GCP IAM与服务账号控制台角色不匹配及存储权限报错求助

两个IAM面板的差异 #

GCP控制台的IAM & Admin > IAM标签页，管理的是项目级权限绑定——给身份（包括服务账号）授予操作整个项目或特定资源的权限。而服务账号标签页里的角色，是针对服务账号自身的权限——比如允许其他账号调用该服务账号、获取它的令牌等，和项目资源的操作权限完全是两回事。你看到的显示差异是正常的，这两个面板负责的权限层级完全不同。

解决403权限报错的步骤 #

1. 确认项目级IAM绑定的有效性 #

虽然你在IAM标签页看到了Storage Admin角色绑定，但要检查：

• 绑定范围是否为整个项目：点击绑定条目的编辑按钮，确认“应用于”选项是项目本身，而非某个特定存储桶或其他资源。
• 是否存在权限生效延迟：GCP的IAM权限可能有1-2分钟的缓存延迟，绑定角色后等一会儿再重试apply操作。

2. 验证Terraform使用的服务账号正确性 #

确保GitHub Actions中配置的服务账号密钥，确实对应你在IAM标签页绑定了Storage Admin的那个服务账号。可以在本地用该密钥直接测试：

# 激活目标服务账号
gcloud auth activate-service-account --key-file=你的密钥文件.json
# 尝试创建测试存储桶
gcloud storage buckets create gs://临时测试桶名 --project=你的项目ID

如果这个命令也报403，说明确实是权限配置问题；如果能成功创建，那可能是Terraform配置里的项目ID或服务账号引用有误。

3. 排查组织级政策限制 #

如果你的项目隶属于某个GCP组织，可能存在组织级政策限制了存储桶创建权限：

• 进入IAM & Admin > 组织政策，搜索constraints/storage.bucketCreation，确认是否设置为允许创建存储桶。
• 检查是否有政策限制了Storage Admin角色的使用，比如constraints/iam.allowedPolicyMemberDomains这类规则是否排除了你的服务账号。

4. 重新确认角色绑定操作 #

如果以上都没问题，尝试在IAM标签页重新添加Storage Admin角色：

• 找到目标服务账号的绑定条目，点击编辑，重新选择roles/storage.admin角色，确认应用范围为项目，保存后等待权限生效再重试。

内容的提问来源于stack exchange，提问作者Kenneth Lippold