Vertex AI服务账号无法访问流水线内部GCS资源求助

问题核心 #

微调text-bison模型的提示验证步骤中，Vertex AI服务代理账号service-171437494177@gcp-sa-aiplatform.iam.gserviceaccount.com无权访问流水线内部创建的跨项目存储桶，导致无法读取GCS文件。

解决步骤 #

• 定位存储桶所属项目
  从错误信息中提取完整的存储桶路径（如gs://xxx-bucket/path/to/object），执行以下命令查看存储桶所属项目：

  gcloud storage buckets describe gs://<your-bucket-name>
  

  命令返回结果中的projectNumber字段即为存储桶所属的GCP项目ID。

• 在存储桶所属项目配置权限
  登录该存储桶所属的GCP项目控制台，找到目标存储桶，为service-171437494177@gcp-sa-aiplatform.iam.gserviceaccount.com添加Storage Object Viewer角色（遵循最小权限原则，无需配置Storage Admin），确保账号具备读取存储桶内对象的权限。

• 验证权限有效性
  执行以下命令测试服务账号是否能正常读取目标文件：

  gcloud storage objects get gs://<your-bucket-name>/<target-file-path> --impersonate-service-account=service-171437494177@gcp-sa-aiplatform.iam.gserviceaccount.com
  

  若能成功下载文件，说明权限配置生效。

• 重新触发流水线
  权限配置完成后，重新启动微调流水线的提示验证步骤，确认错误已解决。

注意事项 #

• 若你没有存储桶所属项目的管理员权限，需联系该项目的管理员协助配置权限。
• 避免给服务账号过度授权，仅授予完成任务所需的最小权限即可。

内容的提问来源于stack exchange，提问作者user3294816