访问Google AI Platform模型时遇403权限拒绝错误求助

必要的IAM权限与角色配置 #

要解决aiplatform.endpoints.predict权限缺失问题，需为使用的服务账号配置以下角色之一（优先遵循最小权限原则）：

• Vertex AI Predictor（roles/aiplatform.predictor）：此角色包含aiplatform.endpoints.predict权限，是专门用于模型预测请求的最小权限角色，推荐优先使用。
• Vertex AI User（roles/aiplatform.user）：包含更多Vertex AI操作权限，适合需要完整模型交互能力的场景，但权限范围更广。

配置步骤 #

1. 确认当前使用的服务账号：检查环境变量GOOGLE_APPLICATION_CREDENTIALS指向的JSON文件对应的服务账号邮箱（如xxx@my-first-rag.iam.gserviceaccount.com）。
2. 在Google Cloud控制台的IAM页面，找到该服务账号，点击"编辑权限"。
3. 添加上述角色之一，确保授予范围选择你的my-first-rag项目，或更精准的目标模型资源（//aiplatform.googleapis.com/projects/my-first-rag/locations/us-central1/publishers/google/models/textembedding-gecko@003）。

常见陷阱与排查要点 #

• 资源标识符拼写错误：仔细核对错误信息中的资源路径，确认区域us-central1、发布者google、模型IDtextembedding-gecko@003无拼写错误，尤其是大小写和特殊字符（如@003版本号）。
• 权限生效延迟：IAM权限更新后通常需要5-10分钟才能全局生效，更新后不要立即测试，等待一段时间再重试。
• 凭据身份混淆：本地环境可能存在多个Google凭据（如gcloud默认账号），覆盖了服务账号JSON的身份。可通过gcloud auth list查看当前活跃账号，或重启应用确保GOOGLE_APPLICATION_CREDENTIALS环境变量生效。
• 组织级权限限制：若项目隶属于企业组织，需确认组织级IAM政策未禁止aiplatform.endpoints.predict权限的授予，或未限制服务账号的角色分配。
• 模型资源有效性：即使你认为模型有效，仍需在Vertex AI控制台的"模型库"中，切换到us-central1区域，确认textembedding-gecko@003模型存在且处于可访问状态（Google托管的公共模型通常默认可用，但需确认区域是否支持）。

补充排查步骤 #

如果权限配置后仍报错，可执行以下操作验证：

1. 使用gcloud命令发起测试，确认凭据和权限是否正常：

   gcloud ai endpoints predict projects/my-first-rag/locations/us-central1/publishers/google/models/textembedding-gecko@003 \
     --region=us-central1 \
     --credential-file=/path/to/your/service-account.json \
     --json-request='{"instances": [{"content": "test text"}]}'
   

2. 检查服务账号的权限绑定：通过命令查看服务账号的有效权限：

   gcloud projects get-iam-policy my-first-rag --filter="bindings.members:serviceAccount:xxx@my-first-rag.iam.gserviceaccount.com" --format=json
   

   确认输出中包含roles/aiplatform.predictor或对应权限条目。

内容的提问来源于stack exchange，提问作者user23642640