使用GCP REST API为服务账号分配角色失败求助

错误原因 #

你遇到的SOLO_REQUIRE_TOS_ACCEPTOR错误，本质是GCP的强制规则：每个项目必须至少保留一个**已接受服务条款（TOS）**的roles/owner角色账号。如果你的请求是用setIamPolicy方法直接覆盖项目IAM策略，会丢失原有所有者绑定，导致项目没有符合要求的所有者，进而触发400无效参数错误。

解决方法 #

方法1：使用添加绑定接口（推荐） #

不要直接覆盖整个IAM策略，改用addIamPolicyBinding接口添加新角色，这样不会修改现有权限设置。

• 请求端点：POST https://cloudresourcemanager.googleapis.com/v1/projects/{你的项目ID}:addIamPolicyBinding
• 请求负载：

{
  "binding": {
    "role": "roles/editor",
    "members": [
      "serviceAccount:[service-account-name]@[project-id].iam.gserviceaccount.com"
    ]
  }
}

方法2：保留原有所有者再覆盖策略 #

如果必须使用setIamPolicy，需要先获取当前完整IAM策略，添加新绑定后再提交：

1. 获取当前策略：调用GET https://cloudresourcemanager.googleapis.com/v1/projects/{你的项目ID}:getIamPolicy
2. 在返回的policy.bindings数组中，追加你的editor角色绑定
3. 提交更新后的完整策略（需保留原有所有者绑定）：

{
  "policy": {
    "bindings": [
      // 保留原有所有者绑定
      {
        "role": "roles/owner",
        "members": [
          "user:your-owner-account@example.com"
        ]
      },
      // 添加新的editor绑定
      {
        "role": "roles/editor",
        "members": [
          "serviceAccount:[service-account-name]@[project-id].iam.gserviceaccount.com"
        ]
      }
    ]
  }
}

内容的提问来源于stack exchange，提问作者Shashank Shekhar