服务帐户需要什么作用域/角色才能提交容器构建器作业？

Question

当创建一个新的服务帐户来处理集装箱生成器作业时，作业失败，出现以下错误，尽管服务帐户有Cloud Container Builder，Logs Viewer并且Private Logs viewer：

ERROR: (gcloud.container.builds.submit) HTTPError 403:
<?xml version='1.0' encoding='UTF-8'?>
<Error>
  <Code>AccessDenied</Code>
  <Message>Access denied.</Message>
  <Details>v2-container-builder@redacted.iam.gserviceaccount.com does not have storage.objects.get access to object redacted.cloudbuild-logs.googleusercontent.com/log-20117c17-f2b4-4159-9883-104ddd7bb232.txt.
  </Details>
</Error>

我知道错误指向storage.objects.get云存储上的文件的权限，但这不是我们可以设置的存储桶acl，是吗？

Answer 1

这是该线程引述David Bendory（Google云容器构建器的技术负责人）的报价：

GCS权限早于IAM，因此工作方式略有不同。要查看日志，除了具有“构建者编辑器”角色外，相关服务帐户还必须是项目上的查看者。