serviceaccount 需要什么 IAM 角色才能在 GCP 上导出 dns 记录集？

Question

我正在运行来自 CloudBuild 的 bash 脚本。 bash 脚本会将 DNS 记录导出到文件中。

gcloud dns record-sets export zonedump-$i.tmp --zone-file-format --project $projectname --zone=$i

cloudbuild的serviceaccount有roles/dns.reader

运行 cloudbuild 时出现此错误：

ERROR: (gcloud.dns.record-sets.export) HTTPError 403: Forbidden
Finished Step #3
ERROR
ERROR: build step 3 "gcr.io/google.com/cloudsdktool/cloud-sdk" failed: step exited with non-zero status: 1

cloudbuild.yaml

steps:
- name: 'bash'
  args: ['echo', 'Backing up DNS zone to Storage!']
- name: 'bash'
  args: ['ls']
- name: 'bash'
  args: ['chmod', '+x', 'scripts/dnszone_backup.bash']
- name: 'gcr.io/google.com/cloudsdktool/cloud-sdk'
  entrypoint: "bash"
  args:
    - "-c"
    - |
      echo "calling script"
      ls -la
      gcloud version
      scripts/dnszone_backup.bash

如果有人可以帮助我，我将不胜感激。

Answer 1

我需要激活“Cloud Build API”。

我通过gcloud dns record-sets list对其进行测试找到了它，并收到了激活此 API 的明确错误消息。