跨项目Cloud Function调用Cloud SQL Admin API遭遇403权限错误

出现403错误的原因可能有以下几点，逐一排查：

• 服务账号权限不足
  你给服务账号分配的Cloud SQL Client和Cloud SQL Editor角色，虽然能处理常规的数据库连接，但执行sqladmin.instances.import操作需要更高权限。需要给项目B中的该服务账号添加Cloud SQL Admin角色，或者更精细的cloudsql.instances.import权限。

• IAM绑定未生效
  GCP的IAM权限绑定有时会有延迟，尤其是跨项目场景。等待5-10分钟再测试，或者通过gcloud命令手动刷新IAM策略：gcloud projects get-iam-policy astute-coda-410816 --refresh

• 默认凭据的项目上下文问题
  代码中使用google.auth.default()获取凭据，默认会取Cloud Function所在项目A的上下文。调用项目B的SQL Admin API时，需确保API调用明确指定项目B的ID，且凭据的quota_project_id设置正确。可以尝试在构建sqladmin服务时显式指定项目参数。

• GCS存储桶权限缺失
  导入操作需要双重权限：

  1. 项目B的Cloud SQL服务账号（格式为service-{PROJECT_B_NUMBER}@gcp-sa-cloudsql.iam.gserviceaccount.com）需要有GCS桶的storage.objects.get权限；
  2. 项目A的Cloud Function服务账号需要有GCS桶的storage.objects.list和storage.objects.get权限。

• VPC网络限制
  如果Cloud SQL实例用的是私有IP，需确保项目A的Cloud Function能通过VPC peering、云联网，或者Serverless VPC Access访问项目B的VPC网络。

内容的提问来源于stack exchange，提问作者hashaf