部署至GKE的Node.js应用遇IAM权限拒绝错误，寻求排查方向

使用自定义服务账号创建GKE节点池，并为其授予roles/logging.writer权限，但Kubernetes部署日志中出现如下权限拒绝错误：

note: 'Exception occurred in retry method that was not classified as transient',

2024-09-19 11:37:02.361 UTC
statusDetails: [
2024-09-19 11:37:02.361 UTC
ErrorInfo {
2024-09-19 11:37:02.361 UTC
metadata: { permission: 'logging.logEntries.create' },
2024-09-19 11:37:02.361 UTC
reason: 'IAM_PERMISSION_DENIED',
2024-09-19 11:37:02.361 UTC
domain: 'iam.googleapis.com'
2024-09-19 11:37:02.361 UTC
}
2024-09-19 11:37:02.361 UTC
],
2024-09-19 11:37:02.361 UTC
reason: 'IAM_PERMISSION_DENIED',
2024-09-19 11:37:02.361 UTC
domain: 'iam.googleapis.com',
2024-09-19 11:37:02.361 UTC
errorInfoMetadata: { permission: 'logging.logEntries.create' }
2024-09-19 11:37:02.361 UTC
}

当前环境：Node.js v18.20.4，已尝试GKE版本1.29.7-gke.1104000及最新版本，且使用默认服务账号创建节点池时也出现相同问题，需排查其他可能原因。

• 检查日志写入目标资源的权限范围：确认roles/logging.writer权限是否绑定到了正确的资源层级（比如项目级、日志桶级），如果是绑定到特定日志桶，需验证应用是否确实向该桶写入日志，避免因资源不匹配导致权限无效。
• 验证服务账号的实际权限生效状态：执行gcloud projects get-iam-policy [PROJECT_ID] --filter="bindings.members:serviceAccount:[SA_EMAIL]"命令查看服务账号的实际绑定权限，确认roles/logging.writer是否已正确应用，排除IAM策略同步延迟（极端情况可能存在几分钟延迟）。
• 检查GKE集群的日志配置：确认集群是否开启了Stackdriver Logging集成，是否存在日志过滤规则或自定义配置限制日志写入；若启用Workload Identity，需确保Pod对应的Kubernetes服务账号已正确关联到GCP服务账号，关联配置无错误。
• 排查VPC访问控制限制：确认节点所在VPC的防火墙规则是否允许节点IP访问logging.googleapis.com的443端口；若启用VPC Service Controls（VPCSC），需确认Cloud Logging已纳入允许的服务列表。
• 检查Cloud Logging API启用状态：确认项目中logging.googleapis.com API是否已启用，未启用的话即使有IAM权限也无法调用API写入日志。
• 验证日志写入的身份上下文：检查应用代码是否存在手动指定身份的逻辑（比如硬编码服务账号密钥），导致实际使用的身份并非预期的节点池服务账号。
• 排查组织级IAM政策限制：检查是否存在组织级IAM deny策略禁止logging.logEntries.create权限，这种情况下项目级allow策略会被覆盖，导致权限失效。

内容的提问来源于stack exchange，提问作者Jan Solovjov