Cloud Run Function遇403权限错误：serviceusage.services.use访问被拒求助

• 确认DLP API已启用：serviceusage.services.use权限报错的常见原因是对应API未启用。前往Google Cloud控制台的API库，搜索「Data Loss Prevention API」，确认其状态为「已启用」。

• 验证服务账号的权限绑定与生效状态：

  • 权限授予可能存在5-10分钟的延迟，尤其是新创建的服务账号，等待一段时间后再测试。
  • 检查Cloud Run Function的「运行时服务账号」配置：在函数详情页确认使用的是你授予权限的服务账号（默认或单独创建的）。

• 检查服务账号的权限范围：
  使用gcloud命令直接验证服务账号的权限：

  gcloud projects get-iam-policy YOUR_PROJECT_ID --filter="bindings.members:serviceAccount:YOUR_SERVICE_ACCOUNT_EMAIL" --format="value(bindings.role)"
  

  确保输出包含roles/serviceusage.serviceUsageAdmin或至少roles/serviceusage.serviceUsageConsumer（后者已满足API使用需求）。

• 排查VPC与组织级限制：

  • 如果Cloud Run配置了VPC连接器，确认VPC规则未阻止对Service Usage API的访问。
  • 检查项目所属组织是否有IAM政策限制，比如禁止特定服务账号调用API。

• 确认代码中的身份验证逻辑：

  • 如果代码手动指定了凭据文件，确保使用的是目标服务账号的密钥，而非本地个人凭据。
  • 若依赖默认应用凭据，确认Cloud Run的服务账号配置正确，代码未覆盖凭据来源。

内容的提问来源于stack exchange，提问作者Meenakshi Luthra