

路易斯·德曼格

Answer 1

问题是服务帐户942802053669-compute@developer.gserviceaccount.com不存在，因为计算引擎 API 尚未启用（可能）或您已将其删除。

你有两个选择：

1. 例如转到Compute Engine 部分，启用 Compute Engine API。
2. 如果您删除了 Compute Engine 默认 SA，您可以恢复它（如果它在最多 30 天前被删除）或使用另一个存在的服务帐户与 Cloud Run 一起使用。