GCP工作负载身份联邦GitLab CI部署遇403权限错误求助

问题核心 #

GitLab CI流水线通过Workload Identity Federation模拟（impersonate）GCP服务账号时，触发iam.serviceAccounts.getAccessToken权限拒绝错误，导致无法完成GAE部署。

错误分析 #

报错明确指向缺少iam.serviceAccounts.getAccessToken权限，该权限包含在roles/iam.serviceAccountTokenCreator角色中。当前的IAM绑定虽添加了该角色，但需确认Workload Identity的身份主体（Principal）是否与CI流水线的实际身份匹配——只有匹配的Principal才能通过身份池获取服务账号的访问令牌。

解决方案 #

1. 确认Workload Identity Principal与GitLab CI身份匹配 #

GitLab CI生成的ID Token包含特定Claim（如sub、repository），需确保IAM绑定中的Principal与这些Claim一致：

• GitLab的Subject格式为：project_path:<namespace>/<project>:ref_type:<ref_type>:ref:<ref>（例如主分支流水线的Subject为project_path:my-org/my-proj:ref_type:branch:ref:main）
• 检查IAM绑定中的principal://或principalSet://是否准确对应流水线的实际身份，比如针对主分支的流水线，应使用对应的PrincipalSet或精确Principal。

2. 修正IAM权限绑定 #

移除冗余权限，仅保留必要绑定：

• 给Workload Identity Pool的目标Principal授予两个核心角色：
  • roles/iam.serviceAccountTokenCreator：允许生成服务账号的访问令牌（包含所需的iam.serviceAccounts.getAccessToken权限）
  • roles/iam.serviceAccountUser：允许模拟目标服务账号
• 给目标服务账号授予GAE部署权限：roles/appengine.deployer（替代冗余的appengine.serviceAgent等角色，更贴合部署需求）

修正后的IAM绑定示例（核心部分）：

bindings:
- members:
  # 替换为你的Workload Identity Principal
  - principalSet://iam.googleapis.com/projects/.../locations/global/workloadIdentityPools/.../attribute/repository/your-org/your-proj
  role: roles/iam.serviceAccountTokenCreator
- members:
  # 同上，匹配的Principal
  - principalSet://iam.googleapis.com/projects/.../locations/global/workloadIdentityPools/.../attribute/repository/your-org/your-proj
  role: roles/iam.serviceAccountUser
- members:
  - serviceAccount:...@....iam.gserviceaccount.com
  role: roles/appengine.deployer

3. 优化GitLab CI配置 #

简化脚本，避免临时文件的安全风险，同时确保环境变量正确引用：

deploy_to_gae:
  stage: deploy
  id_tokens:
    ID_TOKEN:
      aud: "//iam.googleapis.com/projects/.../locations/global/workloadIdentityPools/.../providers/..."
  tags:
    - runner1
  script:
    # 直接通过进程替换传递ID_TOKEN，无需创建临时文件
    - gcloud iam workload-identity-pools create-cred-config projects/.../locations/global/workloadIdentityPools/.../providers/... \
        --service-account="...@...iam.gserviceaccount.com" \
        --output-file=.gcp_credentials.json \
        --credential-source-file=<(echo "$ID_TOKEN")
    - gcloud auth login --cred-file=.gcp_credentials.json
    - gcloud config set project "$GCP_PROJECT_ID"
    - gcloud app deploy --quiet
  only:
    - main

4. 验证权限配置 #

使用gcloud命令确认服务账号的IAM绑定是否生效：

gcloud iam service-accounts get-iam-policy <你的服务账号邮箱> --format=yaml

检查输出中是否包含正确的Workload Identity Principal和对应的角色。

内容的提问来源于stack exchange，提问作者SullivanF