Учетная запись службы Google Cloud Platform не может получить доступ к проекту

Я считаю, что это ошибочное предупреждение. Я вижу такое же предупреждающее сообщение в своей учетной записи службы, несмотря на то, что учетная запись имеет разрешения на мой проект GCP и может успешно выполнять необходимые действия.

Вы могли увидеть эту ошибку из-за не связанной проблемы. В моем случае я пытался выполнить развертывание в AppEngine из среды непрерывной интеграции (Circle CI), но не включил App Engine Admin API. Как только я включил API, я смог успешно выполнить развертывание.

Решением этой проблемы может быть включение Cloud Resource Manager api в вашей облачной консоли Google. Перейдите к https://console.developers.google.com/apis/api/cloudresourcemanager.googleapis.com/overview?project=<project-id> и нажмите "Включить".

Я столкнулся с этой ошибкой, когда начал работать с платформой Google CLoud.

Проблема заключалась в том, что я настроил / установил несуществующий проект (my-kube-project) в качестве проекта по умолчанию, используя следующую команду:

gcloud config set project my-kube-project

Вот как я это решил:

Сначала мне нужно было перечислить свои существующие проекты:

gcloud projects list

Затем я скопировал идентификатор проекта, который мне нужен, и на этот раз снова запустил команду:

gcloud config set project gold-magpie-258213

И все работало нормально.

Примечание. Вы не можете изменить идентификатор ID или номера проекта, вы можете изменить только Название.

Это все.

Надеюсь, это поможет

Я столкнулся с той же ошибкой при попытке развернуть приложение в Google App Engine через учетную запись службы, настроенную в CircleCI, и решил ее, установив следующие роли (разрешения), прикрепленные к моей роли службы:

• Разработчик App Engine
• Администратор службы App Engine
• Редактор Cloud Build
• Создатель объекта хранения
• Средство просмотра объектов хранилища

У меня также был включен App Engine Admin API, но нет Cloud Resource Manager API.

В

ВНИМАНИЕ! У вас нет доступа к проекту [$ PROJECT_ID] или он не существует.

предупреждение появится, если учетной записи службы не назначена хотя бы одна роль, которая содержит resourcemanager.projects.get разрешение.

Другими словами, предупреждение появится, если результат следующих команд будет пустым:

1. Соберите все роли для данного $SERVICE_ACCOUNT (это работает для любой учетной записи, а не только для служебных учетных записей):

   gcloud projects get-iam-policy $PROJECT_ID \
   --flatten='bindings[].members' \
   --format='table(bindings.role)' \
   --filter="bindings.members:${SERVICE_ACCOUNT}"
   
   
   #=>
   
   ROLE
   . . .
   

2. Для каждого $ROLE, собранного выше, либо:

   gcloud iam roles describe $ROLE \
   --flatten='includedPermissions' \
   --format='value(includedPermissions)' \
   --project=$PROJECT_ID | grep \
   --regexp '^resourcemanager.projects.get$'
   

   если $ROLE является индивидуальным (projects/$PROJECT_ID/roles/$ROLE), или:

   gcloud iam roles describe roles/$ROLE \
   --flatten='includedPermissions' \
   --format='value(includedPermissions)' | grep \
   --regexp '^resourcemanager.projects.get$'
   

   если $ROLE является курированным (roles/$ROLE).

Примечание: разница между gcloud форматированием команд для настраиваемых и контролируемых ролей - это то, что затрудняет перечисление всех разрешений, связанных со всеми ролями, связанными с одной учетной записью.

Если вы подтвердили, что ни одна из ролей, связанных с учетной записью службы, не содержит разрешения resourcemanager.projects.get, тогда либо:

• Обновите хотя бы одну из настраиваемых ролей, связанных с учетной записью службы, с разрешением resourcemanager.projects.get:

  gcloud iam roles update $ROLE \
  --add-permissions=resourcemanager.projects.get \
  --project=$PROJECT_ID
  
  #=>
  
  description: $ROLE_DESCRIPTION
  etag: . . .
  includedPermissions:
  . . .
  - resourcemanager.projects.get
  . . .
  name: projects/$PROJECT_ID/roles/$ROLE
  stage: . . .
  title: $ROLE_TITLE
  

  Предупреждение: не забудьте использовать здесь флаг --add-permissions при обновлении, поскольку флаг --permissions удалит любые другие разрешения, которые раньше имела пользовательская роль.

• Создайте собственную роль:

  gcloud iam roles create $ROLE \
  --description="$ROLE_DESCRIPTION" \
  --permissions=resourcemanager.projects.get \
  --project=$PROJECT_ID \
  --title='$ROLE_TITLE'
  
  #=>
  
  Created role [$ROLE].
  description: $ROLE_DESCRIPTION
  etag: . . .
  includedPermissions:
  - resourcemanager.projects.get
  name: projects/$PROJECT_ID/roles/$ROLE
  stage: . . .
  title: $ROLE_TITLE
  

  и свяжите его с учетной записью службы:

  gcloud projects add-iam-policy-binding $PROJECT_ID \
  --member=serviceAccount:$SERVICE_ACCOUNT \
  --role=projects/$PROJECT_ID/roles/$ROLE
  
  #=>
  
  Updated IAM policy for project [$PROJECT_ID].
  auditConfigs:
  . . .
  

• Свяжите учетную запись службы с контролируемой ролью, которая уже содержит разрешение resourcemanager.projects.get, о котором говорилось выше.

  Если вы хотите знать, какие тщательно подобранные роли уже содержат resourcemanager.projects.get разрешение, и не хотите создавать сложный цикл оболочки, возможно, будет проще перейти на здесь и отфильтруйте все роли по Permission:resourcemanager.projects.get.

Примечание: если у вас возникнут проблемы, обязательно ознакомьтесь с требованиями для предоставления доступа к ресурсам здесь.