使用服务账号调用Google Cloud monitoring.timeSeries.list API遇403权限问题求助

monitoring.timeSeries.list接口完全支持服务账号调用，你遇到的403错误大概率是操作环节的问题，以下是具体排查方向：

1. 验证服务账号密钥文件加载是否正确 #

• 检查process.env.GOOGLE_APPLICATION_CREDENTIALS环境变量是否指向正确的服务账号JSON密钥文件路径，可在代码中打印该变量值确认路径无误，同时确保文件存在且可读。
• 若环境变量配置存疑，可直接在代码中使用绝对路径指定密钥文件，排除环境变量干扰：

  const auth = new google.auth.GoogleAuth({
    keyFile: "/absolute/path/to/your/service-account-key.json",
    scopes: [
      "https://www.googleapis.com/auth/cloud-platform",
      "https://www.googleapis.com/auth/monitoring",
      "https://www.googleapis.com/auth/monitoring.read"
    ]
  });
  

2. 确认服务账号权限已生效 #

• Google Cloud的IAM权限同步可能存在延迟，即使已配置Owner角色，建议等待5-10分钟后重新测试。
• 使用gcloud命令验证服务账号的权限绑定情况，替换<项目ID>和<服务账号邮箱>：

  gcloud projects get-iam-policy <项目ID> --filter="bindings.members:serviceAccount:<服务账号邮箱>"
  

  确保输出中包含roles/owner角色的绑定记录。

3. 检查请求的项目ID是否正确 #

• 确认instanceData.projectID对应的项目ID与服务账号绑定Owner角色的项目一致，避免跨项目无权限的情况。
• 可直接硬编码正确的项目ID测试，排除instanceData取值错误的可能。

4. 修正请求参数格式 #

你的代码中时间区间的参数写法存在问题，startTime和endTime应嵌套在interval对象中，而非作为顶层键：

const request = {
  name: `projects/${projectId}`,
  filter: `metric.type="compute.googleapis.com/instance/cpu/utilization"`,
  interval: {
    startTime: "2024-05-08T03:14:51Z",
    endTime: "2024-05-08T03:15:51Z"
  }
};

错误的参数格式可能导致API解析异常，间接触发权限类错误提示。

5. 确认Monitoring API已启用 #

虽然用户账号能正常调用，但仍需确认目标项目中Cloud Monitoring API已启用：

• 登录Google Cloud控制台，进入「API和服务」→「库」
• 搜索「Cloud Monitoring API」，确认状态为「已启用」

内容的提问来源于stack exchange，提问作者Dat