新手使用Google Storage：拥有Storage Admin权限却无法创建存储桶

核心原因分析 #

你遇到的问题大概率是角色分配层级错误，其次可能是否定权限或组织政策限制，权限延迟基本可以排除（IAM权限通常即时生效，最多10分钟延迟，不会到数小时）。Storage Admin角色本身是包含storage.buckets.list和storage.buckets.create权限的，不存在所谓的“隐藏权限”。

具体排查步骤 #

• 检查角色分配层级：
  如果你把Storage Admin角色分配在了单个存储桶层级，而非项目层级，那用户只能管理该特定存储桶，无法创建新桶或列出项目下所有桶。进入IAM页面，找到目标用户，确认角色是绑定在项目级别。
• 确认操作账号匹配：
  确保你当前操作的账号就是被分配权限的IAM用户，不要混淆个人Google账号和IAM子账号。
• 排查否定权限：
  进入IAM > 权限 > 否定政策，查看是否存在针对该用户/用户组的否定规则，禁止了storage.buckets.list或storage.buckets.create——否定权限优先级高于允许权限，会直接覆盖角色权限。
• 验证实际权限：
  用gcloud命令查看用户实际拥有的权限：

  gcloud projects get-iam-policy [你的项目ID] --filter="bindings.members:user:[你的邮箱]"
  

  检查输出中是否包含storage.buckets.list和storage.buckets.create权限。
• 组织政策限制检查：
  如果你的项目属于某个Google Cloud组织，进入组织政策页面，查看是否有constraints/storage.bucketCreation等政策限制了存储桶创建，或者限制了Storage Admin角色的权限范围。

内容的提问来源于stack exchange，提问作者Jesse Amos