Google Cloud IAM问题：拥有Service Account Admin仍找不到Cloud Vision相关角色/权限

问题描述 #

我正尝试为Google Cloud项目DriveOCRAutomation中的服务账号授予Cloud Vision API User角色（或自定义角色所需的vision.images.annotate权限），但即使已为我的用户账号（******@gmail.com）授予项目级别的Service Account Admin角色，仍无法在IAM角色选择下拉菜单中找到该角色或权限。

已执行的操作：

• 确认项目中Cloud Vision API已启用
• 为用户账号授予项目级Service Account Admin角色
• 尝试为服务账号添加目标角色及权限，但搜索结果无匹配项

作为项目所有者，已尝试排查：登出后重新登录、更换浏览器、清除缓存Cookie、使用隐身模式，问题依旧。

可能原因 #

• 角色默认过滤：IAM角色选择器默认会隐藏部分低频使用的API专属角色，仅显示常用角色列表。
• 组织策略限制：若项目隶属于组织，组织层面的政策可能限制了特定角色的可见性或可授予性，比如限制允许使用的角色范围。
• 搜索关键词偏差：使用角色显示名称搜索时，可能因系统索引或名称匹配规则导致无法命中，而角色ID的搜索精度更高。

解决办法 #

1. 用角色ID精准搜索 #

Cloud Vision API User角色的官方ID是roles/vision.user，直接在IAM角色搜索框中输入该ID，即可定位到目标角色。

2. 创建自定义角色添加权限 #

如果预设角色仍无法显示，可手动创建包含目标权限的自定义角色：

1. 进入Google Cloud控制台「IAM与管理」→「角色」页面
2. 点击「创建角色」，填写角色名称、描述等基础信息
3. 在「添加权限」步骤中，搜索并添加vision.images.annotate权限
4. 保存自定义角色后，回到IAM页面为服务账号授予该角色

3. 检查组织策略限制 #

若项目属于某个组织，需确认组织政策是否限制了角色使用：

1. 进入组织的「IAM与管理」→「组织政策」页面
2. 搜索constraints/iam.allowedRoles策略，检查roles/vision.user是否在允许列表内
3. 同时排查是否有针对Cloud Vision API的专项约束政策

4. 用gcloud命令行完成授权 #

如果控制台界面问题无法解决，直接通过命令行完成授权：

# 授予Cloud Vision API User角色
gcloud projects add-iam-policy-binding DriveOCRAutomation \
  --member="serviceAccount:你的服务账号完整邮箱" \
  --role="roles/vision.user"

内容的提问来源于stack exchange，提问作者Mir Eliyas