GCP Secret Manager API 403错误排查求助：无相关日志记录

• 检查审计日志配置
  确认项目已开启Secret Manager的审计日志：进入GCP控制台「IAM与管理」>「审计日志」，找到Secret Manager API，确保勾选「数据访问」下的「读」操作（accessSecretVersion属于读操作）。若之前未开启，日志无法回溯生成，开启后需等待一段时间再查看。

• 优化日志查询条件
  调整查询规则以覆盖更多可能场景：

  • 移除resource.type="audited_resource"限制，或替换为具体调用方的资源类型（如resource.type="cloud_function"、resource.type="gce_instance"），匹配你的服务部署方式。
  • 精确时间范围到2024年8月8日CEST 6:00前后1-2小时，避免因范围过大遗漏日志。
  • 使用针对性更强的查询语句：

    protoPayload.methodName="google.cloud.secretmanager.v1.SecretManagerService.AccessSecretVersion" AND protoPayload.status.code=403
    

    或直接筛选错误日志：

    logName:"secretmanager.googleapis.com" AND severity="ERROR"
    

• 验证调用方IAM权限
  确认执行AccessSecretVersion的身份（服务账号、用户等）具备对应权限：

  1. 定位调用方：如果是GCP托管服务，查看对应资源绑定的服务账号；如果是外部调用，检查使用的密钥所属服务账号。
  2. 进入「IAM与管理」>「IAM」，搜索该身份，检查是否拥有secretmanager.versions.access权限（通常通过roles/secretmanager.secretAccessor角色或自定义角色授予）。
  3. 查看IAM变更日志，确认8月8日前后是否有该身份的权限撤销/修改操作。

• 检查Secret独立权限策略
  部分Secret可能设置了单独的IAM策略（不继承项目IAM）：进入「Secret Manager」> 目标Secret >「权限」，确认调用方身份是否被授予访问权限。

• 排查VPC Service Controls限制（若启用）
  如果项目启用了VPC Service Controls，检查：

  • Secret Manager是否包含在服务边界内；
  • 调用方所在的VPC/资源是否被允许访问Secret Manager服务。
    操作路径：「VPC网络」>「VPC Service Controls」>「服务边界」。

• 检查服务账号密钥状态
  若调用方使用服务账号密钥，确认密钥在错误时间点是否过期或被撤销：进入「IAM与管理」>「服务账号」> 对应账号 >「密钥」查看状态。

• 查看GCP服务状态历史
  检查8月8日CEST 6:00前后Secret Manager服务是否存在故障或维护：进入GCP控制台「状态仪表板」，查看对应时间的服务状态记录。

内容的提问来源于stack exchange，提问作者Matthias