使用GitHub Action部署App Engine遇权限不足问题求助

Permissions error fetching application [apps/your-app-id].
Please make sure that you have permission to view applications on the project
and that serviceaccount@project.iam.gserviceaccount.com
has the App Engine Deployer (roles/appengine.deployer) role.

以下是容易被忽略的几个排查方向：

• GitHub Action使用的服务账号密钥无效
  哪怕IAM权限配置正确，如果GitHub Secrets里存的服务账号JSON密钥不是对应权限的账号，或者密钥已被吊销/过期，都会触发这个错误。重新生成服务账号密钥，替换GitHub Secrets中的旧值即可。

• 目标App Engine应用未创建
  错误里的your-app-id对应的应用可能根本没在当前GCP项目中创建过。先通过GCP控制台或gcloud app create命令确认项目下存在对应应用，且区域配置正确。

• 服务账号缺少App Engine Viewer权限
  部署过程不仅需要App Engine Deployer角色，还需要roles/appengine.appViewer权限读取应用信息。部分场景下缺少这个权限会导致无法获取应用数据，进而报错，给服务账号加上该角色即可。

• GCloud SDK版本存在兼容性问题
  旧版gcloud CLI可能存在权限校验bug，比如对新IAM权限支持不完善。在GitHub Action配置中指定使用最新版SDK，比如设置version: 'latest'。

• 项目ID/应用ID拼写错误
  检查GitHub Action配置文件里的GCP项目ID、App Engine应用ID是否和实际一致，尤其是特殊字符或大小写（虽然GCP项目ID不区分大小写，但拼写错误会直接导致找不到目标应用）。

• 组织级IAM策略限制
  如果你的GCP项目属于某个组织，组织级IAM可能设置了拒绝规则，限制了服务账号的App Engine操作权限。前往组织IAM页面检查是否存在相关拒绝策略，或联系组织管理员确认。

内容的提问来源于stack exchange，提问作者tristansokol