用户没有对存储桶的 storage.objects.list 访问权限

Question

我创建了一个服务帐户并分配了以下角色：

Owner
Storage Admin
Storage Object Admin
Tester

Tester 是我为学习目的创建的具有以下权限的角色：

storage.buckets.create
storage.buckets.delete
storage.buckets.get
storage.buckets.getIamPolicy
storage.buckets.list
storage.buckets.setIamPolicy
storage.buckets.update
storage.objects.create
storage.objects.delete
storage.objects.get
storage.objects.getIamPolicy
storage.objects.list
storage.objects.setIamPolicy
storage.objects.update
...

我知道我不必要地过度使用这些角色的权限；但是，这仅用于测试目的。

考虑到bucket只包含一个文件并且账户有相应的权限，下面的Python代码应该可以工作（在我的本地计算机上运行）：

Owner
Storage Admin
Storage Object Admin
Tester

但它没有：

Traceback (most recent call last):
  File "gcloud/test.py", line 8, in <module>
    for blob in blobs:
  File "/home/user/.local/lib/python3.6/site-packages/google/api_core/page_iterator.py", line 212, in _items_iter
    for page in self._page_iter(increment=False):
  File "/home/berkay/.local/lib/python3.6/site-packages/google/api_core/page_iterator.py", line 243, in _page_iter
    page = self._next_page()
  File "/home/user/.local/lib/python3.6/site-packages/google/api_core/page_iterator.py", line 369, in _next_page
    response = self._get_next_page_response()
  File "/home/user/.local/lib/python3.6/site-packages/google/api_core/page_iterator.py", line 419, in _get_next_page_response
    method=self._HTTP_METHOD, path=self.path, query_params=params
  File "/home/user/.local/lib/python3.6/site-packages/google/cloud/_http.py", line 421, in api_request
    raise exceptions.from_http_response(response)
google.api_core.exceptions.Forbidden: 403 GET LINK: USER does not have storage.objects.list access to BUCKET.

存储桶使用统一的存储桶级访问控制。我使用的服务帐户是此存储桶的成员，它继承了以下成员资格：

Storage Admin
Storage Object Admin
Tester

有人可以向我解释这种行为背后的原因吗？

谢谢

Answer 1

我个人认为在开发/测试中没有必要回避过度授予角色。但是，如果您肯定要赋予多个角色，那么不妨赋予一个管理员角色而不是多个较小的角色（因为本质上它们都在做相同的工作，但角色较少）

对于您这里的具体问题，我建议

1. 删除旧的服务帐户
2. 创建一个新的服务帐户并授予storage.admin和storage.object.admin
3. 使用此服务帐号

SO上有一个类似的帖子，似乎以类似的方式解决了这个问题。

对于未来的读者：如果问题仍然存在，请使用最新版本完全卸载gcloud-sdk并重新安装（使用此链接）。

Answer 2

我在创建存储桶之前尝试检查项目中是否已存在存储桶时遇到了这个问题，就我而言，这并不是角色问题，因为我的服务帐户有存储管理员、存储对象管理员和创建者角色，但事实证明我试图检查存在/创建的存储桶名称（从我的 python 代码内部）不是全局唯一的。当我将存储桶的名称更改为全局唯一的名称时，错误消失了。