CloudScheduler 403 创建时权限被拒绝

Question

我正在尝试使用以下 API 资源管理器以编程方式在 CloudScheduler Google Cloud Platform 中创建 Cron 作业。

参考：Cloud Scheduler Documentation

即使我已授予用户Owner 权限并在Policy Troubleshooter 中验证它具有cloudscheduler.jobs.create，我仍然收到以下错误。

{
  "error": {
    "code": 403,
    "message": "The principal (user or service account) lacks IAM permission \"cloudscheduler.jobs.create\" for the resource \"projects/cloud-monitoring-saurav/locations/us-central\" (or the resource may not exist).",
    "status": "PERMISSION_DENIED"
  }
}

Answer 1

该错误是由于使用不具有包含权限cloudscheduler.jobs.create 的 IAM 角色的服务帐户引起的。一个示例角色是roles/cloudscheduler.admin aka Cloud Scheduler Admin。我感觉您将与 Cloud Scheduler 一起使用的服务帐户的权限（在运行时，当作业触发某些事情时）和当前创建作业的帐户（例如您的帐户）的权限混合在一起。

您实际上需要两个服务帐户才能创建作业。您需要自己设置一个（可以是您喜欢的任何名称，不需要任何特殊权限），还需要一个用于默认 Cloud Scheduler 本身（由 Google 管理）

1. 使用现有的service account 用于从 Cloud Scheduler 调用您的 HTTP 目标，或者您可以为此创建一个新的服务帐户。服务帐号必须与创建 Cloud Scheduler 作业的项目属于同一项目。这是客户服务帐户。在指定服务帐户以生成 OAuth / OICD 令牌时使用此选项。 如果您的目标是 Google Cloud 的一部分，例如 Cloud Functions/Cloud Run，请通过授予必要的 IAM role（云函数的云函数调用程序和 Cloud Run 的 Cloud Run Invoker）来更新您的客户端服务帐户。接收服务会自动验证生成的令牌。如果您的目标在 Google Cloud 之外，则接收服务必须manually verify the token。

2. 另一个服务帐户是默认的 Cloud Scheduler 服务帐户，它也必须存在于您的项目中，并且授予它 Cloud Scheduler 服务代理角色。这样它就可以代表您的客户服务帐户生成标头令牌以向您的目标进行身份验证。授予此角色的 Cloud Scheduler 服务帐户会在您启用 Cloud Scheduler API 时自动设置，除非您在 2019 年 3 月 19 日之前启用它，在这种情况下您必须add the role manually。

注意：不要从您的项目中删除 service-YOUR_PROJECT_NUMBER@gcp-sa-cloudscheduler.iam.gserviceaccount.com 服务帐户或其 Cloud Scheduler Service Agent role。这样做会导致对需要身份验证的端点的 403 响应，即使您的作业的服务帐户具有适当的角色。