跨Google项目使用PubSub现有订阅遇权限拒绝问题求助

问题原因 #

你给proj2中的服务账号sa2授予的roles/pubsub.editor、roles/pubsub.publisher、roles/pubsub.subscriber权限仅作用于proj2项目内的资源，无法直接访问proj1项目下的sub1订阅——因为订阅sub1的所有权属于proj1，权限配置必须在资源所属的proj1项目中完成。

解决方案 #

1. 给sa2授予proj1中sub1订阅的访问权限
   使用gcloud CLI执行以下命令，为sa2添加sub1的订阅者权限（如果需要管理订阅，可替换为roles/pubsub.editor）：

   gcloud pubsub subscriptions add-iam-policy-binding proj1/subscriptions/sub1 \
     --member="serviceAccount:sa2@proj2.iam.gserviceaccount.com" \
     --role="roles/pubsub.subscriber"
   

   也可以在GCP控制台中找到proj1的sub1订阅，进入「权限」标签页手动添加sa2并分配角色。

2. 验证权限配置
   执行以下命令确认权限已正确绑定：

   gcloud pubsub subscriptions get-iam-policy proj1/subscriptions/sub1
   

   检查输出内容，确保包含sa2的服务账号邮箱和对应的角色条目。

3. 确认代码中的资源路径
   Java SDK消费订阅时，确保使用sub1的全限定路径：projects/proj1/subscriptions/sub1，同时确认代码加载的是sa2的凭证文件。

注意事项 #

• 遵循最小权限原则，仅给sa2授予完成操作所需的最小权限（比如仅订阅者权限），避免过度授权。
• IAM权限变更通常需要1-5分钟生效，若配置后仍报错，可等待片刻再重试。

内容的提问来源于stack exchange，提问作者curiousengineer