GCP - 用户...无权访问项目实例

Question

当我遇到另一个问题时，我将gcloud与服务帐户一起使用，试图弄清楚为什么我的 API 网关端点不起作用。 首先，我运行了这个export GOOGLE_APPLICATION_CREDENTIALS=/path/to/credential/fils/PROJECTNAME-hash.json 。 然后我运行了gcloud services list --available并在我的终端中得到了这个：

ERROR: (gcloud.services.list) User [<SERVICE ACCOUNT NAME>@<MY PROJECT NAME>.iam.gserviceaccount.com] does not have permission to access projects instance [<MY PROJECT NAME>] (or it may not exist): Permission denied to list services for consumer container [projects/<MY PROJECT ID>]
Help Token: <WHAT LOOKS LIKE AN API KEY>
- '@type': type.googleapis.com/google.rpc.PreconditionFailure
  violations:
  - subject: ?error_code=110002&service=cloudresourcemanager.googleapis.com&permission=serviceusage.services.list&resource=projects/<MY PROJECT NAME>
    type: googleapis.com
- '@type': type.googleapis.com/google.rpc.ErrorInfo
  domain: serviceusage.googleapis.com
  metadata:
    permission: serviceusage.services.list
    resource: projects/<MY PROJECT NAME>
    service: cloudresourcemanager.googleapis.com
  reason: AUTH_PERMISSION_DENIED

我相信我在我的服务帐户中启用了正确的权限：

那么为什么我会收到此错误以及如何获取gcloud services list --available to work with the selected service account？

Answer 1

这个问题似乎源于我需要将服务帐户设置为具有serviceusage.serviceUsageViewer的角色。 为此，我需要运行add-iam-policy-binding命令，但此命令需要使用具有帐户所有者/编辑权限的帐户运行。

第 1 步是将 gcloud 中的帐户切换到我注册 GCP 服务的主帐户 gmail。

我使用gcloud config set account <MASTER GMAIL ACCOUNT>将我的 gcloud“帐户”设置为我的主帐户 Gmail。 然后我跑了：

gcloud projects add-iam-policy-binding <PROJECT ID> \
    --member "serviceAccount:<SERVICE ACCOUNT>@<PROJECT ID>.iam.gserviceaccount.com" \
    --role "roles/serviceusage.serviceUsageViewer"

该命令成功了。 我使用gcloud config set account <SERVICE ACCOUNT EMAIL>将 gcloud 帐户设置回服务帐户，然后运行gcloud services list --available 。 这次这个命令起作用了。