無法從 App Engine 標准環境連接到 Google 雲 SQL

Question

我最近將我的代碼切換到另一個項目。 我使用官方文檔中提到的 Public IP 方法，但無濟於事。

在日志瀏覽器中，我看到了很多警告條目 state：

CloudSQL 警告：需要您的操作來更新您的應用程序並避免潛在的中斷。 有關更多詳細信息，請參閱https://cloud.google.com/sql/docs/mysql/connect-app-engine-standard ：

發布https://sqladmin.googleapis.com/sql/v1beta4/projects/<PROJECT_ID>/instances/asia-east1~<CLOUD_SQL_INSTANCE>:generateEphemeralCert?alt=json&prettyPrint=false ：rpc 錯誤：code = PermissionDenied desc = IAM 權限被拒絕對於服務帳戶 gae-deploy@<PROJECT_ID>.iam.gserviceaccount.com。

我已經確認和檢查的事情：

• 新雲SQL和app engine在同一個項目
• Cloud SQL Admin API已啟用
• App Engine 區域為asia-east1 （與雲 SQL 區域相同）
• App Engine 服務帳戶和 GAE 雲部署帳戶具有Cloud SQL Admin角色
• 默認服務帳戶[PROJECT_ID]@appspot.gserviceaccount.com具有以下角色：
  • Cloud SQL Admin ， Editor ， Service Account Token Creator ， Storage Object Admin
• 創建的服務帳戶gae-deploy@<PROJECT_ID>.iam.gserviceaccount.com具有以下角色：
  • App Engine Service Admin ， Cloud Build Service Account ， Cloud SQL Admin ， Cloud SQL Client ， Serverless VPC Access User ， Service Account User

根據文檔， Cloud SQL Client角色就足夠了。 但是日志一直告訴我服務帳戶無法訪問雲 sql admin API。

我究竟做錯了什么？ 或者我應該向服務賬戶授予哪些額外的 IAM 角色？

Answer 1

我已嘗試過此 github 線程評論中提到的類似步驟。 我完成的步驟：

• 刪除默認應用引擎服務帳戶[PROJECT_ID]@appspot.gserviceaccount.com和gae-deploy@<PROJECT_ID>.iam.gserviceaccount.com所有角色
• 添加相同的角色
• 重建應用引擎

現在一切如常