错误 403：GCP 中禁止存储对象

Question

我正在尝试在 GCP 中创建所有新的沙盒项目，以便于部署和升级项目。使用 Terraform 我正在创建一个 GKE 集群。问题是，terraform 脚本是为一个名为 NP-H 的项目的服务帐户编写的。现在，我正在尝试在名为 let' say NP-S 的项目中使用相同的脚本创建集群。

我运行了 Terraform init 并遇到了一个

错误 403：XXX.serviceaccount 没有 storage.object.create 对谷歌云存储对象的访问权限。，禁止。 存储：对象不存在。 现在，是 Terraform 脚本或服务帐户权限的问题吗？

如果是 Terraform 脚本，我需要做哪些更改？

PS：我能够创建一个存储桶并将它们上传到云存储......

Answer 1

您可以通过两种方式存储凭据：

provider "google" {
  credentials = file("service-account-file.json")
  project = "PROJECT_ID"
  region  = "us-central1"
  zone    = "us-central1-c"
}

或

export GOOGLE_APPLICATION_CREDENTIALS="/home/user/Downloads/service-account-file.json"

确保服务帐户来自项目 ID NP-S，Menu > IAM & admin > service account，并具有适当的权限：Menu > IAM & admin > IAM > ...

cat service-account-file.json

并确保它是来自正确项目 ID 的电子邮件。如果需要，您可以使用所有者/编辑角色进行快速测试以隔离问题，因为这些角色拥有最多的权限。