错误：被拒绝：资源上的权限“artifactregistry.repositories.downloadArtifacts”被拒绝

Question

我是Python的新手。 我正在将Python代码部署到Google Cloud Run ，但出现错误。

这是终端：

Deploying from source. To deploy a container use [--image]. See https://cloud.google.com/run/docs/deploying-source-code for more details.
Source code location (/Users/name/......):  
Next time, use `gcloud run deploy --source .` to deploy the current directory.

Service name (google-cloud-run):  
Please specify a region:
 [1] asia-east1
 ......
Please enter your numeric choice:  27

To make this the default region, run `gcloud config set run/region us-central1`.

This command is equivalent to running `gcloud builds submit --tag [IMAGE] /Users/name/......` and `gcloud run deploy google-cloud-run --image [IMAGE]`

Allow unauthenticated invocations to [google-cloud-run] (y/N)?  y

Building using Dockerfile and deploying container to Cloud Run service [google-cloud-run] in project [project-id] region [us-central1]
X Building and deploying new service... Building Container.                                                                                    
  ✓ Uploading sources...                                                                                                                       
  - Building Container... Logs are available at [https://console.cloud.google.com/cloud-build/builds/bdaf9cea-3e87-46e4-81f8-33b2675808f8?proje
  ct=1044629281917].                                                                                                                           
  . Creating Revision...                                                                                                                       
  . Routing traffic...                                                                                                                         
  . Setting IAM Policy...                                                                                                                      
Deployment failed                                                                                                                              
ERROR: (gcloud.run.deploy) Build failed; check build logs for details

看起来它在构建容器中失败了。

当我检查我的日志时，错误是： denied: Permission "artifactregistry.repositories.downloadArtifacts" denied on resource "projects/project-id/locations/us-central1/repositories/cloud-run-source-deploy" (or it may not exist) 。

我的代码：

import os

from flask import Flask

app = Flask(__name__)


@app.route("/")
def hello_world():
    name = os.environ.get("NAME", "World")
    return "Hello {}!".format(name)


if __name__ == "__main__":
    app.run(debug=True, host="0.0.0.0", port=int(os.environ.get("PORT", 8080)))

我该如何解决这个错误？ 感谢有人可以提供建议。 先感谢您！

Answer 1

本快速入门介绍了如何在 Cloud run 上部署 Python 服务。

如文档中所述：

重要提示：本快速入门假定您在用于快速入门的项目中拥有所有者或编辑者角色。 否则，请参阅下面的权限所需信息。

1 ： Cloud Run 部署权限

用户需要以下权限才能部署新的 Cloud Run 服务或修订：需要项目级别的 run.services.create 和 run.services.update。 run.services.get 不是必需的，但为了读取已创建服务的状态，建议使用它。 通常通过角色/run.admin 角色分配。

它可以在项目权限管理页面中更改。 iam.serviceAccounts.actAs 用于 Cloud Run 运行时服务帐号。 默认情况下，这是 PROJECT_NUMBER-compute@developer.gserviceaccount.com。 权限通常通过角色/iam.serviceAccountUser 角色分配。

2 ： 云构建权限

使用 IAM，Cloud Build API 中的每个 API 方法都要求发出 API 请求的身份具有使用资源的适当权限。

通过设置将角色授予主体（用户、组或服务帐户）的策略来授予权限。 您可以将多个角色授予同一资源上的委托人。

3 ： 工件注册表权限

通过授予包含权限的角色来授予身份和访问管理 (IAM) 权限。 使用 Artifact Registry 角色来控制对存储库的访问。 您可以在项目或存储库级别授予权限。

尽管您可以使用 Owner、Editor 和 Viewer 等基本角色来授予对存储库的访问权限，但使用 Artifact Registry 角色可以应用最小权限的安全原则，以便用户和服务帐户仅具有所需的权限。