使用gcloud app deploy部署App Engine时遇Cloud Build存储桶权限错误

错误核心 #

部署新项目时，gcloud app deploy报错无法创建Cloud Build任务，原因是默认日志桶XXXXXXXXX.cloudbuild-logs.googleusercontent.com权限不足，即使配置服务账号权限后仍未解决。

排查与解决步骤 #

1. 确认Cloud Build默认服务账号权限 #

• 找到项目的Cloud Build默认服务账号：格式为[PROJECT_NUMBER]@cloudbuild.gserviceaccount.com，可通过gcloud projects describe PROJECT_ID --format="value(projectNumber)"获取项目编号。
• 给该账号添加以下权限：
  • Cloud Build Editor或Cloud Build Admin（用于创建构建任务）
  • Storage Object Admin或Storage Admin（用于访问日志桶）

2. 检查并修复日志桶 #

• 先验证桶是否存在：

  gsutil ls gs://XXXXXXXXX.cloudbuild-logs.googleusercontent.com
  

• 若桶不存在，手动创建（替换[REGION]为项目所在区域，如us-central1）：

  gsutil mb -l [REGION] gs://XXXXXXXXX.cloudbuild-logs.googleusercontent.com
  

• 给Cloud Build默认服务账号授权桶权限：

  gsutil iam ch serviceAccount:[PROJECT_NUMBER]@cloudbuild.gserviceaccount.com:roles/storage.admin gs://XXXXXXXXX.cloudbuild-logs.googleusercontent.com
  

3. 校验gcloud环境与配置 #

• 更新gcloud到最新版本，避免兼容性问题：

  gcloud components update
  

• 检查当前使用的账号是否正确：

  gcloud config get-value account
  

• 若使用自定义服务账号部署，确保该账号拥有roles/cloudbuild.builds.editor权限，并在部署时明确指定：

  gcloud app deploy --service-account=CUSTOM_SA@PROJECT_ID.iam.gserviceaccount.com
  

4. 项目级限制检查 #

• 确认Cloud Build API已启用：

  gcloud services list --enabled | grep cloudbuild.googleapis.com
  

  未启用则执行：

  gcloud services enable cloudbuild.googleapis.com
  

• 检查项目是否启用VPC Service Controls，若启用需确保Cloud Build和存储桶在同一访问边界内。

权限/流程变更说明 #

近期Google Cloud对Cloud Build权限模型做了微调：

• 新项目中，Cloud Build默认服务账号不再自动获取日志桶的完全权限，需手动配置或确保项目初始化时完成权限绑定。
• App Engine部署依赖Cloud Build的核心流程未变，但权限校验更严格，新项目需额外确认服务账号与日志桶的权限链路完整。

内容的提问来源于stack exchange，提问作者Gorka Tena Diez